Sauvegarder Microsoft 365 : votre Exchange et votre OneDrive ne se sauvegardent pas tout seuls

Microsoft 365 est devenu en quelques années l’infrastructure de référence pour la bureautique en PME. Email, calendrier, fichiers, collaboration, vidéo : tout y passe. Pour beaucoup de dirigeants, l’équation est faite : “les données sont chez Microsoft, donc elles sont à l’abri”. L’équation est fausse, et Microsoft eux-mêmes le disent — il faut juste savoir où regarder pour le lire.

Cet article fait le tour de ce qu’on appelle le modèle de responsabilité partagée, des limites concrètes de la rétention native de M365, et de ce qu’une PME doit mettre en place pour vraiment protéger ses données — pas pour se rassurer.

Le modèle de responsabilité partagée, en français

Microsoft décrit son modèle de responsabilité partagée (Shared Responsibility Model) dans plusieurs documents officiels, notamment dans le contrat Microsoft Services Agreement et dans la documentation Microsoft 365 Trust Center. Le principe :

• Microsoft garantit l’infrastructure : haute disponibilité, redondance, sécurité physique des datacenters, mise à jour des logiciels, protection contre les pannes hardware.
• Vous, le client, êtes responsable des données : ce qui est créé, modifié ou supprimé dans M365 vous appartient et reste votre responsabilité.

Concrètement, ce que Microsoft ne garantit pas :

• Récupération de données supprimées au-delà de la fenêtre de rétention native (90 jours par défaut sur la plupart des plans).
• Récupération en cas d’erreur humaine, de suppression malveillante, ou de suppression administrative (typique des employés mécontents qui font le ménage avant de partir).
• Récupération en cas de ransomware qui se propage via OneDrive ou SharePoint.
• Restauration granulaire d’un fichier ou d’un email spécifique à une date précise.
• Préservation des données après suspension ou résiliation du compte Microsoft 365 (90 jours, après quoi tout est définitivement supprimé).

C’est explicite dans les conditions de service, et c’est conforme à la jurisprudence du secteur. Mais comme c’est rangé dans des pages de documentation technique que personne ne lit, la grande majorité des dirigeants de PME ne le sait pas.

Les fenêtres de rétention native, point par point

Voici ce que M365 garde par défaut, sans intervention :

Exchange Online (email)

• Corbeille : 30 jours pour les emails supprimés, 14 jours pour les éléments restaurables après vidage de corbeille.
• Litigation Hold (rétention juridique) : illimitée, mais doit être activée manuellement par utilisateur, par un administrateur.
• Archive Mailbox : 100 Go par défaut, et nécessite une licence Exchange Online Plan 2 ou supérieure.
• Compte supprimé : 30 jours, après quoi le mailbox est définitivement effacé.

OneDrive (fichiers personnels)

• Corbeille de premier niveau : 30 jours.
• Corbeille de second niveau (pour les administrateurs) : 14 jours additionnels.
• Versions des fichiers : jusqu’à 500 versions par fichier, sans limite de durée tant que l’utilisateur est actif.
• Compte supprimé : 30 jours, après quoi le contenu est effacé.

SharePoint Online (fichiers partagés et collaboration)

• Mêmes règles que OneDrive : corbeille 30 + 14 jours, versioning, rétention liée au site.
• Si un site SharePoint est supprimé : 93 jours, après quoi tout est effacé.

Teams (chat et fichiers partagés en discussion)

• Les fichiers partagés dans Teams sont en réalité stockés dans SharePoint (canal d’équipe) ou OneDrive (chat privé) : mêmes règles.
• Les messages de chat : rétention configurable par l’administrateur, par défaut indéterminée pour les utilisateurs actifs.

Les trois scénarios où vous perdez des données malgré M365

Scénario 1 — La suppression silencieuse oubliée

Un employé supprime un dossier important dans OneDrive en mars. Personne ne s’en rend compte. En juin, le besoin se présente. La corbeille principale a vidé l’élément depuis longtemps (30 jours), et la corbeille de second niveau aussi (14 jours additionnels). C’est perdu, point. La rétention native ne couvre que les incidents détectés rapidement.

