· par NetProtector Security Team
Microsoft 365 et OneDrive hors ligne : les leçons des pannes de 2026
Fin août, de nombreuses entreprises en Europe et dans le monde ont vu leur activité s'arrêter : Exchange Online, OneDrive for Business, SharePoint et Teams ont été perturbés pendant des heures, et la recherche dans Microsoft 365 l'est même restée jusqu'au lendemain. Quelques semaines plus tôt, une mise à jour défectueuse avait déjà affecté la recherche dans Outlook et OneDrive. Il est temps de réfléchir à la dépendance envers un seul fournisseur cloud.
Ce qui s'est passé
18 août 2026 – recherche perturbée. Des utilisateurs de certaines parties de l'infrastructure Microsoft ne pouvaient plus effectuer de recherches fiables dans Outlook, SharePoint Online et OneDrive. Microsoft a attribué le problème à une mise à jour récemment déployée qui consommait trop de ressources (incident MO1456424 dans le centre d'administration) et a déployé un correctif.
31 août 2026 – panne à grande échelle. Vers midi (UTC), les signalements de problèmes avec Exchange Online se sont multipliés. Dans l'après-midi, Microsoft a étendu le périmètre de l'incident : étaient concernés l'établissement des connexions, la recherche et le flux de messagerie dans Exchange Online, l'accès aux fichiers, la synchronisation et la recherche dans OneDrive for Business et SharePoint Online, la recherche, le calendrier et la présence dans Teams, ainsi que les fonctions Copilot qui accèdent aux données Microsoft 365. Microsoft a indiqué comme cause un problème dans une configuration d'authentification centrale partagée par plusieurs services Microsoft 365. Les connexions de messagerie ont été largement rétablies dans la soirée, la recherche a nécessité jusqu'au 1er septembre.
Microsoft n'a pas encore publié de rapport final public détaillé – les indications sur le début et la durée varient légèrement selon les sources.
Ce que nous en retenons
Les deux incidents n'étaient pas des attaques, mais des erreurs d'exploitation. Pour les personnes concernées, cela ne fait guère de différence : lorsque la messagerie, les fichiers et la téléphonie sont hébergés chez un même fournisseur et qu'un composant commun comme l'authentification tombe en panne, tout s'arrête en même temps. La disponibilité est l'un des trois objectifs de protection de la sécurité de l'information – et elle ne peut pas être entièrement déléguée à un prestataire.
Ce que vous devriez préparer
- Rendre la communication de crise indépendante. Gardez à disposition un canal qui ne dépend pas de Microsoft 365 – par exemple une chaîne téléphonique, une messagerie instantanée ou une page de statut. Celui qui ne se demande qu'au moment de la panne comment joindre son personnel perd des heures.
- Conserver les données critiques également en local. Pour les plans d'urgence, les listes de contacts et les identifiants d'accès, une copie hors ligne ou chez un tiers doit être la norme.
- Une sauvegarde propre plutôt que la seule corbeille. Microsoft assure la disponibilité, mais ne protège pas contre toute perte de données. Une sauvegarde indépendante des boîtes aux lettres et des contenus OneDrive est judicieuse – mais, au vu de l'incident ConnectWise, avec des autorisations soigneusement limitées pour le service de sauvegarde.
- Surveiller l'état des services (Service Health). Le centre d'administration Microsoft 365 signale les perturbations avec un numéro d'incident. Une alerte adressée à la direction informatique fait gagner du temps, en cas d'urgence, dans la recherche des causes au sein de votre propre réseau.
- Documenter les dépendances. Quels processus s'arrêtent lorsque l'authentification auprès de Microsoft ne fonctionne pas ? La réponse doit figurer dans l'analyse d'impact sur l'activité (BIA) et – pour les entreprises soumises à NIS2 – dans la gestion des risques.
Notre évaluation
Les services cloud offrent en général une disponibilité nettement supérieure à celle des serveurs exploités en interne. Mais ils concentrent le risque : une erreur chez le fournisseur touche des milliers de clients simultanément. La bonne réponse n'est pas de quitter le cloud, mais de disposer d'un plan pour les heures où il ne fonctionne pas.