Une migration réussie se mesure au silence qui suit : plus de tickets, les boîtes sont là, les agendas répondent. Mais « la migration est terminée » et « le domaine est sécurisé » sont deux affirmations différentes. Les habitudes de l'ancien fournisseur — mots de passe seuls, transferts personnels vers une boîte perso, applications tierces autorisées sans y penser — survivent souvent à la bascule. Voici la checklist à dérouler dans les jours qui suivent, avant de refermer le dossier migration.
1. Forcer la validation en deux étapes sur les comptes sensibles
Source : Google Workspace Admin Help — Protéger votre entreprise avec la validation en deux étapes.
Google applique déjà la validation en deux étapes (2SV) aux comptes administrateur. Ce qui ne l'est pas par défaut, ce sont les comptes des utilisateurs qui viennent d'être migrés — et parmi eux, ceux qui manipulent la finance ou les RH. Google est explicite sur le gain : la 2SV est la première ligne de défense et peut réduire de 50 % le risque de prise de contrôle de compte. Les clés de sécurité (physiques ou intégrées au téléphone) offrent le niveau de protection le plus élevé, contre le phishing en particulier ; l'invite Google est l'alternative la plus confortable pour les utilisateurs.
2. Vérifier qu'aucun transfert automatique n'a survécu à la bascule
Source : Google Workspace Admin Help — Autoriser le transfert automatique.
Le transfert automatique des e-mails est activé par défaut dans Google Workspace. Pendant une coexistence — la période où l'ancienne messagerie et Workspace tournent en parallèle — il n'est pas rare qu'un utilisateur se soit mis en transfert vers une adresse personnelle « pour ne rien perdre pendant la transition », et qu'il oublie de le retirer une fois la bascule des MX terminée. Deux gestes : passer en revue les règles actives, et utiliser la recherche dans le journal des e-mails de la console d'administration pour voir concrètement ce qui part vers l'extérieur. Si le transfert personnel n'a pas d'usage métier documenté, l'option se désactive entièrement pour l'organisation dans Gmail > Accès des utilisateurs finaux.
3. Passer en revue les applications tierces déjà connectées
Source : Google Workspace Admin Help — Contrôler quelles applications ont accès aux données Google Workspace.
Une migration s'accompagne presque toujours d'un pic de connexions « Se connecter avec Google » — outils de migration, extensions, applications personnelles réautorisées sur les nouveaux comptes. La console d'administration classe ces applications en trois familles (Google, internes, tierces) et permet de leur assigner un niveau d'accès : Approuvée, Limitée, Données Google spécifiques ou Bloquée. Le réflexe post-migration : ouvrir la liste des applications utilisées, trier par nombre d'utilisateurs et par habilitations OAuth demandées, et retirer l'accès à tout ce qui n'a pas d'usage métier identifié.
4. Activer et surveiller le centre d'alertes
Source : Google Workspace Admin Help — À propos du centre d'alerte.
Le centre d'alerte remonte en un seul endroit les signaux qui touchent le domaine (connexions suspectes, appareils compromis, règles de messagerie anormales). Il est accessible à toutes les éditions Workspace ; seule la possibilité de lancer une enquête directement depuis une alerte — suspendre un compte, effacer un appareil — est réservée aux éditions Enterprise. Même sans cette brique, avoir quelqu'un désigné pour lire le centre d'alerte chaque semaine change la donne : une bascule récente est justement le moment où un compte mal reconfiguré se voit, si quelqu'un regarde.
5. Sur Enterprise : la page « État de sécurité »
Source : Google Workspace Admin Help — Premiers pas avec la page État de sécurité.
Ce cinquième point ne concerne pas toutes les éditions : la page « État de sécurité » du centre de sécurité est disponible sur Enterprise Standard/Plus, Education Standard/Plus, Frontline Standard/Plus et Enterprise Essentials Plus — pas sur Business Starter, Standard ou Plus. Si votre organisation y a accès, c'est la vue la plus rapide après une migration : elle liste en une page l'état des paramètres à risque (Gmail, Drive, appareils, groupes) avec, pour chacun, le nombre d'unités organisationnelles concernées. À défaut, les quatre points précédents couvrent l'essentiel pour une PME sur une édition Business.
Le conseil de l'ingénieur :
« Le jour où la migration se termine sur le papier n'est pas le jour où le domaine est sécurisé. C'est souvent l'inverse : plus la bascule s'est bien passée, moins on a envie d'y retoucher. Je bloque systématiquement un créneau une à deux semaines après la fin de la migration, pas le jour même — le temps que les habitudes de transition (transferts, apps autorisées à la va-vite) se soient révélées. »
Cette checklist complète notre approche migration multi-fournisseurs. Pour la méthode générale de bascule, voir migrer OVH/Gandi/IONOS sans coupure ou migrer depuis Zimbra ou o2switch ; pour la gouvernance des données une fois en place, Google Vault : gouvernance et sécurité des données ; et si vous voulez un audit complet plutôt qu'une checklist à dérouler vous-même, notre audit sécurité Google Workspace.
Questions fréquentes
Faut-il sécuriser Google Workspace tout de suite après une migration ?
Oui. La fenêtre juste après la bascule est la plus exposée : les habitudes de l'ancien fournisseur (mots de passe seuls, transferts personnels, applications tierces autorisées à la légère) survivent souvent au domaine migré. Une checklist de sécurisation se déroule dans les jours qui suivent la fin de la migration, pas des mois plus tard.
La validation en deux étapes est-elle obligatoire sur Google Workspace ?
Google applique la validation en deux étapes aux comptes administrateur. Pour les autres utilisateurs, ce n'est pas automatique : l'administrateur doit l'activer et, idéalement, la rendre obligatoire pour les comptes ayant accès aux données sensibles (finance, RH).
Comment savoir si des emails continuent d'être transférés automatiquement après une migration ?
Dans la console d'administration Google, la recherche dans le journal des e-mails permet de vérifier quels messages sont transférés par les membres de l'organisation. C'est la vérification recommandée par Google pour repérer un transfert oublié après une bascule.
Sources officielles
- Google Workspace Admin Help — Protéger votre entreprise avec la validation en deux étapes — la 2SV réduit de 50 % le risque de prise de contrôle de compte
- Google Workspace Admin Help — Autoriser le transfert automatique — activé par défaut, désactivable pour toute l'organisation
- Google Workspace Admin Help — Contrôler quelles applications ont accès aux données Google Workspace — les quatre niveaux d'accès OAuth
- Google Workspace Admin Help — À propos du centre d'alerte — l'outil d'investigation est réservé aux éditions Enterprise
- Google Workspace Admin Help — Premiers pas avec la page État de sécurité — éditions compatibles : Enterprise, Education et Frontline Standard/Plus, Enterprise Essentials Plus
Votre migration Google Workspace est faite, pas encore sécurisée ?
Décrivez votre configuration (édition, date de bascule, nombre de comptes) : un ingénieur passe en revue les 5 points de cette checklist avec vous et vous dit ce qui manque.
Demander ma revue de sécurité2FA • Transfert automatique • Apps tierces • Centre d'alerte