La synchronisation horaire sécurisée
Pourquoi les ordinateurs d'une entreprise doivent partager la même heure, ce que fait le salarié et les pièges d'un serveur de temps mal réglé.
En 30 secondes
- Où ça arrive
- À l'ouverture de session, à l'accès à un service interne, ou devant un message d'erreur de connexion sans cause évidente.
- Ce qui arrive
- L'authentification Kerberos tolère par défaut un écart de 5 minutes entre deux horloges1.
- Le réflexe
- Laisser la date et l'heure en réglage automatique, et signaler à l'informatique toute erreur de connexion ou de certificat inexpliquée plutôt que de la contourner.
- Si c'est déjà fait
- Si l'heure du poste a été réglée à la main, repasser en automatique et prévenir l'informatique.
De quoi parle-t-on
Dans une entreprise, les ordinateurs et les serveurs se vérifient les uns les autres en permanence : qui se connecte, à quoi, et à quel moment. Une partie de ces contrôles repose sur l'heure. Si deux machines ne s'accordent pas sur l'heure, certaines vérifications échouent, et le salarié le constate sous la forme d'une connexion refusée ou d'une erreur qu'il ne s'explique pas.
La synchronisation horaire consiste à régler toutes les horloges sur une même référence, à intervalles réguliers et sans intervention humaine. Cette fiche explique le principe, ce que le salarié peut contrôler lui-même et quelques erreurs de configuration qui concernent surtout l'informatique.
Questions directes
Pourquoi l'heure compte-t-elle pour se connecter ?
Le protocole Kerberos, utilisé dans les réseaux Windows d'entreprise, emploie des horodatages pour empêcher les attaques par rejeu, c'est-à-dire la réutilisation d'un justificatif d'authentification par un programme ou un utilisateur malveillant1. Pour que ces horodatages servent à quelque chose, l'horloge du poste et celle du contrôleur de domaine doivent être aussi proches que possible1. Microsoft écrit que le service de temps de Windows « is essential to the successful operation of Kerberos V5 authentication » et donc à l'authentification fondée sur Active Directory2.
Quel écart est toléré ?
Un paramètre appelé « Maximum tolerance for computer clock synchronization » fixe l'écart maximal que Kerberos accepte entre l'horloge du client et celle du contrôleur de domaine1. Sa valeur par défaut est de 5 minutes, et Microsoft conseille de la conserver1. Si l'écart reste sous cette limite, l'horodatage est considéré comme authentique1.
Qu'est-ce que NTP ?
NTP (Network Time Protocol) est le protocole qui permet à un ordinateur d'interroger un serveur de temps pour corriger son horloge. Le service de temps de Windows l'utilise pour synchroniser les horloges d'un réseau2. Windows, MacOS et Linux proposent tous une synchronisation automatique par NTP, qui démarre en général avec le système et tourne en arrière-plan4.
Dois-je régler l'heure moi-même ?
Non. Le NIST, l'organisme américain qui fournit un service public d'heure par Internet, indique que la synchronisation automatique ne demande généralement aucune intervention, et que régler l'horloge à la main est « generally not necessary »4.
Que faire devant une erreur de connexion inexpliquée ?
Vérifier que la date et l'heure du poste sont en automatique, puis écrire à l'informatique en décrivant l'erreur.
1Comment ça marche1 min
Un ordinateur reçoit des échantillons de temps d'un ou plusieurs serveurs NTP. Le service de temps de Windows choisit le meilleur échantillon grâce aux algorithmes définis par NTP, puis règle l'horloge locale, soit en ajustant son rythme, soit en la changeant directement si l'écart est trop grand5.
Dans un domaine Active Directory, la chaîne est hiérarchique. Les postes membres d'un domaine se synchronisent par défaut avec un contrôleur de domaine. Le contrôleur qui joue le rôle d'émulateur PDC à la racine de la forêt est en général réglé sur une source externe25. Les sources les plus précises sont en haut de la chaîne, et la précision peut baisser à mesure que l'on s'éloigne de la référence5.
Microsoft indique qu'avec Windows Server 2016 et Windows 10 Anniversary Update, dans des conditions raisonnables, un membre du domaine peut rester à 1 milliseconde ou mieux de l'heure UTC2.
Kerberos fonctionne avec trois acteurs : le client, le service visé et un centre de distribution de clés (KDC) auquel les deux font confiance3. À l'ouverture de session, le client obtient un ticket initial (TGT), puis demande au KDC un ticket pour chaque service auquel il veut accéder3.
