Le tenant que personne ne possède

L’export tient sur une feuille. Soixante salariés. Quatre-vingt-dix licences payées.

Je fais cet inventaire depuis des années, sur des tenants de trente à trois cents licences. Je n’ai jamais trouvé autre chose. Toujours les deux mêmes symptômes : une couche de comptes qui ne servent plus à personne mais qui sont toujours là et toujours facturés par Microsoft ou son revendeur, et une réserve de licences gardée « au cas où » par ceux qui administrent le tenant.

La réunion de restitution se termine toujours de la même façon, elle aussi. Le dirigeant, ou le DSI quand la structure est assez grande pour en avoir un, regarde la feuille et dit : « Bon ben faut faire le ménage. » Et les administrateurs, qui ont entendu la phrase, répondent : « On n’a que ça à faire… »

Les deux ont raison. C’est exactement le problème.

Administrer, payer, posséder

Le tenant a un administrateur : quelqu’un sait créer un compte, attribuer une licence, réinitialiser un mot de passe. Il a un payeur : la facture Microsoft arrive à la compta et quelqu’un la règle. Il a des utilisateurs, soixante, qui s’en servent tous les jours.

Il n’a pas de propriétaire. Personne dont le travail consiste à répondre de ce qu’il contient.

C’est une fonction, pas une compétence, et c’est pour ça qu’elle ne se crée pas toute seule. L’administrateur exécute des demandes, il n’a pas mandat pour supprimer le compte d’un directeur parti l’an dernier. Le DAF voit une ligne globale qui monte doucement, pas quatre-vingt-dix lignes individuelles. Le dirigeant découvre l’écart le jour où quelqu’un sort l’export, c’est-à-dire le jour où il fait venir un gars comme moi.

Entre les trois, il y a un espace vide, une zone grise. Le tenant Microsoft s’y cache.

Les quatre familles de comptes que personne ne réclame

Elles reviennent dans chaque audit, dans le même ordre de volume.

1. Les salariés partis. L’offboarding RH s’arrête au badge, au véhicule et à la redirection de la boîte mail. Le compte, lui, reste actif « le temps qu’on récupère ses dossiers ». Trois ans plus tard il est toujours là, toujours sous licence.

2. Les prestataires. Le comptable externe, l’agence qui a refait le site, le consultant d’une mission terminée en 2023. Accès accordé pour un chantier précis, jamais refermé parce que la fin d’un chantier ne déclenche rien.

3. Les applications connectées. Un consentement donné une fois, souvent par un utilisateur, parfois par un administrateur pressé. L’application garde ses droits sur la messagerie ou les fichiers, et plus personne dans l’entreprise ne sait à quoi elle servait.

4. Les comptes de service remontés par la synchronisation. Ceux-là sont les plus discrets. L’Active Directory local d’une PME est rarement propre : vingt ans de sédimentation, des unités d’organisation créées pour un besoin oublié, des comptes techniques sans propriétaire. On branche la synchronisation vers Entra ID, et elle prend ce qu’on lui donne. Ce n’est pas un défaut de l’outil, c’est une absence de préparation et de maîtrise, une de plus.

Aucune de ces quatre familles n’est le produit d’une décision. Chacune est le résidu d’une décision qu’on n’a jamais prise.

La réserve « au cas où »

La marge de licences, elle, est parfaitement rationnelle. Vue du poste de l’administrateur, elle est même de la bonne gestion : une embauche arrive lundi, l’achat passe par un bon de commande qui prend une semaine, mieux vaut avoir deux ou trois sièges d’avance que d’expliquer au nouveau qu’il va devoir attendre pour accéder aux outils de la boîte.

Le problème n’est pas la réserve en soi. C’est qu’elle n’est jamais optimisée au plus près du besoin réel. Elle absorbe les départs au lieu de les révéler, et elle grandit à chaque pic d’activité sans jamais redescendre. Personne ne l’arbitre, parce que l’arbitrage suppose quelqu’un qui porte à la fois la ligne budgétaire et la friction opérationnelle. Voir plus haut.

