Sauvegarde Microsoft 365 : 9 choses que Microsoft ne fait pas à votre place — et comment protéger vos données (Digne / 04)

Le malentendu le plus courant sur Microsoft 365

Chaque semaine, des dirigeants de TPE et PME de la région de Digne-les-Bains nous posent la même question après un incident : "Mais mes données ne sont pas sauvegardées par Microsoft ?"

La réponse courte : non. Pas de la façon dont vous l'entendez.

Microsoft 365 est fiable à 99,9 % de disponibilité — c'est dans leur contrat de service. Mais disponibilité ne veut pas dire sauvegarde. Si vous supprimez accidentellement 3 ans d'emails, si un salarié part en emportant ses fichiers SharePoint, ou si un ransomware chiffre votre OneDrive synchronisé, Microsoft ne pourra pas toujours vous rendre vos données.

C'est ce qu'on appelle le modèle de responsabilité partagée du cloud — et la plupart des petites entreprises ne l'ont jamais lu.

La responsabilité partagée : ce que Microsoft dit (en tout petit)

Dans sa documentation officielle, Microsoft précise noir sur blanc que la responsabilité de la protection des données incombe au client. Microsoft gère :

• La disponibilité de l'infrastructure (datacenters, réseau, serveurs)
• La réplication géographique entre ses datacenters
• La protection contre les pannes matérielles

Vous devez gérer :

• La protection contre la suppression accidentelle
• La protection contre les erreurs humaines
• La protection contre les ransomwares et les comptes compromis
• La conformité et la rétention à long terme

Autrement dit : si un datacenter Microsoft brûle, vos données sont protégées. Si votre comptable supprime par erreur deux ans de factures depuis SharePoint, vous êtes seul.

Microsoft le reconnaît lui-même et recommande explicitement d'utiliser une solution tierce de sauvegarde pour les données Microsoft 365.

La corbeille OneDrive : un filet de sécurité avec des trous

OneDrive dispose bien d'une corbeille. Les fichiers supprimés y restent 93 jours pour les abonnements professionnels. Après ça, ils sont définitivement supprimés.

Mais 93 jours, c'est court dans la vraie vie professionnelle. Voici pourquoi ce délai ne suffit pas :

• Un employé quitte l'entreprise en janvier. Vous réalisez en juillet qu'il manque des dossiers clients sur son OneDrive. Délai écoulé.
• Un problème de synchronisation corrompt silencieusement des fichiers pendant des semaines. Quand vous vous en rendez compte, la "bonne version" n'existe plus dans la corbeille.
• Un ransomware chiffre votre PC, OneDrive synchronise les fichiers chiffrés et écrase les versions saines. La corbeille ne contient que des fichiers chiffrés.

Ce troisième cas est particulièrement traître. La synchronisation, qui est censée vous faciliter la vie, devient le vecteur de propagation des dégâts.

Le versioning SharePoint : utile mais insuffisant

SharePoint conserve un historique des versions de vos documents. C'est pratique pour revenir à une version précédente d'un fichier Word modifié par erreur.

Mais là aussi, des limites importantes :

• Le versioning est limité par le quota de stockage de votre tenant. Quand le stockage est plein, les anciennes versions sont automatiquement supprimées.
• Si un site SharePoint entier est supprimé, vous avez 93 jours pour le restaurer depuis la corbeille de la collection. Passé ce délai : zéro.
• Le versioning ne protège pas contre la suppression définitive d'un fichier. Il protège contre la modification accidentelle, pas contre l'effacement.
• En cas de ransomware massif touchant des milliers de fichiers sur plusieurs sites SharePoint, restaurer manuellement version par version est une mission impossible.

Si vous avez mis en place SharePoint pour partager vos documents en interne — ce que nous voyons souvent chez les TPE de Digne que nous accompagnons — sachez que cette organisation ne constitue pas une sauvegarde. Nous l'expliquons aussi dans notre article sur le choix entre OneDrive, Google Drive et NAS pour une TPE.

Exchange Online : vos emails peuvent disparaître

Pour les boîtes mail Exchange Online (Outlook avec Microsoft 365), la situation est similaire :

• Les emails supprimés restent dans la corbeille 30 jours par défaut.
• Après "suppression définitive", ils passent dans le dossier "Éléments récupérables" pour 14 jours supplémentaires.
• Au-delà, même un administrateur ne peut pas les récupérer — sauf si vous avez configuré des stratégies de rétention spécifiques (fonctionnalité avancée, souvent non activée par défaut).

