Guide
Sauvegarder Microsoft 365 : pourquoi Microsoft ne le fait pas pour vous
Le modèle de responsabilité partagée, ce que la corbeille et les politiques de rétention font et ne font pas, les risques les plus fréquents, et ce qu'une vraie sauvegarde d'Exchange, OneDrive et SharePoint doit respecter.
« Mais c'est dans le cloud, non ? »
C'est vrai, et Microsoft y fait un excellent travail : les centres de données, les serveurs, la disponibilité de la plateforme. Mais les conditions de service de Microsoft 365 contiennent le modèle de responsabilité partagée : Microsoft est responsable du service, vous êtes responsable de vos données. Microsoft recommande lui-même de faire sauvegarder votre contenu par un tiers.
Il en va de même pour Google Workspace.
Ce que les fonctions intégrées font et ne font pas
| Fonction | Ce qu'elle fait | Ce qu'elle ne fait pas |
|---|---|---|
| Corbeille (30 jours, 93 pour SharePoint) | conserver temporairement les éléments supprimés | protéger contre qui vide la corbeille, ou contre une suppression plus ancienne que la période |
| Historique des versions | conserver les versions antérieures d'un document | aider quand tout le compte ou tout le site a disparu, ou en cas de chiffrement massif via un dossier synchronisé |
| Politique de rétention (Purview) | conserver des éléments pour la conformité | faire une vraie copie hors du tenant ; un administrateur avec les bons droits peut modifier la politique |
| Utilisateur supprimé | récupérable pendant 30 jours | rendre la boîte mail et le OneDrive d'un ancien collaborateur après ce délai |
Toutes ces fonctions sont dans le même tenant, sous les mêmes comptes administrateur. Qui prend le contrôle de votre compte administrateur les a toutes.
Les risques les plus fréquents
- Erreur humaine. Un dossier déplacé, un site supprimé, une règle qui filtre des mails. Remarqué des semaines plus tard.
- Collaborateurs qui partent. La licence est retirée pour économiser, et après trente jours la boîte mail avec dix ans de correspondance client a disparu.
- Rançongiciel via la synchronisation. Le client OneDrive synchronise les fichiers chiffrés aussi fidèlement que les autres. L'historique des versions aide jusqu'à un certain point, mais pas pour des milliers de fichiers à la fois.
- Compte administrateur détourné. Alors il n'y a plus ni corbeille ni politique de rétention.
- Obligations de conservation. Factures sept ans, dossiers du personnel plus longtemps : cela ne se règle pas avec une corbeille.
Ce qu'une vraie sauvegarde doit respecter
- Hors du tenant, dans un stockage que vous contrôlez, avec un jeu de clés différent de celui de votre administrateur Microsoft.
- Immuable : la sauvegarde elle-même ne doit pas être effaçable pendant la durée de conservation.
- Chiffrée avant de partir, avec une clé qui n'est ni chez Microsoft ni chez le fournisseur de sauvegarde.
- Lisible sans le fournisseur : les mails comme messages ordinaires, les documents dans leur propre format.
- Restauration granulaire : une boîte mail, un dossier, un fichier, sans écraser l'original.
- Testée : restaurer régulièrement un échantillon et comparer.
Comment Zekura procède
Zekura sauvegarde Microsoft 365 et Google Workspace via un hôte connecteur : une petite VM Linux à vous ou à votre partenaire IT. Elle récupère mails et fichiers via l'API officielle, tient un miroir incrémental et en prend un instantané vers votre propre stockage immuable, chiffré comme tout le reste. Les identifiants de connexion restent sur cette VM et ne vont jamais vers la plateforme.
Les mails arrivent message par message en .eml, les documents dans leur propre format, les documents Google en docx, xlsx, pptx ou pdf. La restauration peut aller vers un dossier ou directement dans le tenant, toujours sous un dossier Zekura-restore, jamais par-dessus l'original. Et chaque semaine, Zekura restaure un petit échantillon et le compare : c'est la preuve que la sauvegarde fonctionne. Les étapes figurent dans la documentation.
Questions fréquentes
Microsoft n'a-t-il pas son propre service de sauvegarde ?
Microsoft 365 Backup existe depuis 2024 et conserve des copies dans le cloud Microsoft, sous le même tenant et les mêmes administrateurs. C'est utile pour une restauration rapide, mais ce n'est pas une copie hors du tenant ni une protection contre un compte administrateur détourné.
À quelle fréquence une sauvegarde Microsoft 365 doit-elle tourner ?
Quotidiennement, c'est courant ; mails et documents changent toute la journée, mais perdre une journée est acceptable pour la plupart des organisations. Qui veut un RPO plus court fait tourner le connecteur plus souvent.
Cela compte-t-il pour NIS2 et le RGPD ?
Oui. Vos mails et documents sont des données personnelles et des informations d'entreprise dont vous devez pouvoir rétablir la disponibilité (RGPD article 32). Lisez le guide sur NIS2.