Mes données Microsoft 365 sont-elles vraiment sauvegardées ?

Microsoft applique un principe simple à formuler mais souvent mal compris : il est responsable de la disponibilité du service, vous êtes responsable de vos données. Concrètement, Microsoft garantit que la plateforme fonctionne, que l'infrastructure est redondée et qu'un incident dans un datacenter ne fait pas disparaître le service. En revanche, si l'un de vos collaborateurs supprime définitivement un dossier, si un ransomware chiffre vos fichiers synchronisés, ou si une erreur de manipulation écrase des données, c'est votre responsabilité. La redondance d'infrastructure n'est pas une sauvegarde : elle protège contre la panne matérielle, pas contre l'erreur humaine ni contre la malveillance.

Microsoft 365 inclut de vrais mécanismes de récupération, et il serait faux de dire qu'il n'y a rien. Vous disposez de la corbeille (à deux niveaux dans SharePoint et OneDrive), de l'historique des versions des fichiers, de la récupération d'éléments supprimés dans Exchange, et de politiques de rétention configurables via Microsoft Purview. Bien paramétrés, ces outils couvrent la majorité des incidents du quotidien : le fichier effacé par erreur la semaine dernière, la version écrasée ce matin. La limite tient à deux choses : ces mécanismes ont des durées de conservation finies, et une fois ce délai écoulé, la donnée est réellement irrécupérable. Ils ne sont pas conçus pour restaurer un état complet à une date précise, plusieurs mois en arrière.

Trois situations reviennent régulièrement. La suppression ancienne : on découvre au bout de plusieurs mois qu'un dossier client a disparu, bien après l'expiration des délais de rétention. Le départ d'un collaborateur : le compte est supprimé pour arrêter de payer la licence, et avec lui son OneDrive et sa boîte mail, souvent sans que personne ait vérifié ce qu'ils contenaient. Le ransomware : les fichiers chiffrés localement se synchronisent vers OneDrive et SharePoint, propageant le chiffrement. L'historique des versions permet souvent de s'en sortir, mais l'opération est lourde et le résultat dépend fortement de votre configuration et du délai de détection.

La réponse honnête est : cela dépend de votre exposition, pas d'une règle universelle. Posez-vous trois questions. Un : sur quelle profondeur devez-vous pouvoir restaurer, en tenant compte de vos obligations légales et sectorielles ? Si vous devez pouvoir revenir plusieurs années en arrière, les mécanismes natifs ne suffiront pas. Deux : quelles données seraient réellement critiques à perdre, et savez-vous où elles vivent aujourd'hui ? Trois : avez-vous déjà testé une restauration ? C'est le point le plus négligé : une sauvegarde jamais testée n'est pas une sauvegarde, c'est une hypothèse. Avant même d'acheter un outil, commencez par configurer correctement la rétention native, documenter la procédure de restauration, et faire un test réel.