Outils collaboratifs Microsoft 365 : bien régler le partage externe

Teams, SharePoint et OneDrive servent à travailler ensemble, y compris avec un comptable, un client ou un
sous-traitant. Le partage externe le permet. Il est aussi activé par défaut pour tout l’environnement SharePoint et
OneDrive (Microsoft, vue d’ensemble du partage externe).
Sans réglage, un employé peut créer un lien que n’importe qui ouvre, sans se connecter. Voici les réglages qui décident
qui voit quoi, et ce que le gouvernement du Canada demande à ses propres ministères.

Les noms des réglages sont donnés en anglais, tels que Microsoft les écrit.

1. Le niveau de partage de l’organisation

Dans le centre d’administration SharePoint, sous « Policies », puis « Sharing », un même curseur règle SharePoint et
OneDrive. Il a quatre niveaux (Microsoft, gérer les paramètres de partage) :

• Anyone : des liens qui s’ouvrent sans connexion ;
• New and existing guests : la personne se connecte ou entre un code de vérification reçu par courriel ;
• Existing guests : seulement les invités déjà présents dans votre annuaire ;
• Only people in your organization : aucun partage externe.

Deux règles décident du reste. La valeur la plus restrictive s’applique toujours, et OneDrive peut être aussi
restrictif que SharePoint ou plus, jamais plus permissif (même source). Chaque site a aussi son propre réglage.
Microsoft suggère de garder l’information confidentielle dans un site où le partage externe est désactivé, et de
créer des sites distincts pour ce qui se partage (Microsoft, vue d’ensemble).

2. Le type de lien par défaut

Le réglage « File and folder links » offre Specific people, le plus restrictif, Only people in your organization, ou Anyone with
the link, permis seulement au niveau Anyone, et pour lequel on ne peut pas savoir qui a ouvert le fichier
(Microsoft, gérer les paramètres de partage).

Une page de Microsoft, aujourd’hui archivée, conseille de choisir par défaut un lien qui ne fonctionne que dans
l’organisation, pour réduire le risque d’un partage sans connexion fait par oubli
(Microsoft, pratiques recommandées, archivée).
Le gouvernement du Canada demande à ses ministères des liens de partage en lecture seule par défaut
(Guide de sécurité pour Microsoft 365, 2.3.4).

3. L’expiration des liens et des accès

Si les liens Anyone restent permis, deux réglages les encadrent : « Link expiration », le nombre maximal de jours, et
« Link permissions », pour n’offrir que la lecture. Un autre réglage retire l’accès d’un invité à un site ou à un
OneDrive après un nombre de jours choisi
(Microsoft, gérer les paramètres de partage).
Le guide du Canada demande de définir des délais d’expiration pour les liens de partage externes
(2.2.4).
Microsoft ne recommande aucun nombre de jours précis.

4. Dans Teams, un invité n’est pas un accès externe

Teams offre deux choses différentes. L’accès externe permet à des personnes d’autres organisations de trouver vos
employés, de les appeler et de clavarder avec eux. Il est activé par défaut, et ces personnes n’ont pas accès à vos
équipes ni à vos fichiers. L’accès invité ajoute une personne externe dans une équipe. Elle reçoit un compte invité
dans votre annuaire Microsoft Entra, et elle peut alors partager des fichiers et utiliser les ressources de l’équipe
(Microsoft, accès invité et accès externe).

Par défaut, l’accès externe permet tous les domaines, mais on peut le limiter à une liste de domaines précis
(Microsoft, réunions externes et conversations).
Le guide du Canada demande de désactiver l’accès invité et l’accès externe, sauf si l’organisation en a besoin
(2.3.2).

5. Les invités qui restent

Un invité qui quitte une équipe garde son compte dans l’annuaire. Un administrateur doit le supprimer
(Microsoft, accès invité dans Teams). Les revues
d’accès de Microsoft Entra demandent à intervalle fixe aux invités, ou à un responsable, de confirmer l’accès, puis
retirent ceux qui n’en ont plus besoin. Elles exigent une licence Microsoft Entra ID P2 ou Microsoft Entra ID
Governance (Microsoft, revues d’accès).
Sans cette licence, la même revue se fait à la main, sur la liste des invités de l’annuaire.

6. L’authentification multifacteur, invités compris

Le guide du Canada demande d’imposer l’authentification multifacteur à tous les utilisateurs par des stratégies
d’accès conditionnel, de préférence une méthode résistante à l’hameçonnage
(2.1.2).
Un invité est couvert par les mêmes protections : on peut lui imposer l’accès conditionnel et l’authentification
multifacteur (Microsoft, accès invité dans Teams).
Notre article sur l’authentification multifacteur obligatoire de Microsoft
explique ce que Microsoft exige déjà, et ce qui reste à faire.

Un réglage de départ raisonnable pour une PME

Ce n’est pas une règle de Microsoft, c’est la somme des recommandations ci-dessus. Le niveau New and existing guests
pour l’organisation, plutôt qu’Anyone. Un lien par défaut limité aux personnes précises ou à l’organisation. Une
expiration pour tout lien qui reste ouvert à tous. Un site distinct pour chaque client ou projet partagé. Et une revue
des invités, écrite au calendrier. Le compte d’urgence administrateur
complète ce réglage du côté des administrateurs.

Questions fréquentes

Comment activer le partage externe dans SharePoint et OneDrive ?

Dans le centre d’administration SharePoint, sous « Policies », puis « Sharing », on choisit un des quatre niveaux pour SharePoint et pour OneDrive. Chaque site peut être aussi restrictif que l’organisation ou plus, jamais moins.

Peut-on partager un fichier SharePoint avec quelqu’un qui n’a pas de compte Microsoft ?

Oui. Au niveau New and existing guests, la personne entre un code de vérification reçu par courriel. Au niveau Anyone, le lien s’ouvre sans connexion, mais on ne peut pas savoir qui l’a ouvert.

Comment supprimer un compte invité dans Teams ?

Quitter l’équipe ne supprime pas le compte. Un administrateur le supprime dans l’annuaire Microsoft Entra. Les revues d’accès de Microsoft Entra, avec une licence P2 ou ID Governance, retirent les invités qui n’ont plus besoin d’accès.

Et maintenant ?

Vous ne savez plus qui, à l’extérieur, a accès à vos fichiers ? L’analyse réseau gratuite
de MPJM regarde les comptes Microsoft 365, qui a accès à quoi, et les comptes d’anciens employés encore actifs. Elle
est offerte aux entreprises de 10 postes et plus. Nos services Infonuagique et Microsoft 365
couvrent le reste.

P.-S. Seize questions, huit domaines, un portrait clair de vos forces et de vos angles morts : commencer l’évaluation.