Mis à jour le 12 novembre 2026
Réponse courte : non, Microsoft 365 n’est pas sauvegardé au sens d’une vraie sauvegarde. Microsoft garantit la disponibilité du service et propose des corbeilles et des délais de rétention limités : 14 jours par défaut pour les e-mails supprimés, 30 jours pour un utilisateur supprimé. Pour se protéger d’une erreur, d’un départ ou d’un rançongiciel, une PME doit ajouter sa propre sauvegarde Microsoft 365, externe et testée.
Points clés
- Exchange Online conserve les éléments supprimés 14 jours par défaut, 30 jours au maximum.
- Le compte d’un utilisateur supprimé n’est restaurable que pendant 30 jours ; ensuite, ses données sont définitivement effacées.
- Les conditions de service Microsoft recommandent elles-mêmes de faire des copies de sauvegarde régulières de son contenu.
- La CNIL recommande la règle 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors ligne.
- Une sauvegarde Microsoft 365 se vérifie par un test de restauration réel, au moins une fois par trimestre.
« Microsoft 365 est-il sauvegardé ? » C’est l’une des questions que les dirigeants de PME de Paris et d’Île-de-France posent le plus souvent quand ils passent au cloud. Beaucoup pensent que leurs e-mails, leurs fichiers OneDrive et leurs sites SharePoint sont copiés quelque part, en sécurité, chez Microsoft. La réalité est plus nuancée : Microsoft protège son infrastructure, pas vos erreurs ni vos attaquants. Voici ce que fait vraiment Microsoft 365, ce qu’il ne fait pas, et comment mettre en place une sauvegarde Microsoft 365 adaptée à une PME.
Microsoft 365 sauvegarde-t-il les données de mon entreprise ?
Non : Microsoft 365 assure la disponibilité et la redondance de ses serveurs, mais ne fournit pas de sauvegarde restaurable à une date choisie, sauf si vous ajoutez un service de sauvegarde, payant.
Il faut distinguer deux notions. La redondance consiste à répliquer les données sur plusieurs serveurs pour qu’une panne matérielle chez Microsoft ne fasse rien perdre. La sauvegarde est une copie indépendante, figée à une date, que l’on peut restaurer après une suppression, une corruption ou un chiffrement. La redondance réplique aussi vos erreurs : un fichier supprimé ou chiffré par un rançongiciel l’est sur toutes les copies.
Microsoft le dit lui-même. Son contrat de services (Microsoft Services Agreement, version publiée le 30 juillet 2026) conseille vivement de faire des copies de sauvegarde régulières de son contenu. Il rappelle aussi que tous les services en ligne subissent des interruptions, pendant lesquelles on peut ne pas accéder temporairement à ses données. Ce contrat vise d’abord les services grand public, mais la logique est la même pour les abonnements professionnels : Microsoft fait tourner la plateforme, l’entreprise reste responsable de ses données.
Qu’est-ce que la responsabilité partagée dans le cloud ?
La responsabilité partagée est le principe selon lequel le fournisseur cloud protège l’infrastructure (centres de données, serveurs, réseau), tandis que le client protège ses données, ses comptes et ses accès. Une PME qui utilise Microsoft 365 doit donc gérer elle-même ses mots de passe, sa double authentification et sa sauvegarde.
Combien de temps Microsoft 365 conserve-t-il les données supprimées ?
Entre 14 et 93 jours selon le service et le paramétrage : au-delà, une donnée supprimée est perdue si vous n’avez pas votre propre sauvegarde.
Voici les délais documentés par Microsoft sur Microsoft Learn :
| Donnée Microsoft 365 | Délai de récupération natif | Qui peut restaurer |
|---|---|---|
| E-mail supprimé (Exchange Online, dossier Éléments récupérables) | 14 jours par défaut, 30 jours maximum | Utilisateur ou administrateur |
| Compte d’un utilisateur supprimé | 30 jours | Administrateur |
| Boîte aux lettres d’un utilisateur supprimé | 30 jours par défaut | Administrateur |
| OneDrive d’un utilisateur supprimé | 30 jours par défaut, réglable de 30 à 3 650 jours | Administrateur |
| OneDrive supprimé, après ce délai | 93 jours dans la corbeille de collection de sites | Administrateur SharePoint, via PowerShell |
| Fichiers restaurés à une date précise il y a 6 mois | Non prévu nativement | Uniquement avec une sauvegarde |
Ces délais sont des filets de sécurité, pas une stratégie. Ils supposent que quelqu’un remarque le problème à temps. Or une suppression accidentelle dans un dossier partagé peut passer inaperçue pendant des semaines.
