--- id: CP-492 slug: synchronisation-horaire-ntp-securisee lang: fr title: La synchronisation horaire sécurisée description: Pourquoi les ordinateurs d'une entreprise doivent partager la même heure, ce que fait le salarié et les pièges d'un serveur de temps mal réglé. canonical_url: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « La synchronisation horaire sécurisée », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ (CC BY 4.0) wing: 3 theme: understand_cyberspace reflex: cr-060 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ en: https://startbrain.io/cyberpedia/en/articles/secure-ntp-time-synchronization/ de: https://startbrain.io/cyberpedia/de/articles/sichere-zeitsynchronisation-ntp/ es: https://startbrain.io/cyberpedia/es/articles/sincronizacion-horaria-ntp-segura/ sources: - "n": 1 title: Maximum tolerance for computer clock synchronization publisher: Microsoft url: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) accessed: "2026-11-03" - "n": 2 title: Windows Time Service (W32Time) publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top accessed: "2026-11-03" - "n": 3 title: Kerberos authentication overview in Windows Server publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview accessed: "2026-11-03" - "n": 4 title: NIST Internet Time Service (ITS) publisher: NIST url: https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its published: "2010-02-10" accessed: "2026-11-03" - "n": 5 title: How the Windows Time Service Works publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works accessed: "2026-11-03" - "n": 6 title: Configure NTP on a compute instance publisher: Google url: https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp accessed: "2026-11-03" --- # La synchronisation horaire sécurisée Dans une entreprise, les ordinateurs et les serveurs se vérifient les uns les autres en permanence : qui se connecte, à quoi, et à quel moment. Une partie de ces contrôles repose sur l'heure. Si deux machines ne s'accordent pas sur l'heure, certaines vérifications échouent, et le salarié le constate sous la forme d'une connexion refusée ou d'une erreur qu'il ne s'explique pas. La synchronisation horaire consiste à régler toutes les horloges sur une même référence, à intervalles réguliers et sans intervention humaine. Cette fiche explique le principe, ce que le salarié peut contrôler lui-même et quelques erreurs de configuration qui concernent surtout l'informatique. ## En 30 secondes - Où ça arrive : à l'ouverture de session, à l'accès à un service interne, ou devant un message d'erreur de connexion sans cause évidente. - Ce qui arrive : l'authentification Kerberos tolère par défaut un écart de 5 minutes entre deux horloges [1]. - Le réflexe : laisser la date et l'heure en réglage automatique, et signaler à l'informatique toute erreur de connexion ou de certificat inexpliquée plutôt que de la contourner. - Si c'est déjà fait : si l'heure du poste a été réglée à la main, repasser en automatique et prévenir l'informatique. ## Questions directes ### Pourquoi l'heure compte-t-elle pour se connecter ? Le protocole Kerberos, utilisé dans les réseaux Windows d'entreprise, emploie des horodatages pour empêcher les attaques par rejeu, c'est-à-dire la réutilisation d'un justificatif d'authentification par un programme ou un utilisateur malveillant [1]. Pour que ces horodatages servent à quelque chose, l'horloge du poste et celle du contrôleur de domaine doivent être aussi proches que possible [1]. Microsoft écrit que le service de temps de Windows « is essential to the successful operation of Kerberos V5 authentication » et donc à l'authentification fondée sur Active Directory [2]. ### Quel écart est toléré ? Un paramètre appelé « Maximum tolerance for computer clock synchronization » fixe l'écart maximal que Kerberos accepte entre l'horloge du client et celle du contrôleur de domaine [1]. Sa valeur par défaut est de 5 minutes, et Microsoft conseille de la conserver [1]. Si l'écart reste sous cette limite, l'horodatage est considéré comme authentique [1]. ### Qu'est-ce que NTP ? NTP (Network Time Protocol) est le protocole qui permet à un ordinateur d'interroger un serveur de temps pour corriger son horloge. Le service de temps de Windows l'utilise pour synchroniser les horloges d'un réseau [2]. Windows, MacOS et Linux proposent tous une synchronisation automatique par NTP, qui démarre en général avec le système et tourne en arrière-plan [4]. ### Dois-je régler l'heure moi-même ? Non. Le NIST, l'organisme américain qui fournit un service public d'heure par Internet, indique que la synchronisation automatique ne demande généralement aucune intervention, et que régler l'horloge à la main est « generally not necessary » [4]. ### Que faire devant une erreur de connexion inexpliquée ? Vérifier que la date et l'heure du poste sont en automatique, puis écrire à l'informatique en décrivant l'erreur. ## Comment ça marche Un ordinateur reçoit des échantillons de temps d'un ou plusieurs