Non, Microsoft 365 ne sauvegarde pas vos données

C'est probablement l'idée reçue la plus répandue dans les PME que nous rencontrons : « nos données sont dans Microsoft 365, donc elles sont sauvegardées ». La réalité est différente, et Microsoft lui-même ne dit pas autre chose. Voici ce que la plateforme protège vraiment, ce qu'elle ne protège pas, et comment combler l'écart.

Ce que Microsoft garantit : la disponibilité, pas votre historique

Le modèle est celui de la responsabilité partagée. Microsoft s'engage sur l'infrastructure : ses centres de données sont redondés, un incendie chez eux ne fera pas disparaître vos mails. C'est de la haute disponibilité, et sur ce plan, la plateforme est excellente.

Mais la responsabilité de vos données, elle, vous appartient. Microsoft réplique fidèlement ce qui se passe dans votre compte, y compris les suppressions et les chiffrements : si un fichier est supprimé ou corrompu, c'est cette version supprimée ou corrompue qui est répliquée. La réplication n'est pas une sauvegarde, c'est un miroir.

Les protections natives, et leurs limites

Microsoft 365 offre bien des filets, qu'il faut connaître :

• Les corbeilles : un mail ou un fichier supprimé reste récupérable pendant une fenêtre limitée, typiquement de 30 à 93 jours selon le service et la configuration. Au-delà, c'est définitif.
• Le versioning de OneDrive et SharePoint : les versions précédentes d'un fichier sont conservées, utile contre l'erreur de manipulation.
• La rétention en cas de départ : la boîte mail d'un salarié parti est conservée environ 30 jours après suppression du compte, puis disparaît, sauf licence et configuration spécifiques.

Ces mécanismes protègent contre l'erreur détectée rapidement. Ils ne protègent pas contre le reste.

Les scénarios où les filets natifs ne suffisent pas

• La suppression découverte tard. Un dossier SharePoint supprimé par erreur en janvier, dont l'absence est constatée six mois plus tard lors d'un contrôle : les corbeilles sont vides depuis longtemps.
• Le ransomware qui passe par la synchronisation. Un poste infecté chiffre les fichiers locaux, et OneDrive synchronise consciencieusement les versions chiffrées. Le versioning aide parfois, mais sa restauration en masse est laborieuse et bornée dans le temps.
• La malveillance interne. Un salarié sur le départ qui vide sa boîte et ses dossiers peut aussi vider les corbeilles. Sans copie indépendante, il ne reste rien.
• Le compte compromis. Un attaquant qui prend le contrôle d'un compte administrateur peut altérer les données et les paramètres de rétention eux-mêmes.
• Le besoin d'historique long. Retrouver un échange de mails de 2021 pour un litige commercial : sans politique d'archivage dédiée, les protections par défaut n'en gardent aucune trace.

Ce qu'il faut mettre en place

La réponse est une sauvegarde tierce et indépendante de Microsoft 365 : un outil qui copie régulièrement mails, OneDrive, SharePoint et Teams vers un stockage séparé, hors de portée d'un compte compromis, avec un historique de plusieurs mois ou années.

Trois exigences pour qu'elle vaille quelque chose :

1. Indépendance : la sauvegarde ne doit pas être accessible avec les mêmes identifiants que le compte Microsoft 365 qu'elle protège.
2. Historique long : c'est précisément ce que les corbeilles n'offrent pas. Visez au minimum un an de rétention.
3. Restaurations testées : une sauvegarde jamais restaurée est une promesse, pas une protection. Notre checklist sauvegarde en 12 questions vous aide à vérifier ce point avec votre prestataire.

Côté budget, la sauvegarde Microsoft 365 se facture généralement quelques euros par utilisateur et par mois. Rapporté à la valeur d'un historique de mails et de documents d'entreprise, c'est l'une des lignes les moins discutables du budget informatique, et elle est d'ailleurs incluse dans les formules d'infogérance étendues que nous décrivons dans notre article sur les coûts.

La question à poser dès aujourd'hui

Une seule question à votre prestataire suffit à situer votre exposition : « si un dossier SharePoint supprimé en début d'année devait être retrouvé aujourd'hui, que pourrais-tu restaurer, et depuis quoi ? ». Si la réponse commence par « normalement », vous savez ce qu'il reste à faire.