Cas concret : un fournisseur vous réclame la preuve d'un email de commande envoyé il y a 8 mois. Sans sauvegarde externe, cet email n'existe peut-être plus nulle part.

Pour les entreprises soumises à des obligations légales de conservation (comptabilité, contrats, données personnelles), cette durée de rétention par défaut est largement insuffisante.

Teams : les données oubliées de la sauvegarde

Microsoft Teams est devenu l'outil de communication central de nombreuses PME. Ce que beaucoup ignorent :

• Les messages de conversation Teams sont stockés dans des boîtes Exchange cachées. Ils suivent les mêmes politiques de rétention.
• Les fichiers partagés dans Teams sont stockés dans SharePoint — avec les mêmes limites de versioning.
• Si vous supprimez une équipe Teams, vous avez 30 jours pour la restaurer. Après, c'est perdu.
• Les enregistrements de réunions sont stockés dans OneDrive ou SharePoint selon la configuration — et sont soumis aux mêmes règles.

Teams est devenu un dépôt de connaissances métier considérable pour beaucoup d'entreprises. Ne pas le sauvegarder, c'est prendre un risque réel.

3 scénarios réels où des entreprises ont tout perdu

Scénario 1 : le départ d'un employé clé

Un commercial quitte l'entreprise en mauvais termes. Avant de partir, il supprime ses emails, vide son OneDrive professionnel et quitte les équipes Teams. Le compte est désactivé deux semaines plus tard. Trois mois après, on réalise que tous les contacts et devis de ce commercial sont partis avec lui. La corbeille est vide, les 93 jours sont écoulés.

Scénario 2 : la synchronisation qui propage le ransomware

Un poste Windows est infecté par un ransomware un vendredi soir. Le logiciel malveillant chiffre tous les fichiers locaux, y compris ceux du dossier OneDrive synchronisé. OneDrive synchronise automatiquement les fichiers chiffrés vers le cloud. Le lundi matin, les 4 000 fichiers dans OneDrive sont chiffrés. La restauration de version est possible pour certains fichiers — mais le processus prend des jours et est incomplet.

Scénario 3 : la fausse manipulation sur SharePoint

Un prestataire externe a accès à un site SharePoint pour un projet. Par erreur, il supprime un dossier entier contenant 5 ans de documents contractuels. Personne ne s'en rend compte avant 4 mois. La corbeille est vide depuis longtemps. Les documents sont irrécupérables.

Ce que vous devez mettre en place : la sauvegarde externe Microsoft 365

La solution, c'est une sauvegarde tierce automatique, indépendante de l'infrastructure Microsoft. Ces solutions (Veeam Backup for Microsoft 365, Acronis, Backupify, Avepoint…) réalisent des sauvegardes régulières de :

• Toutes les boîtes Exchange Online (emails, calendriers, contacts)
• OneDrive de chaque utilisateur
• Sites SharePoint et Teams

Et les stockent dans un espace de stockage que vous contrôlez — idéalement hors de l'infrastructure Microsoft.

Avec une vraie sauvegarde tierce, vous pouvez restaurer :

• Un email supprimé il y a 2 ans en quelques clics
• L'intégralité d'une boîte mail après une compromission de compte
• Des versions saines de fichiers avant un incident ransomware
• Un site SharePoint supprimé il y a 6 mois

C'est la même logique que la règle 3-2-1 appliquée au cloud : plusieurs copies, sur des supports différents, dont une hors ligne ou hors du périmètre principal.

Les stratégies de rétention Microsoft 365 : un complément, pas une solution

Microsoft propose des outils de conformité (Microsoft Purview) qui permettent de définir des stratégies de rétention : conserver tous les emails au moins 7 ans, par exemple. Ces outils sont disponibles sur les licences E3 et E5, pas sur les Business Standard courantes.

Attention : la rétention pour conformité et la sauvegarde sont deux choses différentes.

• La rétention empêche la suppression définitive d'un contenu — mais elle ne permet pas une restauration granulaire facile.
• Elle ne protège pas contre la corruption ou l'altération des données.
• Elle nécessite une administration spécifique et une licence adaptée.