serveurs NTP. Le service de temps de Windows choisit le meilleur échantillon grâce aux algorithmes définis par NTP, puis règle l'horloge locale, soit en ajustant son rythme, soit en la changeant directement si l'écart est trop grand [5]. Dans un domaine Active Directory, la chaîne est hiérarchique. Les postes membres d'un domaine se synchronisent par défaut avec un contrôleur de domaine. Le contrôleur qui joue le rôle d'émulateur PDC à la racine de la forêt est en général réglé sur une source externe [2][5]. Les sources les plus précises sont en haut de la chaîne, et la précision peut baisser à mesure que l'on s'éloigne de la référence [5]. Microsoft indique qu'avec Windows Server 2016 et Windows 10 Anniversary Update, dans des conditions raisonnables, un membre du domaine peut rester à 1 milliseconde ou mieux de l'heure UTC [2]. Kerberos fonctionne avec trois acteurs : le client, le service visé et un centre de distribution de clés (KDC) auquel les deux font confiance [3]. À l'ouverture de session, le client obtient un ticket initial (TGT), puis demande au KDC un ticket pour chaque service auquel il veut accéder [3]. ## Ce que vous faites - Laissez la date et l'heure en réglage automatique. Le NIST indique que Windows, MacOS et Linux disposent de cette option [4]. - Sous Windows, un clic droit sur l'horloge de la barre des tâches donne accès au bouton « sync now », qui contacte un serveur de temps et corrige l'horloge si nécessaire [4]. Sous Mac, le réglage se trouve dans Applications, Préférences Système, Date et heure [4]. - Ne corrigez pas une heure fausse en la saisissant à la main sur un poste géré par l'entreprise : le réglage manuel n'est généralement pas nécessaire [4]. Une horloge qui dérive tout de même est un signal à transmettre à l'informatique. - Si une connexion ou un accès à un service échoue sans raison claire, ou si un avertissement de certificat apparaît, ne le contournez pas. Notez le message, l'heure et le service concerné, puis signalez-le à l'informatique. ## Les pièges ### Un serveur de temps non authentifié Les requêtes de temps au service public du NIST, dans les formats DAYTIME, TIME et NTP, ne gèrent généralement pas l'authentification [4]. Le NIST propose en plus des messages NTP authentifiés par une clé symétrique, fournis par des serveurs distincts : l'authentification garantit que le message vient d'un serveur du NIST et n'a pas été modifié en route [4]. Dans une forêt Active Directory, Microsoft décrit une authentification des paquets NTP fondée sur la clé de session Kerberos de l'ordinateur. Un paquet non signé ou mal signé est rejeté [5]. En revanche, si un client est réglé à la main sur un serveur NTP hors de sa hiérarchie de domaine, les paquets ne sont pas authentifiés et donc pas sûrs, y compris quand des relations d'approbation de forêt existent [5]. ### Un poste hors domaine ou rarement connecté Les ordinateurs qui ne sont pas joints à un domaine, ou qui se synchronisent peu souvent, sont réglés par défaut sur time.windows.com [5]. Microsoft précise qu'il est impossible de garantir la précision de l'heure sur des machines dont la connexion réseau est intermittente ou absente [5]. ### Des sources de temps mélangées Google recommande de configurer les machines virtuelles de Compute Engine avec un seul serveur NTP, le serveur interne de Google [6]. Mélanger ce service avec un service externe peut provoquer des changements d'heure imprévisibles [6]. Les services externes comme pool.ntp.org gèrent souvent la seconde intercalaire par un saut, et les machines peuvent alors voir des horodatages répétés [6]. Pour vérifier la configuration sous Linux avec chrony, la documentation indique la commande `chronyc sources`, qui doit afficher une seule source [6]. ### La seconde intercalaire Une seconde intercalaire est un ajustement d'une seconde de l'heure UTC [6]. Selon les systèmes, elle est gérée en répétant une seconde ou en l'étalant sur une période plus longue, et les messages NTP ne disent pas quelle méthode un serveur a retenue [4]. Le NIST note qu'il est alors difficile de combiner des données de sources différentes autour de l'événement [4]. ## Sources 1. Microsoft, « Maximum tolerance for computer clock synchronization ». https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (consulté le 3 novembre 2026) 2. Microsoft, « Windows Time Service (W32Time) ». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (consulté le 3 novembre 2026) 3. Microsoft, « Kerberos authentication overview in Windows Server ». https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (consulté le 3 novembre 2026) 4. NIST, « NIST Internet Time Service (ITS) », 10 février 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (consulté le 3 novembre 2026) 5. Microsoft, « How the Windows Time Service Works ». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (consulté le 3 novembre 2026) 6. Google, « Configure NTP on a compute instance ». https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.