Le cas le plus fréquent en PME est le départ d’un salarié. L’administrateur supprime le compte pour libérer une licence. Trente jours plus tard, un client réclame un devis envoyé par ce salarié : la boîte aux lettres et le OneDrive ont disparu. Notre article sur la sécurisation des accès au départ d’un salarié détaille la bonne procédure.
Quels risques une sauvegarde Microsoft 365 couvre-t-elle ?
Une sauvegarde Microsoft 365 couvre les quatre pertes de données que la redondance de Microsoft ne couvre pas : l’erreur humaine, l’attaque, le départ de collaborateur et le litige.
- L’erreur humaine : un dossier SharePoint supprimé, un fichier Excel écrasé par une mauvaise version, une synchronisation OneDrive qui efface des fichiers locaux.
- Le rançongiciel : un logiciel malveillant qui chiffre les fichiers d’un poste synchronisé avec OneDrive. Les versions chiffrées remontent dans le cloud. Voir notre guide rançongiciel en PME : que faire.
- Le compte piraté : un attaquant qui prend le contrôle d’une boîte mail peut supprimer des messages, créer des règles de transfert ou effacer des preuves. La double authentification Microsoft 365 réduit fortement ce risque, sans l’annuler.
- Le départ ou le litige : retrouver un échange avec un client ou un fournisseur plusieurs mois après la suppression du compte concerné.
La CNIL rappelle, dans sa fiche « Sauvegarder » du guide de la sécurité des données personnelles, qu’une sauvegarde stockée sur les mêmes systèmes que les données peut être attaquée en même temps qu’elles, par exemple par un rançongiciel. C’est exactement la limite des corbeilles de Microsoft 365 : elles vivent dans le même environnement que les données.
Quelles solutions pour sauvegarder Microsoft 365 dans une PME ?
Il existe deux grandes familles : le service Microsoft 365 Backup proposé par Microsoft, et les solutions de sauvegarde tierces qui copient les données hors de l’environnement Microsoft.
Microsoft 365 Backup, le service natif
Microsoft 365 Backup est un service payant de Microsoft qui sauvegarde les boîtes Exchange, les comptes OneDrive et les sites SharePoint. Il est facturé à la consommation, 0,15 dollar par Go et par mois de contenu protégé selon la page de tarification de Microsoft, avec un paiement via un abonnement Azure. Microsoft annonce une restauration rapide, de l’ordre de moins d’une heure en moyenne pour le premier compte ou site restauré. Son principal avantage est la vitesse. Sa limite : les copies restent dans l’écosystème Microsoft, sous le même locataire et les mêmes comptes d’administration.
Les sauvegardes tierces
Une sauvegarde tierce copie les données Microsoft 365 vers un autre stockage : un cloud d’un autre fournisseur, un datacenter en France ou un NAS dans vos locaux. C’est la seule façon d’avoir une copie réellement indépendante, avec des identifiants d’administration séparés. Elles permettent en général de choisir la fréquence, la durée de conservation et la localisation des données.
| Critère | Corbeilles natives | Microsoft 365 Backup | Sauvegarde tierce |
|---|---|---|---|
| Coût | Inclus | À la consommation (par Go) | Abonnement, souvent par utilisateur |
| Durée de conservation | 14 à 93 jours | Définie par Microsoft | Choisie par l’entreprise |
| Copie hors de Microsoft | Non | Non | Oui |
| Protection en cas de compte administrateur piraté | Faible | Moyenne | Bonne si identifiants séparés |
| Respect de la règle 3-2-1 | Non | Partiel | Oui, avec une copie hors ligne |
Pour une PME, la combinaison la plus robuste reste une sauvegarde tierce automatisée, complétée par une copie déconnectée des données les plus critiques. Le principe est détaillé dans notre article sur la règle de sauvegarde 3-2-1.
Comment mettre en place la sauvegarde Microsoft 365 de sa PME ?
En sept étapes : faire l’inventaire, fixer ses objectifs de reprise, choisir l’outil, séparer les accès, automatiser, documenter et tester la restauration.
- Inventorier les données : listez les boîtes aux lettres, les OneDrive, les sites SharePoint et les équipes Teams. N’oubliez pas les boîtes partagées et les comptes d’anciens salariés encore actifs.
- Définir le RPO et le RTO : le RPO (Recovery Point Objective) est la perte de données maximale acceptable, par exemple 24 heures. Le RTO (Recovery Time Objective) est la durée d’interruption maximale acceptable, par exemple 4 heures. Ces deux chiffres guident le choix de l’outil et de la fréquence.
- Choisir une solution : Microsoft 365 Backup pour la rapidité, une solution tierce pour l’indépendance, ou les deux pour les données critiques. Vérifiez où sont hébergées les copies, idéalement en France ou dans l’Union européenne.
- Séparer les accès : le compte d’administration de la sauvegarde ne doit pas être celui de Microsoft 365. Protégez-le par une double authentification et un mot de passe unique.
