Microsoft 365 : de nombreuses données perdues après l’arrêt d’une offre gratuite

La fin de la gratuité d'Office 365 E1 : chronique d'une perte de données annoncée

Un programme de soutien historique pour les associations

Pendant près d'une décennie, le géant américain Microsoft a soutenu le secteur associatif mondial en offrant des licences gratuites pour sa suite cloud. L'offre Office 365 E1 offrait aux organisations éligibles des boîtes de réception de 50 Go, l'accès à Teams, SharePoint et OneDrive, ainsi que les versions web des applications Office. Ce programme a permis à des milliers de petites structures de se numériser à moindre coût.

Une transition complexe et une communication perfectible

Cependant, la stratégie de l'éditeur a évolué vers une rationalisation de ses offres gratuites. Début 2023, Microsoft a annoncé le retrait progressif de cette gratuité pour les licences E1, fixant la date butoir au 1er août 2023. Les associations devaient migrer vers des offres payantes ou vers la formule gratuite plus limitée Microsoft 365 Business Basic, limitée à un nombre restreint d'utilisateurs gratuits.

Des conséquences irréversibles pour les utilisateurs

Cette transition a posé d'immenses défis logistiques. Les notifications envoyées par l'éditeur ont souvent été ignorées ou mal interprétées par les administrateurs bénévoles. Sans compétences techniques internes, de nombreuses structures n'ont pas réalisé la migration des licences avant la date fatidique, déclenchant le processus automatique de suspension des comptes. À l'issue de la période de grâce, les comptes non convertis ont été suspendus, puis définitivement supprimés.

Le cycle de vie d'un compte Microsoft 365 après expiration

Phase 1 : L'état expiré (jours 1 à 30)

Lorsqu'un abonnement Microsoft 365 prend fin, les données ne sont pas immédiatement supprimées. Microsoft applique un protocole strict de rétention divisé en trois phases distinctes. Connaître ce calendrier est indispensable pour réagir avant l'effacement définitif.

Durant cette première période de trente jours, les utilisateurs conservent un accès normal aux applications et aux fichiers. Les administrateurs de la console peuvent encore effectuer des sauvegardes manuelles ou attribuer de nouvelles licences pour régulariser la situation sans aucune perte.

Phase 2 : L'état désactivé (jours 31 à 90)

Si aucune action n'est entreprise, le compte bascule dans l'état désactivé pour une durée de soixante jours supplémentaires. À ce stade, les utilisateurs perdent l'accès aux applications installées et aux services cloud. Les collaborateurs ne peuvent plus envoyer de courriels ni ouvrir leurs fichiers OneDrive. En revanche, les administrateurs conservent un accès restreint à la console d'administration pour exporter les données ou renouveler l'abonnement en urgence.

Phase 3 : L'état déprovisionné (au-delà de 90 jours)

Au-delà de quatre-vingt-dix jours, le compte est dit déprovisionné. À cette étape ultime, toutes les données utilisateur (courriels, fichiers, configurations) sont définitivement supprimées des serveurs de production de Microsoft. L'éditeur procède à l'effacement complet et sécurisé des espaces de stockage. Aucune assistance technique, même la plus avancée, ne peut alors restaurer ces éléments détruits.

Le modèle de responsabilité partagée dans le cloud

Ce que Microsoft garantit (et ce qu'il ne garantit pas)

Le principal piège du modèle SaaS (Software as a Service) réside dans la confusion entre haute disponibilité et sauvegarde. De nombreux décideurs pensent à tort que l'hébergeur cloud assume la responsabilité de la sécurité de leurs données. Or, les conditions générales d'utilisation de Microsoft définissent clairement un modèle de responsabilité partagée.

Dans ce cadre, les responsabilités se répartissent ainsi :

• La responsabilité de l'éditeur : Elle concerne la disponibilité globale de l'infrastructure, la sécurité physique des centres de données et la continuité de service des applications.
• La responsabilité du client : Elle englobe la gestion des accès, la configuration de la sécurité des comptes et, de manière critique, la protection et la sauvegarde des données créées.

Pourquoi la synchronisation OneDrive n'est pas une sauvegarde

De plus, les outils de synchronisation comme OneDrive ou SharePoint ne constituent pas des sauvegardes. Si un utilisateur supprime un fichier ou si un rançongiciel chiffre un répertoire local, les modifications sont instantanément répercutées dans le cloud. Sans historique externe, la perte de données est immédiate et définitive. Pour en savoir plus sur la gestion de vos infrastructures, vous pouvez consulter notre page dédiée à l' expertise informatique.

Comment mettre en place une stratégie de sauvegarde robuste ?

Appliquer la stratégie de sauvegarde 3-2-1

Pour se prémunir contre les arrêts de service ou les erreurs de manipulation, il est indispensable d'extraire ses données du cloud public. La règle du 3-2-1 reste la référence absolue en matière de sécurité informatique. Elle consiste à conserver trois copies des données sur deux supports différents, dont une stockée hors site.

Les solutions de sauvegarde tierces : fonctionnement et critères de choix

Pour sécuriser efficacement un tenant Microsoft 365, l'usage d'une solution de sauvegarde tierce est indispensable. Ces outils fonctionnent de manière autonome en se connectant aux API Microsoft Graph. Ils extraient les données en continu sans impacter les performances des utilisateurs.

Lors du choix d'une solution de sauvegarde cloud, plusieurs critères techniques doivent être évalués :

• La granularité de la restauration : La capacité de restaurer un seul courriel, un contact ou un fichier spécifique plutôt que l'intégralité d'une boîte aux lettres.
• La fréquence des sauvegardes : L'outil doit proposer au moins une sauvegarde quotidienne automatique, idéalement plusieurs pour les environnements à forte activité.
• L'indépendance du stockage : Les données sauvegardées doivent être stockées chez un autre hébergeur cloud ou sur une infrastructure locale pour garantir une vraie redondance.
• La gestion des versions (versioning) : Conserver un historique des modifications sur plusieurs mois pour faire face aux attaques par rançongiciel à déclenchement retardé.

L'implémentation de ces outils s'inscrit dans une démarche globale de gestion des risques numériques. Elle garantit que, quelle que soit l'évolution des offres commerciales ou des conditions d'utilisation de l'éditeur principal, l'organisation conserve la pleine propriété et le contrôle de ses données historiques. La mise en place de services informatiques adaptés permet d'identifier ces failles de conformité avant qu'un incident ne survienne.

Synthèse des étapes de rétention des données Microsoft 365

Le tableau ci-dessous résume les différentes phases par lesquelles passe un abonnement après sa date d'expiration ou de résiliation officielle. Ces délais réglementaires sont à connaître pour éviter toute surprise.

Pour découvrir d'autres analyses détaillées sur la sécurité des données et les évolutions technologiques, n'hésitez pas à parcourir notre blog d'actualités technologiques. L'anticipation reste la meilleure défense contre les imprévus du cloud.

Questions fréquentes

Sources

• Microsoft Learn - Qu'arrive-t-il à mes données à la fin de l'abonnement
• Microsoft Learn - Conservation et suppression des données