Scénario 2 — Le départ d’un employé non géré

Un commercial quitte la boîte en mauvais termes. Avant son départ, il vide sa corbeille, supprime des emails sensibles, fait le ménage dans son OneDrive. L’administrateur désactive son compte le lendemain. Le compte sera supprimé sous 30 jours, et tout son contenu avec — y compris des historiques clients dont vous auriez eu besoin pour le mois suivant.

Le Litigation Hold aurait protégé contre ça, mais il faut l’avoir activé en amont. Dans la majorité des PME, personne n’active jamais le Litigation Hold parce que personne n’en connaît l’existence.

Scénario 3 — Le ransomware qui passe par OneDrive

Un poste compromis chiffre les fichiers locaux, qui sont automatiquement synchronisés vers OneDrive. Les versions chiffrées remontent dans le cloud. C’est exactement le scénario qu’on a décrit dans l’article Cloud d’équipe ≠ sauvegarde — OneDrive ne fait que propager, il ne protège pas.

Théoriquement, le versioning de OneDrive (500 versions par fichier) permet de revenir à une version antérieure. En pratique :

• Cela demande une intervention manuelle par fichier ou un script PowerShell complexe (la procédure “Restore your OneDrive” couvre jusqu’à 30 jours en arrière, mais pas plus).
• Si le ransomware a tourné pendant des jours avant détection, la fenêtre de 30 jours peut ne pas suffire.
• Beaucoup de PME n’ont pas l’expertise pour exécuter cette procédure sous pression.

Ce qu’il faut mettre en place, concrètement

Microsoft elle-même recommande explicitement, dans son document “Microsoft 365 backup and recovery best practices”, le recours à une solution de sauvegarde tierce pour ses clients qui ont des besoins de rétention longue ou de récupération avancée. Ce n’est pas une critique de la plate-forme — c’est une clarification de périmètre.

Une vraie sauvegarde M365 doit :

• Sauvegarder Exchange, OneDrive, SharePoint et Teams dans une seule solution intégrée ;
• Conserver les données au-delà des 30 jours natifs (rétention typique : 1 à 7 ans) ;
• Survivre à la suppression d’un compte (les données restent accessibles même après désactivation de l’utilisateur) ;
• Stocker la sauvegarde dans une infrastructure distincte de M365 (sinon, même feu, mêmes risques) ;
• Permettre une restauration granulaire : un email à une date précise, un fichier à une version précise, un site entier ;
• Être conforme RGPD : DPA, datacenter européen, rétention contrôlée.

Les outils du marché qui adressent ce besoin : Veeam Backup for Microsoft 365, Datto SaaS Protection, Acronis Cyber Backup, AvePoint, Synology Active Backup for Office 365.

Chez Haven, le backup M365 est proposé comme add-on à 4 € HT par utilisateur par mois sur tous nos forfaits. La cible : Exchange + OneDrive + SharePoint, rétention 7 ans par défaut, stockage dans le même datacenter européen ISO 27001 que nos autres copies miroirs. Conforme à la checklist RGPD que nous publions.

Les questions à poser pour savoir où vous en êtes

Si vous voulez vérifier votre exposition en 5 minutes :

1. Si je dois retrouver un email envoyé il y a 4 mois et supprimé par erreur, puis-je le récupérer ? Si la réponse est “je ne sais pas”, probablement non.
2. Si un employé part demain et supprime son contenu OneDrive, que se passe-t-il dans 60 jours ? Si vous n’avez pas activé le Litigation Hold ou une sauvegarde tierce, la réponse est : perte définitive.
3. Si un ransomware compromet un poste et chiffre les fichiers OneDrive de l’équipe, comment je restaure tout en moins d’une journée ? Si la réponse implique un script PowerShell ou un appel à un consultant, vous n’êtes pas prêt.

Si vous répondez “je ne sais pas” à au moins une de ces questions, le sujet mérite 30 minutes d’audit.

---

Et concrètement chez vous ?

Haven propose un add-on Microsoft 365 sur tous ses forfaits — Solo, Atelier, Maison, Domaine — à 4 € HT/utilisateur/mois : Exchange + OneDrive + SharePoint, rétention 7 ans, stockage en datacenter européen ISO 27001, restauration granulaire, conformité RGPD complète (voir le DPA).

Demander un audit M365 →