2Ce que vous faites1 min
- Laissez la date et l'heure en réglage automatique. Le NIST indique que Windows, MacOS et Linux disposent de cette option4.
- Sous Windows, un clic droit sur l'horloge de la barre des tâches donne accès au bouton « sync now », qui contacte un serveur de temps et corrige l'horloge si nécessaire4. Sous Mac, le réglage se trouve dans Applications, Préférences Système, Date et heure4.
- Ne corrigez pas une heure fausse en la saisissant à la main sur un poste géré par l'entreprise : le réglage manuel n'est généralement pas nécessaire4. Une horloge qui dérive tout de même est un signal à transmettre à l'informatique.
- Si une connexion ou un accès à un service échoue sans raison claire, ou si un avertissement de certificat apparaît, ne le contournez pas. Notez le message, l'heure et le service concerné, puis signalez-le à l'informatique.
3Les pièges2 min
Un serveur de temps non authentifié
Les requêtes de temps au service public du NIST, dans les formats DAYTIME, TIME et NTP, ne gèrent généralement pas l'authentification4. Le NIST propose en plus des messages NTP authentifiés par une clé symétrique, fournis par des serveurs distincts : l'authentification garantit que le message vient d'un serveur du NIST et n'a pas été modifié en route4.
Dans une forêt Active Directory, Microsoft décrit une authentification des paquets NTP fondée sur la clé de session Kerberos de l'ordinateur. Un paquet non signé ou mal signé est rejeté5. En revanche, si un client est réglé à la main sur un serveur NTP hors de sa hiérarchie de domaine, les paquets ne sont pas authentifiés et donc pas sûrs, y compris quand des relations d'approbation de forêt existent5.
Un poste hors domaine ou rarement connecté
Les ordinateurs qui ne sont pas joints à un domaine, ou qui se synchronisent peu souvent, sont réglés par défaut sur time.windows.com5. Microsoft précise qu'il est impossible de garantir la précision de l'heure sur des machines dont la connexion réseau est intermittente ou absente5.
Des sources de temps mélangées
Google recommande de configurer les machines virtuelles de Compute Engine avec un seul serveur NTP, le serveur interne de Google6. Mélanger ce service avec un service externe peut provoquer des changements d'heure imprévisibles6. Les services externes comme pool.ntp.org gèrent souvent la seconde intercalaire par un saut, et les machines peuvent alors voir des horodatages répétés6. Pour vérifier la configuration sous Linux avec chrony, la documentation indique la commande chronyc sources, qui doit afficher une seule source6.
La seconde intercalaire
Une seconde intercalaire est un ajustement d'une seconde de l'heure UTC6. Selon les systèmes, elle est gérée en répétant une seconde ou en l'étalant sur une période plus longue, et les messages NTP ne disent pas quelle méthode un serveur a retenue4. Le NIST note qu'il est alors difficile de combiner des données de sources différentes autour de l'événement4.
Fiche
- Identifiant
- CP-492
- Aile
- 3. Protocoles et défense
- Compétence Brain
- Comprendre le cyberespace (understand_cyberspace)
- Réflexe Brain
- cr-060
- Schéma
- G3 · Coupe Anatomique
- Langues
- de, en, fr
- Sources
- 6 sources vérifiées le 3 novembre 2026
Sources6 sources
- Microsoft, « Maximum tolerance for computer clock synchronization ». https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj852172(v=ws.11) (consulté le 3 novembre 2026)
- Microsoft, « Windows Time Service (W32Time) ». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/windows-time-service-top (consulté le 3 novembre 2026)
- Microsoft, « Kerberos authentication overview in Windows Server ». https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview (consulté le 3 novembre 2026)
- NIST, « NIST Internet Time Service (ITS) », 10 février 2010. https://www.nist.gov/pml/time-and-frequency-division/time-distribution/internet-time-service-its (consulté le 3 novembre 2026)
- Microsoft, « How the Windows Time Service Works ». https://learn.microsoft.com/en-us/windows-server/networking/windows-time-service/how-the-windows-time-service-works (consulté le 3 novembre 2026)
- Google, « Configure NTP on a compute instance ». https://docs.cloud.google.com/compute/docs/instances/time-synchronization/configure-ntp (consulté le 3 novembre 2026)
Citer cet article
Brain, « La synchronisation horaire sécurisée », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp492_fr_2026,
author = {Brain},
title = {La synchronisation horaire sécurisée},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/synchronisation-horaire-ntp-securisee/},
note = {CC BY 4.0}
}