Microsoft 365 sauvegarde-t-il vos données ?

La réponse dépend de ce que l'on appelle « sauvegarde ». Si l'on parle de la capacité du service à résister à une panne de serveur ou de centre de données, Microsoft s'en charge. Si l'on parle de retrouver, à la demande de l'entreprise, un fichier supprimé il y a plusieurs mois, la boîte aux lettres d'un salarié parti ou un état antérieur à une attaque, les fonctions incluses ont des délais précis. Au-delà, il faut une stratégie de rétention, l'offre Microsoft 365 Backup ou une autre solution de sauvegarde, choisie et configurée par l'entreprise.

Cet article s'appuie uniquement sur la documentation officielle de Microsoft, consultée le 21 octobre 2026. Les durées citées peuvent évoluer : elles sont à revérifier avant toute décision.

Qui est responsable de quoi

Microsoft décrit un modèle de responsabilité partagée : selon le type de service cloud, certaines tâches reviennent au fournisseur, d'autres au client. Microsoft 365 y est classé parmi les logiciels en tant que service (SaaS), c'est-à-dire des applications prêtes à l'emploi dont Microsoft gère l'infrastructure. Pour tous les types de service, la documentation précise que le client reste propriétaire de ses données et de ses identités, et responsable de leur protection. La gestion des comptes, de leur création à leur suppression, lui revient également.

Microsoft ajoute que cette répartition est une illustration et qu'elle ne modifie pas les termes du contrat qui le lie au client. Pour connaître vos droits exacts, ce sont les conditions de votre abonnement qui font foi. Si un prestataire gère votre environnement, la répartition des tâches entre lui et vous mérite d'être écrite : c'est l'un des points abordés dans notre article sur les clauses d'un contrat d'infogérance.

La documentation sur la résilience de Microsoft 365 éclaire aussi l'intention : elle indique que la plupart des pertes de données résultent d'actions des clients, et que le service leur permet donc de restaurer eux-mêmes les éléments supprimés par erreur. Les outils existent ; leur usage, leurs réglages et leurs limites relèvent de l'entreprise.

Ce que Microsoft 365 prévoit selon sa documentation

La résilience du service

Pour SharePoint et OneDrive, Microsoft indique que chaque fichier est écrit simultanément dans deux régions de centres de données. Ce mécanisme protège contre une défaillance de l'infrastructure de Microsoft. Il ne protège pas contre une suppression ou une modification faite depuis votre environnement : une copie redondante reproduit le contenu tel qu'il est, y compris après une erreur.

Les corbeilles et les éléments supprimés

Dans SharePoint, un élément supprimé passe par la corbeille du site, puis par celle de la collection de sites. Selon la documentation, la durée totale de conservation est de 93 jours à compter de la suppression initiale.

Dans Exchange Online, la messagerie de Microsoft 365, un message supprimé de la corbeille rejoint le dossier des éléments récupérables. La durée de conservation par défaut est de 14 jours, et l'administrateur peut la porter jusqu'à 30 jours par boîte aux lettres.

Les versions et le retour à une date antérieure

SharePoint conserve par défaut 500 versions de chaque fichier dans les nouvelles bibliothèques de documents. La fonction de restauration de fichiers permet de ramener une bibliothèque ou un espace OneDrive à n'importe quel moment des 30 derniers jours, y compris après des suppressions massives, des fichiers écrasés ou infectés par un logiciel malveillant. Microsoft précise que cette fonction repose sur les versions : réduire le nombre de versions conservées peut en diminuer l'efficacité.

Les stratégies de rétention

Les stratégies et étiquettes de rétention de Microsoft Purview empêchent la suppression définitive d'un contenu pendant une durée choisie. La documentation les présente comme un moyen de conserver du contenu pour des raisons de conformité ; le contenu reste à son emplacement d'origine. Elles servent donc à garder une trace, ce qui ne revient pas à remettre un site ou une boîte aux lettres dans l'état où ils étaient à une date donnée.

Microsoft 365 Backup

Microsoft propose une offre distincte, Microsoft 365 Backup, qui sauvegarde tout ou partie des sites SharePoint, des espaces OneDrive et des boîtes Exchange. Elle est facturée à la consommation, et non par utilisateur comme les licences habituelles. Elle ne s'applique qu'après la création d'une stratégie de protection, avec une fenêtre de restauration configurable entre trois mois et deux ans selon la documentation. Il s'agit d'une option à évaluer, pas d'une fonction active par défaut.

Ce que ces fonctions ne couvrent pas d'office

Une suppression découverte trop tard

Les corbeilles et la restauration de fichiers fonctionnent dans une fenêtre fixe. Un dossier supprimé dont on constate l'absence après la clôture annuelle, ou un message effacé et purgé il y a plusieurs mois, n'est plus récupérable par ces moyens, sauf si une stratégie de rétention ou une sauvegarde le conservait.

Le départ d'un salarié et la suppression de son compte

Un compte supprimé peut être restauré pendant 30 jours avec ses données. Les fichiers OneDrive de l'utilisateur sont conservés par défaut 30 jours, une durée réglable. Pour la messagerie, Microsoft recommande de déplacer les messages à conserver avant de supprimer le compte. Une boîte aux lettres ne devient « inactive », donc conservée au-delà de ce délai, que si une mise en attente a été appliquée avant la suppression. L'ordre des opérations compte autant que les outils : il a sa place dans la procédure de départ, que nous accompagnons dans le cadre des outils de travail et de communication.

Un rançongiciel qui chiffre des fichiers synchronisés

Un rançongiciel est un logiciel malveillant qui chiffre les fichiers pour exiger une rançon. Sur un poste synchronisé avec OneDrive, les fichiers chiffrés remontent dans le cloud comme n'importe quelle modification. La restauration d'un espace OneDrive à une date antérieure est prévue pour ce cas, dans la limite des 30 derniers jours et des versions disponibles. Microsoft rappelle que la protection contre les logiciels malveillants est une responsabilité partagée : la détection, la restauration et la vérification du résultat demandent une procédure préparée.

Une erreur d'administration ou d'application

Microsoft signale que SharePoint dispose d'interfaces de programmation qui permettent de supprimer un contenu sans passer par la corbeille. Une application mal configurée, un script ou un compte d'administration compromis peuvent donc provoquer une suppression que la corbeille ne rattrapera pas. Il est utile de savoir quelles applications et quels comptes disposent de ces droits.

Les points à vérifier dans votre environnement

Exemple illustratif : une fiduciaire supprime le compte d'une collaboratrice le jour de son départ, sans avoir transféré sa messagerie ni appliqué de mise en attente. Deux mois plus tard, un client demande un échange de courriels de l'année précédente. Le compte n'est plus restaurable et la boîte aux lettres n'a pas été conservée : les fonctions incluses ne permettent plus de retrouver ces messages.

Décider, puis tester

Une fois les écarts identifiés, la décision porte sur la durée de conservation nécessaire et sur la solution qui y répond. Quelle que soit cette solution, une restauration n'est fiable que si elle a été essayée : notre article sur la sauvegarde d'entreprise et les tests de restauration détaille cette vérification. L'accompagnement de Smart IT en cybersécurité et continuité comprend la définition du périmètre des sauvegardes, le suivi des copies et la vérification des possibilités de restauration.

Microsoft 365 ne laisse pas vos données sans protection, mais ses fonctions de récupération ont des délais et des conditions. Connaître ces limites, les comparer à vos besoins et tester une restauration permet de savoir ce que vous pourriez réellement retrouver.