Introduction
Un responsable comptable demande à Copilot de préparer une synthèse budgétaire. Résultat : l'assistant IA intègre sans prévenir les salaires de toute l'entreprise, extraits d'un site RH partagé « avec tout le monde » depuis des années. Personne n'a activé de faille de sécurité ce jour-là. Copilot s'est simplement servi des accès qui existaient déjà, exactement comme n'importe quel utilisateur l'aurait pu.
C'est le point de départ de cet article : Copilot n'invente rien, il expose ce qui était déjà accessible mais invisible. Le vrai problème, c'est que les permissions SharePoint sont décentralisées, que les liens de partage s'accumulent sans jamais être nettoyés, et que les sites inactifs restent pleinement accessibles. La plupart des organisations n'ont aucune vue unifiée de qui a accès à quoi, répartie entre SharePoint, OneDrive et Teams.
Ce tutoriel vous montre comment utiliser ShareGate Protect, l'outil de gouvernance de l'éditeur (à ne pas confondre avec ShareGate Migrate, dédié aux migrations), pour obtenir cette visibilité, nettoyer l'existant, puis automatiser le maintien de la conformité dans le temps.
Pourquoi agir avant d'activer Copilot
Si vous déployez Copilot sans avoir fait d'audit de permissions récent, vous prenez le risque qu'il remonte des données que personne n'aurait dû pouvoir consulter. L'incident n'est pas un bug de Copilot : c'est une dette de gouvernance qui devient visible très rapidement.
Prérequis avant de commencer
Avant de lancer l'audit, assurez-vous de disposer des éléments suivants :
- Un rôle d'administrateur global ou d'administrateur SharePoint sur le tenant Microsoft 365 à auditer.
- Un compte ShareGate Protect (version d'essai ou abonnement actif).
- Les droits nécessaires pour donner le consentement d'administrateur (admin consent) à l'application ShareGate lors de la connexion au tenant, car l'outil s'appuie sur les API Microsoft Graph pour collecter les données.
- Un navigateur web récent : ShareGate Protect est une solution SaaS, aucun agent à installer sur les serveurs.
- Idéalement, un accès de lecture au Microsoft 365 admin center et au SharePoint admin center pour pouvoir comparer les résultats lors de la vérification.
Bon à savoir
Contrairement à certaines fonctionnalités de SharePoint Advanced Management qui ne remontent que les liens de partage créés dans les 28 derniers jours, ShareGate Protect indexe l'historique complet des liens, quelle que soit leur ancienneté.
| Fonctionnalité | SharePoint Advanced Management | ShareGate Protect |
|---|---|---|
| Historique des liens de partage | Limité aux 28 derniers jours | Historique complet, sans limite de date |
| Vue centralisée SharePoint/OneDrive/Teams | Partielle, multi-consoles | Unifiée dans une seule plateforme |
| Optimisation des licences | Fonctionnalité premium chez d’autres éditeurs | Incluse dans l’offre Protect de base |
Procédure pas à pas dans ShareGate Protect
Connecter votre tenant à ShareGate Protect
Connectez-vous à la plateforme ShareGate Protect, puis ajoutez votre tenant Microsoft 365. Vous devrez accorder le consentement d'administrateur demandé par l'application pour qu'elle puisse interroger vos données via Microsoft Graph.
Vous saurez que l'opération a réussi si le tenant apparaît dans votre liste d'environnements avec un statut de synchronisation en cours.
Attendre le premier passage du crawler
Le cœur de l'outil est un crawler qui s'exécute toutes les 24 heures et parcourt l'ensemble du tenant (sites SharePoint, OneDrive, Teams) pour centraliser les informations dans une seule interface. Le premier passage peut prendre jusqu'à 24 heures.
Une fois terminé, ouvrez l'onglet Tenant info : vous devez y voir un tableau de bord peuplé de statistiques réelles sur votre environnement, et non des données vides.
Explorer la vue Oversharing & Security
Rendez-vous dans la section consacrée au partage excessif et à la sécurité. Vous y trouverez une ventilation complète de tous les liens de partage : liens « Anyone », liens partagés avec des personnes de l'organisation, et liens partagés avec des personnes spécifiques (y compris en externe).
À ce stade, vous devez voir des chiffres concrets, par exemple un nombre de liens « Anyone », un nombre de liens internes et un nombre de liens externes vers des personnes précises.
Analyser un lien suspect en détail
Cliquez sur un lien pour afficher le nom du fichier, son type, le niveau de permission accordé (lecture, modification), les destinataires et l'URL du document. Utilisez les filtres disponibles (type de lien, site, créateur, ancienneté) pour cibler les cas à risque, par exemple les liens externes créés il y a plusieurs années.
