Lundi 31 août 2026, en fin d'après-midi, les messages cessent de partir. Puis la recherche dans la messagerie ne renvoie plus rien. Puis les fichiers partagés deviennent inaccessibles, et la conversation d'équipe se fige. Dans beaucoup d'entreprises, la première réaction a été de redémarrer les postes, puis d'appeler le prestataire, avant de comprendre que le problème n'était ni chez elles ni chez lui.
Microsoft a ouvert un incident sur Exchange Online, puis un second, plus large, quand il est apparu que le problème dépassait la messagerie. La cause avancée par l'éditeur est une configuration d'authentification commune à plusieurs services de Microsoft 365 : un composant d'authentification ne s'est pas déployé comme prévu sur une partie de l'infrastructure. Le flux de messages est revenu en premier, mais la recherche est restée dégradée jusqu'au troisième jour.
Cet épisode mérite un article non pas parce qu'une panne est rare, mais parce que celle-ci révèle trois choses que les plans de continuité des PME oublient presque systématiquement.
Aucune donnée n'a été perdue, et c'est le problème
Commençons par écarter le réflexe habituel. Cette panne n'était pas une perte de données. Les messages étaient intacts, les fichiers étaient intacts, rien n'a été effacé. Ils étaient simplement inaccessibles.
Une sauvegarde n'aurait donc servi à rien. Une sauvegarde répond à la question « comment récupérer ce qui a disparu ». Elle ne répond pas à « comment travailler pendant que tout est là mais fermé ». Ce sont deux risques distincts, qui appellent deux réponses distinctes, et les confondre coûte cher parce qu'on croit s'être protégé.
Cela ne retire rien à la nécessité de sauvegarder Microsoft 365, sujet que nous traitons dans notre article sur Microsoft 365 qui n'est pas une sauvegarde et dans celui sur la sauvegarde des services en ligne hors de l'éditeur. Une suppression accidentelle, un départ mal géré ou un chiffrement par rançongiciel restent des risques réels, et la sauvegarde est la bonne réponse pour eux. Simplement, elle ne couvre pas l'indisponibilité, et il faut savoir lequel des deux on a traité.
Ce que vous croyiez séparé partageait une seule dépendance
Le deuxième enseignement est le plus utile. Beaucoup de dirigeants raisonnent en services : la messagerie d'un côté, les fichiers partagés de l'autre, la conversation d'équipe encore ailleurs. Trois outils, donc trois choses indépendantes, et l'idée rassurante que si l'un tombe, les autres tiennent.
L'incident montre l'inverse. Messagerie, fichiers partagés, conversation d'équipe, moteur de recherche et outils d'administration reposaient sur la même brique d'authentification. Quand elle a lâché, tout est parti ensemble. La redondance à l'intérieur d'un même fournisseur n'est pas de la redondance : c'est le même point de défaillance vu sous plusieurs noms commerciaux.
Le corollaire est désagréable. Si votre messagerie, vos fichiers, votre téléphonie et votre authentification à deux facteurs sont chez le même éditeur, vous n'avez pas quatre services, vous en avez un seul avec quatre interfaces. Ce constat ne condamne pas Microsoft 365, qui reste un socle solide et que nous déployons régulièrement, comme nous l'expliquons dans notre article sur Microsoft 365 pour une PME. Il invite simplement à savoir où sont les dépendances communes, plutôt qu'à les découvrir un lundi soir.
Les outils pour réagir étaient dans la panne
Troisième point, rarement anticipé. Pendant l'incident, la console d'administration faisait partie des services dégradés, et les outils de détection et de conformité de l'éditeur également.
Autrement dit, au moment précis où l'on avait besoin d'administrer, on ne pouvait pas administrer. Au moment où l'on aurait voulu vérifier qu'il s'agissait bien d'une panne et non d'une attaque, la capacité de détection était elle aussi diminuée. C'est une situation inconfortable, et elle plaide pour une règle simple : les moyens de constater et de réagir ne doivent pas dépendre entièrement de ce qu'ils sont censés surveiller.
Cela vaut aussi pour la communication. Si le seul moyen de prévenir vos équipes qu'un incident est en cours passe par la messagerie qui est en panne, vous n'avez pas de moyen de prévenir vos équipes. Une liste de numéros de téléphone hors de l'outil défaillant, ou un canal secondaire décidé à l'avance, coûte une heure à préparer et se révèle décisif deux fois par décennie.