- Automatiser et surveiller : au moins une sauvegarde par jour, avec une alerte en cas d’échec. Une sauvegarde silencieusement en panne depuis trois mois est un cas fréquent.
- Documenter la procédure de restauration : qui restaure, comment, et dans quel ordre. Ce document s’intègre à votre plan de reprise d’activité (PRA), c’est-à-dire l’ensemble des procédures pour redémarrer après un sinistre.
- Tester la restauration : restaurez réellement une boîte mail, un dossier OneDrive et un site SharePoint, au moins une fois par trimestre. La CNIL et Cybermalveillance.gouv.fr recommandent toutes deux de vérifier régulièrement la capacité à restaurer.
Si vous ne savez pas par où commencer, notre service de sauvegarde informatique PME intègre la sauvegarde Microsoft 365 et les tests de restauration.
Une PME est-elle obligée de sauvegarder Microsoft 365 (RGPD, NIS2) ?
Aucun texte n’impose un outil précis, mais le RGPD oblige à sécuriser les données personnelles, et la CNIL considère des sauvegardes fréquentes, isolées et testées comme une mesure de sécurité de base.
Les e-mails et les fichiers d’une PME contiennent presque toujours des données personnelles : coordonnées de clients, CV, fiches de paie, échanges avec des patients ou des locataires. Leur perte ou leur indisponibilité est une violation de données au sens du RGPD. Selon le cas, elle peut devoir être notifiée à la CNIL dans les 72 heures, comme expliqué dans notre article sur la notification d’une fuite de données à la CNIL.
La fiche « Sauvegarder » de la CNIL recommande notamment des sauvegardes fréquentes, au moins une sauvegarde hors ligne déconnectée du réseau, une copie sur un site géographiquement distinct, le chiffrement des sauvegardes et des tests réguliers de restauration. Elle présente la règle 3-2-1 comme l’état de l’art. Les entreprises concernées par la directive NIS2 ont en plus des obligations de gestion de la continuité d’activité. Notre accompagnement en conformité RGPD permet de vérifier où vous en êtes.
Combien coûte la sauvegarde Microsoft 365 pour une PME ?
Le coût dépend du volume de données et du nombre d’utilisateurs ; il reste presque toujours très inférieur au coût d’une perte de données.
Avec Microsoft 365 Backup, le prix suit le volume protégé : 0,15 dollar par Go et par mois, selon Microsoft. Une PME qui protège 500 Go paie donc environ 75 dollars par mois, hors taxes et variations de change. Les solutions tierces sont plutôt facturées par utilisateur. Dans un contrat d’infogérance PME et TPE, la sauvegarde peut être intégrée à la formule, avec la supervision et les tests. Chez SOSPC82, les formules vont de 19,99 € à 79,99 € HT par poste et par mois selon le niveau de service, et le périmètre de sauvegarde se précise sur devis gratuit sous 24 h.
À mettre en face : le temps passé à reconstituer des devis, des contrats ou une comptabilité à partir de pièces éparpillées, et le risque de perdre un client ou un litige faute de preuve.
Erreurs à éviter
- Confondre synchronisation et sauvegarde : OneDrive synchronise, il ne sauvegarde pas. Un fichier supprimé ou chiffré sur le poste l’est aussi dans le cloud.
- Supprimer un compte trop vite : au départ d’un salarié, convertissez sa boîte en boîte partagée ou sauvegardez-la avant toute suppression.
- Utiliser le même compte administrateur partout : si l’attaquant obtient l’accès à Microsoft 365, il ne doit pas pouvoir effacer la sauvegarde.
- Ne jamais tester : une sauvegarde jamais restaurée n’est qu’une hypothèse.
- Oublier Teams et SharePoint : beaucoup de PME sauvegardent les e-mails mais pas les fichiers partagés, qui sont pourtant le cœur de leur activité.
L’avis de l’expert
Dans les grands comptes où j’ai travaillé comme Technical Lead patch management, comme la RATP, la Société Générale ou LVMH, aucune donnée de production n’existe sans sauvegarde indépendante et sans test de restauration planifié. Ce n’est pas une question de budget, c’est une question de méthode.
En PME, je retrouve souvent le même scénario : migration vers Microsoft 365 il y a trois ans, ancien serveur éteint, et plus aucune sauvegarde depuis. Personne ne l’a décidé, c’est juste tombé entre deux chaises. Ma méthode tient en une règle : chaque trimestre, je restaure une boîte mail complète et un dossier SharePoint sur un environnement de test, je chronomètre, et je compare au RTO fixé avec le dirigeant. Si le test échoue ou dépasse le délai, on corrige avant d’en avoir besoin. Comme pour les mises à jour, ce qui n’est pas planifié n’est pas fait.
