Microsoft 365 n'est pas « Outlook dans le navigateur ». C'est un tenant, c'est-à-dire un espace d'entreprise hébergé chez Microsoft, qui contient vos identités, vos licences, vos boîtes aux lettres, vos fichiers et le plus souvent Teams. Dans le Bassin Genevois, la majorité des PME que nous reprenons l'utilisent déjà, parfois sous l'ancien nom Office 365, parfois par l'intermédiaire d'un revendeur dont plus personne ne se souvient.
La scène se répète à chaque reprise de parc. Nous demandons qui est administrateur du tenant, et personne ne sait répondre. Le mot de passe du compte global se trouve dans un courriel de 2019. Deux salariés partis conservent une licence active. Cette situation tient tant qu'il ne se passe rien, et elle se paie très cher le jour d'une tentative de phishing réussie ou d'un départ conflictuel.
Nous gérons ces tenants dans le cadre de la gestion des messageries et de l'infogérance, à partir de 120 HT / mois. Nous ne revendons pas les licences Microsoft et nous n'inventons pas leur tarif : elles vous sont facturées par Microsoft ou par votre revendeur, et les montants évoluent régulièrement. Notre travail porte sur le reste, qui est justement ce qui casse : les comptes, les enregistrements DNS, les mobiles, les droits et les copies de sécurité.
Un tenant, c'est le nom de votre entreprise chez Microsoft
Le tenant porte un identifiant de type votresociete.onmicrosoft.com, auquel vous rattachez ensuite votre vrai domaine. Tout ce qui suit en dépend : les adresses de messagerie, les comptes des salariés, les bibliothèques de fichiers, les stratégies de sécurité. Un tenant ne se déplace pas et ne fusionne pas simplement avec un autre, ce qui explique pourquoi les rachats et les scissions d'entreprise demandent un vrai projet de migration.
Ce point a une conséquence juridique que beaucoup de dirigeants découvrent tard. Si le tenant a été ouvert avec une adresse personnelle, en version d'essai, par un ancien associé ou par un prestataire, alors le compte propriétaire n'est pas au nom de la société. Vous vous retrouvez dans la même situation que celle décrite dans notre article sur la propriété d'un site internet : l'outil fonctionne, mais le coffre appartient à quelqu'un d'autre. Nous régularisons ce point en priorité, avant toute considération technique.
Les six briques de la suite et le rôle exact de chacune
La suite se comprend mieux quand on nomme chaque composant et ce qu'il fait vraiment.
- [Exchange Online](/actualites/exchange-online/) héberge les boîtes aux lettres, les calendriers, les carnets d'adresses et les ressources comme les salles de réunion. C'est le serveur de messagerie, invisible pour l'utilisateur.
- [Outlook](/actualites/outlook-messagerie-calendrier/) est l'application qui affiche cette messagerie, sur Windows, sur Mac, dans le navigateur ou sur le téléphone. Le logiciel et le service sont deux choses distinctes.
- [OneDrive](/actualites/onedrive-entreprise/) contient les fichiers d'une personne, généralement synchronisés sur son ordinateur. Il suit le compte, donc il disparaît quand la licence est supprimée.
- [SharePoint](/actualites/sharepoint-pour-pme/) porte les bibliothèques de documents partagées par l'équipe, et éventuellement un intranet léger. C'est là que doit vivre la production de l'entreprise.
- [Teams](/actualites/microsoft-teams/) assure le chat, les réunions et parfois la téléphonie. Les fichiers d'un canal Teams sont en réalité stockés dans SharePoint.
- [Entra ID](/actualites/entra-id-pme/) est l'annuaire d'identités qui gère les comptes, les groupes et les règles d'accès. Sans lui, aucune des briques précédentes n'a de serrure.
Ces composants ne sont pas six produits indépendants que l'on pourrait sécuriser séparément. Ils partagent le même compte, le même mot de passe et, si vous l'avez activée, la même double authentification. Un attaquant qui obtient un compte administrateur obtient donc l'ensemble : les mails, les fichiers d'équipe, l'historique des conversations et la capacité de créer de nouveaux comptes.
Ce que Microsoft tient, et ce qui reste à votre charge
Microsoft garantit la disponibilité de la plateforme, la réplication de ses centres de données et la continuité du service. Cela couvre la panne matérielle et l'incident d'hébergement, et cela ne couvre ni vos erreurs, ni la suppression volontaire d'un dossier, ni la rétention longue durée qu'une fiduciaire ou un cabinet médical doit parfois assurer. Nous détaillons ce raisonnement dans Microsoft 365 n'est pas une sauvegarde, et il conditionne notre position : dès que les fichiers ont une valeur métier, nous ajoutons une copie conservée hors du tenant.
La configuration de la zone DNS reste également chez vous. Si les enregistrements SPF, DKIM et DMARC de votre domaine ne déclarent pas Microsoft comme émetteur légitime, vos messages partent en indésirables chez vos clients sans que Microsoft y soit pour quoi que ce soit. Nous traitons ce sujet en détail dans SPF, DKIM et DMARC.
Faut-il rester sur Microsoft 365, ou en changer
Nous n'avons pas de préférence de principe. Une TPE de cinq personnes qui a besoin d'adresses professionnelles, d'un agenda partagé et d'un espace de fichiers vit très bien avec une messagerie plus simple, comme nous l'expliquons à propos de Google Workspace, et nous gérons également les messageries hébergées chez Infomaniak. Microsoft 365 devient le bon choix dans deux cas précis : lorsque vous voulez Outlook, Teams et SharePoint fonctionnant ensemble avec un seul compte, et lorsque votre parc Windows est déjà rattaché au tenant pour la gestion des postes et des mobiles.
Le choix du niveau de licence est une décision distincte, souvent mal prise, que nous détaillons dans Business Basic, Standard ou Premium.
Notre inventaire de tenant avant toute modification
Nous commençons systématiquement par un état des lieux écrit : la liste des comptes et des licences réellement consommées, les comptes disposant de droits d'administration, les enregistrements DNS du domaine, les mobiles connectés, les partages de fichiers ouverts vers l'extérieur. Ce document dit d'abord ce qui existe, avant de proposer quoi que ce soit.
Nous passons ensuite aux corrections dans un ordre stable. Les comptes deviennent nominatifs, le compte administrateur est séparé du compte de travail quotidien, la double authentification est imposée sur les comptes à privilèges. Si le phishing constitue le risque principal de votre activité, nous plaçons un filtre comme Mailinblack devant les boîtes. Nous mettons en place une copie hors tenant quand les documents le justifient, et nous écrivons une procédure de départ de salarié réellement applicable le jour même, plutôt que le lundi suivant, comme décrit dans révoquer les accès au départ d'un salarié.
L'essentiel de ce travail se fait à distance. Les postes, eux, se voient sur place dans le Bassin Genevois, et notre temps se facture au même montant HT en euros ou en francs.
Si vous ne savez plus qui administre votre Microsoft 365, la première étape est un simple inventaire : demandez-nous une revue du tenant. Nous vous remettons la liste des comptes, des licences et des points à ranger avant le prochain incident, sans toucher à votre production pendant l'audit.