Microsoft 365 sauvegarde vos données? Relisez le contrat.
Un courriel d'un ex-employé à produire pour un litige, un compte supprimé depuis huit mois — et la découverte que « c'est dans le nuage » ne voulait pas dire « c'est sauvegardé ». Voici ce que Microsoft 365 conserve vraiment par défaut, ce que son contrat de services dit noir sur blanc, et comment fermer le trou avant d'en avoir besoin.
Un mardi matin, l'appel vient du comptable : un litige avec un ancien fournisseur s'enligne, et l'avocat a besoin des courriels d'un chargé de projet pour documenter le dossier. Petit détail : l'employé a quitté l'entreprise il y a huit mois. Son compte a été supprimé deux semaines après son départ — ménage de licences, réflexe normal. La réponse du soutien technique tombe comme une tuile : la boîte courriel n'existe plus, le OneDrive non plus, et il n'y a rien à restaurer.
« Mais... c'est dans le nuage, non? »
C'est exactement là que le malentendu explose. Oui, c'était dans le nuage. Non, ce n'était pas sauvegardé. Parce que Microsoft 365 garantit une chose — que le service fonctionne — et pas celle qu'on imagine : que vos données soient récupérables quand vous en aurez besoin.
Ce que Microsoft garantit vraiment (c'est écrit dans le contrat)
Le modèle s'appelle la « responsabilité partagée », et il est plus simple qu'il en a l'air. Microsoft s'occupe de sa moitié : les centres de données, l'infrastructure, la disponibilité du service, la sécurité de la plateforme. Votre moitié à vous : les données elles-mêmes — leur accès, leur conservation, leur récupération et leur conformité.
Pas besoin de me croire sur parole : c'est dans le Contrat de services Microsoft, à la section 6b. Microsoft y écrit que tous les services en ligne subissent des interruptions occasionnelles, qu'elle n'est pas responsable des pertes qui en découlent — et elle recommande elle-même de sauvegarder régulièrement votre contenu « au moyen d'applications et de services tiers ». Quand un fournisseur vous recommande par écrit de sauvegarder ailleurs les données que vous stockez chez lui, le débat est pas mal réglé.
Ce que la plupart des PME prennent pour une sauvegarde, c'est en réalité un ensemble de corbeilles et de délais de grâce. Utiles, mais courts — et surtout, pas conçus pour vous.
Les délais par défaut qui surprennent tout le monde
Voici ce que Microsoft 365 conserve réellement, sans configuration particulière, selon la documentation officielle de Microsoft :
Un courriel supprimé définitivement passe par le dossier des éléments récupérables : 14 jours par défaut, extensible à un maximum de 30. Un compte d'utilisateur supprimé — le scénario de notre ex-employé — reste restaurable pendant 30 jours, après quoi la boîte disparaît. Son OneDrive est conservé 30 jours par défaut lui aussi (un administrateur SharePoint peut encore le repêcher pendant une fenêtre supplémentaire — s'il sait qu'il doit le faire). Et un fichier supprimé dans SharePoint ou OneDrive survit 93 jours dans les corbeilles, première et deuxième étape confondues. Après, c'est terminé : même le soutien de Microsoft ne peut plus rien.
Ces délais peuvent être allongés avec des politiques de rétention — mais ça exige une configuration délibérée, les bonnes licences et quelqu'un qui y a pensé avant l'incident. Par défaut, personne n'y a pensé.
Remarquez le point commun : tous ces compteurs se mesurent en jours et en semaines. Or les vrais besoins de récupération, eux, se mesurent en mois et en années — le litige qui remonte à l'automne dernier, la vérification fiscale, la demande d'un client, le départ d'employé dont on découvre les angles morts bien plus tard . Le problème n'est presque jamais la suppression d'hier. C'est celle d'il y a huit mois.
Ce que la corbeille ne couvrira jamais
Même à l'intérieur des fenêtres de rétention, plusieurs scénarios passent au travers.
Un rançongiciel qui chiffre les fichiers synchronisés dans OneDrive et SharePoint : la version chiffrée écrase la bonne, et la restauration intégrée permet de reculer de 30 jours au maximum — en croisant les doigts pour que l'attaque ait été détectée à temps. Un employé qui quitte en mauvais termes et fait le ménage avant de partir : s'il vide les corbeilles, la fenêtre rétrécit dramatiquement. Un compte compromis dont l'attaquant supprime méthodiquement les traces. Ou simplement l'erreur humaine découverte trop tard — le dossier écrasé en mars qu'on cherche en juin.
Dans chacun de ces cas, le réflexe « on ira voir dans la corbeille » donne la même réponse que pour notre chargé de projet : trop tard.
« Mais Microsoft vend maintenant sa propre sauvegarde »
Vrai — et c'est peut-être l'aveu le plus éloquent du dossier. Depuis 2024, Microsoft commercialise Microsoft 365 Backup, un produit payant, en supplément de vos licences. Si la sauvegarde était incluse dans Microsoft 365, Microsoft n'aurait rien à vous vendre.
L'outil a ses mérites (restaurations rapides, intégration native), mais aussi une limite structurelle : les copies restent dans le nuage Microsoft. Vos données de production et leurs sauvegardes vivent chez le même fournisseur, dans le même écosystème, accessibles par le même tenant. C'est précisément ce que la règle de base de toute stratégie de sauvegarde cherche à éviter : garder tous ses œufs dans le même panier — même si le panier est excellent.
Et il y a la question de la conformité. Vos obligations de conservation — fiscales, contractuelles, ou celles du calendrier de conservation que la Loi 25 vous demande d'établir — ne disparaissent pas parce que les données sont dans le nuage. Conserver un dossier sept ans, ça implique d'être capable de le produire dans sept ans. Une corbeille de 93 jours ne signera jamais ce contrat-là.
Les quatre vérifications à faire cette semaine
1. Sachez ce que votre tenant conserve réellement. Pas ce que vous pensez, pas ce que le vendeur a dit en 2021 : ce qui est configuré aujourd'hui. Politiques de rétention, délais OneDrive des comptes supprimés, licences en place. C'est un état des lieux d'une heure.
2. Définissez vos besoins par type de données. Les courriels de direction, les dossiers clients, les documents financiers et le canal Teams de la machine à café n'ont pas la même valeur ni la même durée de vie. Votre calendrier de conservation Loi 25 fait d'une pierre deux coups ici.
3. Ajoutez une sauvegarde indépendante, hors du nuage Microsoft. Automatisée, chiffrée, avec une rétention alignée sur vos besoins réels — et surtout testée : une sauvegarde jamais restaurée est une hypothèse, pas une protection.
4. Intégrez la sauvegarde au processus de départ. Avant de supprimer un compte, on capture : boîte courriel, OneDrive, accès partagés. La suppression de licence vient après la préservation, jamais avant.
La question qui reste est celle du mardi matin : si on vous demandait demain de produire les courriels d'un employé parti l'automne dernier, les auriez-vous — ou découvririez-vous que la corbeille est vide depuis des mois?
Chez MMO Techno, la sauvegarde Microsoft 365 indépendante, chiffrée et testée fait partie de nos services gérés — avec la capture systématique avant chaque départ d'employé et une rétention alignée sur vos obligations. Si vous n'êtes pas certain de ce que votre tenant conserve en ce moment, c'est exactement la conversation à avoir cette semaine .