Et pour les PME du 92 ?
SOSPC82 est basé à La Garenne-Colombes et accompagne les TPE et PME des Hauts-de-Seine, de Paris et d’Île-de-France sur leur environnement Microsoft 365 : sauvegarde, double authentification, gestion des comptes et des licences. Que vous soyez à Courbevoie, Nanterre, Colombes, Puteaux, Rueil-Malmaison ou Boulogne-Billancourt, un technicien peut intervenir sur place 24 h/24 et 7 j/7 en cas d’incident, et la plupart des opérations se font à distance. Découvrez notre accompagnement Microsoft 365 et Google Workspace et vérifiez nos zones d’intervention. En cas de perte de données ou d’attaque en cours, notre équipe de réponse à incident cyber intervient en urgence.
Exemple concret (cas type) : un cabinet d’expertise comptable de 8 personnes à Levallois-Perret découvre qu’un collaborateur a supprimé par erreur un dossier client SharePoint deux mois plus tôt. La corbeille ne le contient plus. Sans sauvegarde tierce, il faut redemander les pièces au client. Avec une sauvegarde quotidienne conservée un an, le dossier est restauré dans l’heure, dans l’état de la veille de la suppression.
Questions fréquentes
Est-ce que Microsoft sauvegarde mes e-mails Outlook professionnels ?
Microsoft conserve les e-mails supprimés 14 jours par défaut, jusqu’à 30 jours si l’administrateur l’a configuré. Au-delà, ils sont définitivement effacés. Pour une conservation plus longue, il faut une sauvegarde Microsoft 365 dédiée.
OneDrive est-il une sauvegarde ?
Non, OneDrive est un service de stockage et de synchronisation. Une suppression ou un chiffrement par rançongiciel sur le poste se propage au cloud. Il faut une copie indépendante pour parler de sauvegarde.
Que deviennent les données d’un salarié supprimé dans Microsoft 365 ?
Le compte reste restaurable 30 jours, ainsi que sa boîte aux lettres et, par défaut, son OneDrive. Passé ce délai, les données sont supprimées, sauf rétention prolongée configurée. Sauvegardez toujours le compte avant de le supprimer.
Microsoft 365 Backup suffit-il pour une PME ?
Il améliore nettement la situation grâce à des restaurations rapides. Mais les copies restent chez Microsoft, sous le même locataire. Pour respecter la règle 3-2-1 recommandée par la CNIL, ajoutez une copie hors de l’environnement Microsoft.
À quelle fréquence sauvegarder Microsoft 365 ?
Au minimum une fois par jour pour la plupart des PME. La fréquence dépend de votre RPO, c’est-à-dire de la quantité de travail que vous acceptez de perdre. Les données très actives peuvent justifier plusieurs sauvegardes par jour.
Comment vérifier que ma sauvegarde Microsoft 365 fonctionne ?
Consultez les rapports de sauvegarde chaque semaine et faites un vrai test de restauration au moins chaque trimestre. Restaurez une boîte mail, un dossier OneDrive et un site SharePoint, puis vérifiez que les fichiers s’ouvrent.
En résumé
- Microsoft 365 n’est pas sauvegardé : les corbeilles et la rétention native couvrent de 14 à 93 jours, pas davantage.
- Une vraie sauvegarde Microsoft 365 est indépendante, automatisée, protégée par des accès séparés et testée chaque trimestre.
- La CNIL recommande la règle 3-2-1 avec une copie hors ligne : c’est la référence à viser pour une PME.
Vos données Microsoft 365 sont-elles vraiment protégées ? Faites le point avec notre service de sauvegarde informatique pour TPE et PME : devis gratuit sous 24 h, ou appelez directement le 07 69 36 92 60. Pour aller plus loin, lisez aussi notre guide quelle sauvegarde informatique choisir pour une TPE.
K.A, fondateur SOSPC82
Sources :
- Recoverable Items folder in Exchange Online, Microsoft Learn (mis à jour le 25 septembre 2026)
- Delete a user from your organization, Microsoft Learn (mis à jour le 19 février 2026)
- OneDrive retention and deletion, Microsoft Learn (mis à jour le 23 juin 2026)
- Set the OneDrive retention for deleted users, Microsoft Learn (mis à jour le 5 avril 2025)
- Pricing model for Microsoft 365 Backup, Microsoft Learn et Overview of Microsoft 365 Backup, Microsoft Learn
- Microsoft Services Agreement, Microsoft (publié le 30 juillet 2026)
- Sécurité : Sauvegarder, CNIL (14 mars 2024)
- Pourquoi et comment bien gérer ses sauvegardes ?, Cybermalveillance.gouv.fr (mis à jour le 14 septembre 2026)