« Nos données sont dans Microsoft 365, donc elles sont sauvegardées. » C'est la phrase que nous entendons le plus souvent chez les dirigeants de PME, et elle est à moitié vraie. Microsoft garantit que le service fonctionne et que vos données survivent à une panne de ses serveurs. Il ne garantit pas que vous retrouverez un fichier supprimé il y a six mois, une boîte mail vidée par un compte piraté ou un site SharePoint écrasé par un ransomware. Cet écart porte un nom : le modèle de responsabilité partagée.
Disponibilité n'est pas sauvegarde
Microsoft assure la résilience de son infrastructure : données répliquées sur plusieurs centres, matériel redondant, continuité du service. C'est de la disponibilité. Une sauvegarde répond à une autre question : « comment revenir à l'état de la veille, du mois dernier, d'avant l'incident ? » Or une erreur humaine, une suppression volontaire ou une synchronisation qui propage des fichiers chiffrés sont, pour le service, des opérations parfaitement normales. Elles sont répliquées partout, aussi fidèlement que le reste.
Le contrat le dit d'ailleurs noir sur blanc. Dans les conditions générales des services Microsoft (version publiée le 30 juillet 2026, applicable depuis le 30 septembre 2026), à la rubrique disponibilité du service, on lit : « We recommend that you regularly backup Your Content and Data ». Autrement dit, la sauvegarde de votre contenu est votre affaire.
Ce que Microsoft conserve réellement
Les mécanismes de récupération natifs existent, mais ils sont courts et conçus pour les erreurs du quotidien, pas pour les sinistres.
OneDrive et SharePoint : un fichier supprimé reste récupérable 93 jours au total, corbeille de premier et de second niveau cumulées. Le délai ne repart pas quand l'élément change de corbeille. Les fichiers des canaux Teams sont stockés dans SharePoint et les pièces jointes des conversations dans OneDrive : la même limite s'applique.
Exchange Online : les éléments supprimés d'une boîte mail sont conservés 14 jours par défaut, extensibles à 30 jours par configuration. Au-delà, un message supprimé est perdu.
Comptes supprimés : les fichiers OneDrive d'un collaborateur qui part sont gardés 30 jours par défaut, puis passent dans la corbeille de la collection de sites. Un départ mal anticipé suffit à effacer un historique de travail.
Et si la corbeille elle-même est vidée ? Dans SharePoint, les éléments purgés de la corbeille de second niveau sont supprimés immédiatement. Microsoft conserve certes des copies internes 14 jours de plus, mais leur restauration passe par une demande au support, et elle porte sur une collection de sites entière, pas sur un fichier isolé. Ce n'est pas un service de restauration à la demande.
Quatre scénarios où la corbeille ne suffit pas
1. Le compte piraté. Un attaquant qui prend la main sur une messagerie peut supprimer des mails, puis vider la corbeille. Les mécanismes natifs n'offrent pas d'immutabilité face à une suppression malveillante : celui qui a les droits peut effacer, y compris les copies de secours accessibles à l'utilisateur. L'ANSSI, dans son panorama de la cybermenace 2025, relève une cybercriminalité en hausse, notamment les vols de données, avec un coût de réponse à incident élevé pour les victimes.
2. Le ransomware qui se synchronise. Un poste infecté chiffre des fichiers que OneDrive synchronise aussitôt vers le cloud. L'historique de versions aide à revenir en arrière, mais à l'échelle d'un dossier partagé par vingt personnes, la restauration manuelle devient un chantier de plusieurs jours.
3. La découverte tardive. Un dossier partagé déplacé ou vidé en début d'année, et personne ne s'en aperçoit avant la clôture comptable. À 93 jours, la fenêtre est refermée. C'est le cas le plus fréquent, et le plus banal.
4. Le litige ou le contrôle. Retrouver un échange client ou un document tel qu'il était à une date précise est une exigence juridique ou contractuelle courante. Les politiques de conservation de Microsoft Purview peuvent prolonger la rétention, mais elles ne remplacent pas une solution de sauvegarde pour restaurer vite et proprement.
À quoi ressemble une sauvegarde Microsoft 365 sérieuse
Elle repose sur les mêmes principes que pour le reste du système d'information : une copie indépendante du tenant (chez un autre acteur, dans une autre infrastructure), une rétention choisie par vous et non subie, et idéalement une copie immuable que même un administrateur compromis ne peut pas effacer. Elle couvre les quatre piliers que l'on oublie trop souvent : Exchange, OneDrive, SharePoint et Teams, ainsi que la configuration d'identité qui permet de se reconnecter.
Trois questions permettent de juger rapidement une solution. Peut-on restaurer un seul élément, à une date donnée, sans l'aide d'un support ? Où sont stockées les copies, et sous quelle juridiction ? Qui est alerté quand une sauvegarde échoue ? Une sauvegarde qui échoue en silence depuis trois semaines est pire que pas de sauvegarde, parce qu'elle donne une fausse assurance.
Enfin, la sauvegarde ne vaut que si elle a été testée. Restaurer une boîte mail et un site SharePoint une fois par trimestre, en chronométrant l'opération, transforme une promesse en engagement vérifiable. C'est aussi le type de preuve que demandent de plus en plus les assureurs cyber et les donneurs d'ordre.
Le bon calcul avant de décider
Le coût d'une sauvegarde Microsoft 365 se compte en quelques euros par utilisateur et par mois. Face à lui, mettez le prix d'une semaine de reconstitution de données pour toute l'entreprise, plus les échanges clients non retrouvés. La comparaison tranche presque toujours en une minute, mais seulement si elle est faite avant l'incident, et pas pendant.
Comment Assutech vous accompagne
Assutech audite d'abord ce que votre tenant conserve réellement (durées de rétention, comptes à privilèges, partages ouverts), puis met en place une sauvegarde indépendante supervisée, avec alerte en cas d'échec et test de restauration périodique. Elle s'intègre à notre infogérance : vous n'avez pas un outil de plus à surveiller, vous avez une garantie de reprise documentée.
Combien de temps pouvez-vous réellement remonter dans le passé ?
Nous vérifions la rétention de votre tenant Microsoft 365 et vous proposons une sauvegarde indépendante, supervisée et testée.
Sources : Microsoft — Conditions générales des services (Microsoft Services Agreement), version du 30 juillet 2026, rubrique disponibilité du service · Microsoft Learn — Suppression de données dans SharePoint Online (corbeilles, 93 jours, sauvegardes de 14 jours) · Durées de rétention Exchange Online, OneDrive et Teams, documentation Microsoft et synthèses d'éditeurs de sauvegarde · ANSSI — Panorama de la cybermenace 2025.