Si vous vous posez la question de la conformité des données de votre entreprise, c'est aussi un bon moment pour regarder votre plan de conformité RGPD — les deux sujets sont liés.

Comment intégrer ça dans votre plan de continuité d'activité

La sauvegarde Microsoft 365 fait partie d'un ensemble plus large : votre Plan de Reprise d'Activité (PRA). Un PRA bien construit répond à une question simple : si demain matin vous perdez l'accès à tous vos outils de travail, combien de temps vous faut-il pour redémarrer, et est-ce que vous perdez des données ?

Pour une TPE ou PME de la région de Digne-les-Bains qui travaille avec Microsoft 365, un PRA minimal doit inclure :

• Une sauvegarde automatique quotidienne de Microsoft 365 (Exchange, SharePoint, OneDrive, Teams)
• Un test de restauration mensuel ou trimestriel — car une sauvegarde non testée n'existe pas vraiment (nous l'expliquons dans cet article)
• Une procédure documentée pour restaurer rapidement en cas d'incident
• Un stockage des sauvegardes distinct de l'environnement Microsoft

À l'atelier TECHNOTREMENT, nous accompagnons les entreprises locales dans la mise en place de ces dispositifs. Ce n'est pas réservé aux grandes entreprises — une TPE de 5 personnes peut avoir une solution complète pour quelques dizaines d'euros par mois.

Ce que ça coûte réellement (et ce que ça vous évite)

Une solution de sauvegarde Microsoft 365 tierce coûte typiquement entre 3 et 6 € par utilisateur et par mois selon les options de rétention et de stockage.

Pour une entreprise de 10 personnes : 30 à 60 € par mois. C'est le prix d'un déjeuner d'affaires.

En face : une perte de données critique peut coûter des milliers d'euros en temps passé à reconstituer l'information, en litiges commerciaux, en amendes RGPD, ou tout simplement en clients perdus. Nous voyons chaque année des entreprises des Alpes-de-Haute-Provence confrontées à ce type d'incident — et la plupart auraient pu l'éviter pour moins de 50 € par mois.

FAQ : sauvegarde Microsoft 365

Microsoft 365 sauvegarde-t-il mes données automatiquement ?

Non, pas au sens où vous l'entendez. Microsoft réplique ses données entre datacenters pour garantir la disponibilité du service — mais ce n'est pas une sauvegarde que vous pouvez utiliser pour restaurer un fichier supprimé par erreur ou un email effacé il y a 6 mois. La corbeille OneDrive et SharePoint dure 93 jours, les emails supprimés restent récupérables 14 à 44 jours selon les cas. Au-delà, vous n'avez aucun recours sans sauvegarde externe.

Si mon abonnement Microsoft 365 expire ou est supprimé, que deviennent mes données ?

Microsoft conserve vos données dans un état "désactivé" pendant 30 jours après la résiliation de l'abonnement. Passé ce délai, vos données sont définitivement supprimées de leurs serveurs dans les 180 jours. Sans sauvegarde externe effectuée avant la résiliation, tout est perdu. C'est particulièrement critique lors d'un changement de prestataire informatique ou d'un rachat d'entreprise.

Mon OneDrive est synchronisé sur mon PC — c'est une sauvegarde, non ?

Non. La synchronisation fonctionne dans les deux sens : ce qui est modifié ou supprimé sur votre PC est répercuté dans le cloud, et inversement. En cas de ransomware sur votre poste, les fichiers chiffrés remplacent les versions saines dans le cloud. En cas de suppression accidentelle, la suppression se propage partout. La synchronisation, c'est le confort d'accès — pas une sauvegarde. Consultez notre article sur pourquoi confondre stockage et sauvegarde est une erreur dangereuse.

Comment savoir si mon entreprise a besoin d'une sauvegarde Microsoft 365 ?

Si vous répondez "oui" à l'une de ces questions, vous en avez besoin : Est-ce que des données critiques de votre activité (contrats, devis, communications clients, comptabilité) sont stockées dans Exchange, OneDrive ou SharePoint ? Avez-vous des salariés qui ont accès à ces données ? Seriez-vous en difficulté si vous perdiez 6 mois d'emails ou de documents ? Pour les TPE et PME du 04, nous pouvons réaliser un audit informatique et vous proposer une solution adaptée à votre taille et à votre budget.