Une reprise partielle dure plus longtemps que la panne
Un dernier détail mérite l'attention parce qu'il fausse tous les calculs. Le retour à la normale n'a pas été un interrupteur. Le flux de messages est revenu assez vite, tandis que la recherche est restée cassée pendant des jours, avec des retards de distribution sur les messages accumulés.
Or un service « rétabli » dont la recherche ne fonctionne pas reste inutilisable pour qui doit retrouver une pièce jointe dans un dossier client. Les plans de continuité écrits en interne raisonnent presque toujours en tout ou rien, alors que la réalité est un long plateau de fonctionnement dégradé, plus long que la coupure elle-même.
C'est là que le délai de reprise acceptable prend un sens concret. Combien d'heures votre activité tient-elle sans messagerie ? Sans accès aux fichiers ? La réponse diffère entre un cabinet qui prend des rendez-vous et un bureau d'études, et elle détermine tout le reste, comme nous le détaillons dans notre article sur la règle de sauvegarde 3-2-1.
Ce qui aurait limité la casse, et ce qui n'aurait rien changé
Soyons honnêtes sur les mesures utiles, parce que ce type d'événement nourrit beaucoup de propositions disproportionnées.
Ce qui a réellement aidé les entreprises préparées tient à peu de choses. Le mode hors connexion des logiciels de bureau a permis à beaucoup de collaborateurs de continuer à lire et à rédiger, les envois partant plus tard. Les fichiers synchronisés localement restaient ouvrables, point que nous abordons dans notre article sur OneDrive en entreprise. Une liste de contacts accessible hors de l'outil en panne a permis de prévenir les clients. Et savoir où consulter l'état du service a évité de perdre deux heures à chercher une cause interne inexistante.
Ce qui n'aurait rien changé, en revanche, mérite d'être dit aussi. Doubler l'ensemble de sa bureautique chez un second éditeur n'est ni réaliste ni proportionné pour une PME : le coût est permanent, la complexité quotidienne, et le bénéfice se manifeste quelques heures tous les deux ou trois ans. De même, ajouter des sauvegardes n'aurait pas rendu le service disponible une minute plus tôt.
Entre les deux, il existe des mesures ciblées qui valent leur prix. Un relais de messagerie secondaire capable de conserver les messages entrants pendant une indisponibilité évite de perdre des commandes. Une voie d'accès distincte pour les fonctions vraiment critiques, quand il y en a, mérite l'étude. C'est le genre d'arbitrage que nous instruisons dans une analyse de plan de reprise, avec des chiffres plutôt qu'avec des principes.
Ce que nous faisons chez nos clients
Notre position est volontairement mesurée. Nous ne recommandons pas de quitter les services en ligne pour ce genre d'incident : une infrastructure gérée en interne connaît aussi des pannes, souvent plus longues et moins bien documentées, parce que personne n'y travaille à plein temps.
Ce que nous faisons, c'est rendre la dépendance visible et prévoir le mode dégradé. Nous cartographions ce qui repose sur quoi, en particulier l'authentification, point commun le plus souvent ignoré. Nous surveillons l'état des services depuis l'extérieur, pour le savoir avant les utilisateurs, sujet développé dans notre article sur la supervision Zabbix. Et nous écrivons le mode dégradé à froid : ce qui continue, ce qui s'arrête, qui prévient les clients.
Cet accompagnement relève de la supervision cloud et du plan de reprise. Les interventions d'architecture et de conception se facturent 1000 HT / jour, et le suivi courant s'intègre à un contrat d'infogérance dès 120 HT / mois.
À retenir
Une panne d'accès n'est pas une perte de données, et la sauvegarde ne la couvre pas. Ce qui limite les dégâts tient dans trois choses préparées à froid : savoir quelles briques partagent une même dépendance, disposer d'un canal de communication indépendant, et avoir décidé à l'avance ce qui continue en mode dégradé.
Si vous ne savez pas ce qui, dans votre organisation, tombe en même temps que votre messagerie, parlons-en. Nous établissons la carte des dépendances et le mode dégradé qui va avec, avant le prochain lundi soir.