Et depuis le 1er juillet 2026, chaque siège dormant coûte un peu plus cher : Microsoft a annoncé le 4 décembre 2025 une hausse des tarifs de la plupart des suites Microsoft 365 commerciales, applicable au premier renouvellement suivant cette date. C’est de la faute à la guerre, à la pénurie de composants, à l’inflation, au taux de change… peu importe la raison, la facture grimpe.

Aujourd’hui, sur le site de Microsoft, une licence Business Standard avec Teams et Copilot, l’offre prévue pour les PME jusqu’à trois cents comptes, s’affiche à 20,37 euros hors taxes par utilisateur et par mois en paiement annuel. Business Premium est à 27,73 euros. Il existe bien des versions moins chères sans Teams, mais retirer Teams d’un poste Microsoft 365 revient à retirer l’un des outils sur lesquels le travail repose vraiment. Reprenons l’export du début : trente sièges dormants en Business Standard, c’est sept mille trois cents euros par an pour personne.

L’argent reste pourtant le symptôme le moins grave.

Le 1er octobre, Microsoft vous livre vos invités

Jusqu’ici, partager un fichier SharePoint ou OneDrive avec quelqu’un d’extérieur qui n’a pas de compte Microsoft déclenchait l’envoi d’un code à usage unique (OTP, pour one-time passcode). Session éphémère, aucune trace durable dans l’annuaire. Pratique, mais parfaitement invisible.

Ce mécanisme disparaît. Le partage externe bascule sur Entra B2B : chaque partage crée désormais, tout seul, un compte invité permanent dans votre annuaire. La première phase a été déployée en production et achevée le 17 juillet 2026. La seconde, le retrait effectif de l’authentification par code OTP, commence le 1er octobre 2026 et doit s’achever le 31 octobre. C’est le message MC1243549 du centre de messages Microsoft 365, publié le 4 mars 2026 et mis à jour le 17 juillet. Mais quel admin prend le temps de lire tous les messages de Microsoft dans la console d’admin de son tenant ?

La FAQ officielle répond deux fois non, et ce sont les deux réponses intéressantes. Peut-on se retirer du changement ? Non. Peut-on choisir sa date ? Non, les tenants sont sélectionnés automatiquement par les systèmes de déploiement de Microsoft.

Il y a un effet de bord, et il est plus désagréable que l’arrivée des comptes invités. Les liens partagés avant la bascule continueront de fonctionner uniquement si le destinataire dispose d’un compte invité dans votre annuaire. Sans ce compte, à partir d’octobre, il obtiendra un refus d’accès. Vos partenaires perdront l’accès à des documents qu’ils consultaient la veille, et personne ne saura vous dire lesquels.

Techniquement, la décision de Microsoft est saine : une seule source d’identité, des règles d’accès conditionnel qui s’appliquent enfin aux externes, une traçabilité réelle. Elle transforme un passif invisible en objets administrés comme il se doit. Reste que l’administration suppose un administrateur formé et surtout qui a le temps, et nous venons de voir que c’est un peu plus compliqué dans la réalité.

Microsoft aussi avait un tenant que personne ne possédait

En janvier 2024, Microsoft a publié sur son propre blog sécurité le déroulé de l’attaque Midnight Blizzard. L’accès initial n’a pas été obtenu sur une infrastructure de production. Il a été obtenu, je cite, sur « un compte de tenant de test hérité, hors production, qui n’avait pas l’authentification multifacteur activée ».

Le reste tient en une phrase. L’attaquant a trouvé une vieille application OAuth de test qui avait conservé des privilèges élevés sur l’environnement d’entreprise, s’en est servi pour s’octroyer un accès applicatif complet à Exchange Online, et a lu les boîtes de la direction, du service juridique et de l’équipe sécurité.

Le tenant compromis n’était pas le tenant de production. C’était celui dont plus personne ne s’occupait.

Et ce n’est pas une affaire de sérieux individuel. Le Government Accountability Office américain a publié le 29 janvier 2024 un rapport sur la gestion des licences logicielles fédérales, référence GAO-24-105717. Sa conclusion la plus parlante : aucune des neuf plus grandes agences fédérales, en budget informatique, n’a été capable de dire si ses cinq licences les plus utilisées étaient sur-achetées ou sous-achetées. Le gouvernement fédéral américain dépense plus de cent milliards de dollars par an en informatique et en cybersécurité.

