Microsoft ne sauvegarde pas vos mails : la responsabilité partagée expliquée aux PME

« Nos mails sont dans le cloud, donc ils sont sauvegardés. » Cette phrase, nous l’entendons à chaque audit. Elle est fausse, et Microsoft l’écrit noir sur blanc dans son contrat de services : l’éditeur garantit la disponibilité de la plateforme, pas la conservation de vos données. C’est le modèle de responsabilité partagée.

Ce que Microsoft garantit

Microsoft s’engage sur l’infrastructure : les datacenters, la réplication entre régions, la disponibilité à 99,9 %. Si un centre de données tombe, vos boîtes restent accessibles depuis un autre. Cette résilience est réelle et bien meilleure que celle d’un serveur local.

Ce que Microsoft ne garantit pas

Vos données restent sous votre responsabilité. Quelques situations concrètes que la corbeille de Microsoft 365 ne couvre pas :

• Suppression définitive. Un élément supprimé reste 30 jours dans la corbeille, 14 jours de plus en récupération d’administrateur, puis disparaît. Un employé qui vide sa corbeille en partant efface l’historique client de trois ans.
• Ransomware. Un poste chiffré synchronise les fichiers chiffrés vers OneDrive et SharePoint. L’historique des versions aide, à condition d’avoir été activé et de ne pas avoir été purgé par l’attaquant.
• Compte supprimé. Une licence retirée entraîne la suppression de la boîte après 30 jours. Sans sauvegarde, tout est perdu, y compris pour une obligation légale de conservation.
• Erreur d’administration. Une règle de rétention mal configurée s’applique à tout le tenant, sans retour arrière.

La rétention native, disponible dans les plans Business Premium et E3, répond à une partie des cas mais ne remplace pas une sauvegarde : elle vit dans le même tenant, avec les mêmes identifiants, et un administrateur compromis peut la désactiver.

Ce qu’une vraie sauvegarde Microsoft 365 apporte

Une sauvegarde tierce copie chaque jour Exchange, OneDrive, SharePoint et Teams vers un stockage indépendant du tenant. Elle permet :

• de restaurer un mail, un dossier ou une boîte entière à une date donnée, en quelques minutes ;
• de conserver les données au-delà des 90 jours de Microsoft, pour répondre à une obligation de conservation ou à un litige ;
• de survivre à la compromission d’un compte administrateur, puisque le stockage de sauvegarde n’est pas accessible avec les identifiants Microsoft.

Nous déployons Veeam Backup for Microsoft 365 avec un stockage objet immuable, souvent le même que celui de la sauvegarde des serveurs. Le principe reste celui de la règle 3-2-1 que nous détaillons dans notre article sur la sauvegarde immuable.

Combien ça coûte

Pour une PME de 30 utilisateurs, comptez quelques dirhams par utilisateur et par mois, licence et stockage compris. À comparer au coût d’une seule journée sans accès aux mails ou d’un historique client irrécupérable.

Par où commencer

1. Vérifiez vos réglages actuels : durée de la corbeille, historique des versions OneDrive, rétention active ou non.
2. Listez les données critiques : boîtes de direction, adresses partagées, bibliothèques SharePoint de contrats.
3. Mettez en place une sauvegarde quotidienne, testez une restauration, et documentez qui peut la déclencher.

Ces trois étapes tiennent dans une demi-journée. Elles font partie de notre offre cloud managé, avec un test de restauration inclus chaque trimestre.