Supprimer les liens de partage non conformes
Sélectionnez un lien problématique et supprimez-le, ou sélectionnez plusieurs liens pour une suppression en masse.
Ce qui est réellement supprimé
Seul le lien de partage est retiré. Le fichier ou le document reste intact à son emplacement d'origine. Vous supprimez l'accès, pas la donnée.
Créer une politique de nettoyage automatique
Le nettoyage manuel ne suffit pas : un utilisateur peut recréer un lien identique le lendemain. Ouvrez le module Policies et choisissez soit une politique prête à l'emploi (par exemple, l'archivage automatique des sites SharePoint inactifs depuis plus de six mois), soit créez une politique personnalisée.
Pour une politique personnalisée, définissez un déclencheur quotidien, puis ajoutez des conditions granulaires : type de lien égal à « externe », date de création dans les 14 derniers jours, ou restriction à un site SharePoint précis (par exemple le site Finance). L'interface affiche en temps réel le nombre de liens correspondant à vos critères avant même l'activation.
Vous savez que la politique fonctionne si, après son premier cycle d'exécution, le nombre de liens correspondants diminue par rapport à la veille.
Vérifier l'optimisation des licences
Ouvrez l'onglet dédié aux licences. ShareGate Protect croise les licences attribuées (E3, E5, etc.) avec les dates de dernière connexion et l'usage réel des services. Utilisez Review users pour repérer les comptes n'ayant pas ouvert de session depuis plusieurs mois : ce sont des licences payées pour rien, et potentiellement des comptes d'anciens collaborateurs toujours actifs, ce qui constitue aussi un risque de sécurité au sens de référentiels comme Cyber Essentials.
Utiliser le calculateur ROI pour construire l'argumentaire
Sur le site de ShareGate Protect, un calculateur de retour sur investissement est disponible sans inscription ni adresse e-mail. Indiquez simplement le nombre d'utilisateurs licenciés Microsoft 365 de votre tenant : l'outil estime le coût réel du partage excessif et de la dispersion des espaces de travail (« workspace sprawl »), un excellent point de départ pour une revue trimestrielle avec un client ou une direction financière.
Vérifier que l'audit a porté ses fruits
Une fois la procédure terminée, contrôlez les points suivants pour confirmer que la gouvernance est effectivement rétablie :
- Le nombre total de liens de partage externes a diminué de façon mesurable dans le tableau de bord Oversharing & Security.
- L'historique d'exécution des politiques montre bien un passage toutes les 24 heures, sans erreur.
- Aucun nouveau lien non conforme créé après le nettoyage n'est resté actif plus d'un cycle de politique.
- Le rapport de licences fait apparaître une estimation d'économie potentielle réaliste (mensuelle, en devise locale) et une liste exploitable de comptes à désactiver.
Fréquence recommandée
Refaites cette vérification au minimum une fois par mois, et systématiquement avant tout déploiement élargi de Copilot à une nouvelle population d'utilisateurs.
En cas de problème
- Le crawler ne remonte aucune donnée après 24 heures : vérifiez que le consentement d'administrateur a bien été accordé lors de la connexion du tenant et que le compte utilisé dispose toujours des rôles requis. Un consentement révoqué côté Microsoft Entra ID bloque totalement la collecte.
- Une politique créée n'affiche aucun résultat : contrôlez que les conditions ne sont pas trop restrictives (par exemple une combinaison de filtres qui s'exclut mutuellement) et rappelez-vous que le premier passage effectif peut prendre jusqu'à 24 heures après la création.
- Un lien supprimé semble toujours actif dans SharePoint : il existe un léger délai de propagation entre l'action dans ShareGate Protect et le prochain cycle de crawl. Attendez le passage suivant avant de considérer qu'il y a un dysfonctionnement.
Pour aller plus loin : le support MCP
ShareGate déploie actuellement un support MCP (Model Context Protocol) pour Protect. Concrètement, cela permettra d'interroger les données du tenant en langage naturel via des outils comme Claude, Copilot ou ChatGPT. La première version reste en lecture seule, mais des actions de remédiation directement pilotables via ce protocole sont annoncées pour la suite. Pour les MSP qui gèrent plusieurs tenants, cela promet une vue globale sur l'ensemble du parc client et une automatisation poussée de la génération de rapports.
Conclusion
La gouvernance SharePoint est de ces sujets qu'on repousse jusqu'au jour où un incident, souvent révélé par Copilot, oblige à agir dans l'urgence. En suivant cette procédure avec ShareGate Protect, vous obtenez d'abord la visibilité sur l'état réel de vos permissions, puis les outils de nettoyage, puis l'automatisation qui empêche le problème de revenir. Faites cet audit avant d'étendre Copilot, pas après.