Si une organisation de cette taille n’y arrive pas, le problème n’est pas une histoire de rigueur. C’est qu’aucune organisation ne produit spontanément cette information. Il faut que quelqu’un décide de la produire.

Copilot ne casse aucune permission

C’est bien ce qui pose problème.

Un assistant IA branché sur l’espace de travail respecte scrupuleusement les droits en place. Il se contente de rendre interrogeable en langage ordinaire ce qui n’était accessible qu’à celui qui savait déjà où chercher. Les partages « tout le monde sauf les utilisateurs externes », les héritages de permissions cassés lors d’une réorganisation, le site SharePoint monté pour un projet de 2021 dont plus personne ne se souvient : tout cela devient une réponse à une question posée en français.

Et un compte invité de 2023 est un chemin d’accès vivant, que son titulaire s’en serve ou non.

C’est exactement la première des questions que posent le RGPD et l’AI Act, et que je décrivais comme quatre questions opérationnelles plutôt que trois murs : quelles données traite-t-on, et qui y a accès. On ne peut pas y répondre sans cet inventaire. Et on ne déploie pas d’assistant IA sur un annuaire qu’on n’a pas vérifié. C’est la base !

Ce qu’il y a à faire, et qui doit le faire

Pas un grand ménage. Un grand nettoyage c’est tous les dix-huit mois mais ça lasse tout le monde dès la deuxième occurrence.

1. Nommer le propriétaire du tenant. Un nom, pas une équipe, pas un prestataire. Ce n’est pas un poste technique : c’est la personne qui répond de ce que contient l’espace de travail, qui arbitre la réserve de licences et qui valide les accès externes. Dans une PME de soixante personnes, c’est souvent le DAF ou un responsable métier, accompagné techniquement. C’est le même geste que distribuer les droits de décision plutôt que des opinions, appliqué à un périmètre précis.

2. Sortir l’inventaire avant le 1er octobre. Comptes actifs contre licences payées, date de dernière connexion, invités existants, applications ayant reçu un consentement, comptes de service issus de la synchronisation. Le rapport de partage externe de SharePoint permet d’identifier les destinataires qui n’ont pas encore de compte invité, donc ceux qui perdront l’accès le mois prochain. C’est aussi, mot pour mot, le premier objectif du référentiel publié par l’ANSSI : on ne protège pas ce qu’on n’a pas recensé.

3. Écrire trois règles, pas trois cents décisions. Qui coupe un compte au départ d’un salarié, et sous combien de jours. Quel sponsor interne porte chaque accès externe, et au bout de combien de temps il expire par défaut. Combien de licences la réserve contient au maximum. Trois règles courtes valent mieux qu’un tableau de nettoyage que personne ne rouvrira.

4. Repasser une fois par an, devant le dirigeant. L’inventaire se dégrade dès qu’on le lâche. Une revue annuelle des accès, quarante minutes, suffit à maintenir l’écart près de zéro. C’est peu comparé aux risques encourus.

Ce qu’on possède vraiment

Quatre-vingt-dix licences pour soixante salariés, ce n’est pas qu’un problème de ménage. C’est un annuaire que plus personne ne contrôle depuis des années, grâce auquel Microsoft renforce sa fortune car quoi de mieux que de facturer un service non-utilisé ? Et maintenant votre assistant IA, et le leur aussi d’ailleurs, sait désormais interroger toute cette masse d’informations en langage courant.

Louer un tenant Microsoft 365, ce n’est pas que d’en détenir les droits d’administration. C’est surtout d’en accepter la responsabilité.

Ce n’est pas qu’une économie de licences que je vends à mes clients. C’est surtout un espace de travail dont ils récupèrent le contrôle.

Ce qui est commun au plus grand nombre fait l’objet des soins les moins attentifs.

Aristote, Politique, Livre II. Il critiquait la propriété collective de la cité idéale de Platon, pas un annuaire d’entreprise.