Un salarié part : que deviennent son OneDrive, ses partages et ses accès ?

Un salarié est parti il y a trois mois. Son compte est bloqué, sa boîte mail transférée, le sujet semble clos. Puis le stockage Microsoft 365 grimpe sans raison apparente, un client s'étonne qu'un lien vers vos dossiers fonctionne encore, ou un auditeur ISO 27001 demande la preuve que ses accès ont été retirés.

Le départ d'un salarié dans Microsoft 365 n'est pas un événement, c'est un calendrier. Ce guide reprend ce que Microsoft documente réellement, signale ce qu'il ne documente pas, et se termine par une procédure de départ dans l'ordre chronologique.

Bloquer n'est pas supprimer #

Beaucoup de procédures s'arrêtent à bloquer la connexion. C'est un état intermédiaire :

• Le blocage peut prendre jusqu'à 24 heures. Pour couper l'accès immédiatement : réinitialiser le mot de passe et révoquer les sessions (revokeSignInSessions invalide les jetons d'actualisation en quelques minutes).
• Le blocage ne retire pas la licence. Ce sont deux étapes distinctes, et une licence retirée reste facturée tant que vous ne réduisez pas l'abonnement.
• Le blocage ne déclenche pas le nettoyage du OneDrive. Ni le blocage ni le retrait de licence ne le lancent : seule la suppression du compte dans Entra ID le fait.

Un compte bloqué garde donc son OneDrive, ses groupes, ses liens et ses applications autorisées. Si la licence est retirée sans supprimer le compte, le OneDrive devient un compte « sans licence » : lecture seule après 60 jours, archivage après 93 jours, et depuis le 1er juillet 2026, un compteur cumulé de 365 jours d'impayé au-delà duquel il peut être supprimé. C'est souvent là que se cache la croissance du stockage que personne n'explique.

Une fois le compte supprimé, Entra ID le garde 30 jours en suppression réversible : il peut être restauré avec ses propriétés et ses licences. Passé ce délai, la suppression définitive démarre et ne peut plus être arrêtée.

Le OneDrive : le calendrier réel #

Tout part de la suppression du compte. La séquence documentée par Microsoft :

Trois points que les procédures oublient :

• Sans responsable ni propriétaire secondaire, la documentation ne décrit aucun autre destinataire. Vérifiez l'un ou l'autre avant de supprimer le compte.
• Le compteur démarre à la suppression du compte. Un responsable en congés trois semaines a déjà consommé l'essentiel du délai par défaut.
• Les stratégies de rétention et les conservations eDiscovery priment : une conservation eDiscovery bloque la suppression tant qu'elle n'est pas levée.

La boîte aux lettres : partagée ou inactive #

Deux options, avec des prérequis différents :

• Boîte aux lettres partagée. Le courrier et le calendrier existants sont conservés et accessibles à plusieurs personnes. Pas de licence nécessaire tant que la boîte fait moins de 50 Go. Contrainte : ne supprimez pas le compte, il sert d'ancrage à la boîte partagée ou au transfert.
• Boîte aux lettres inactive. Elle conserve le contenu pour la durée de rétention prévue, et la licence Exchange est libérée à la suppression du compte. Condition stricte : une stratégie de rétention ou une conservation doit être appliquée avant la suppression du compte, sur une boîte correctement licenciée. Sans conservation en place, la boîte est simplement supprimée au bout de 30 jours.

Faut-il continuer à répondre à ce courrier, ou seulement le conserver ? Dans le second cas, vérifiez la licence avant le dernier jour.

Ce qu'il possédait, ce qu'il a ouvert #

Sites, équipes et groupes Microsoft 365 #

Les sites SharePoint, les équipes Teams et les groupes Microsoft 365 dont le salarié était propriétaire continuent d'exister. S'il était le seul propriétaire, le groupe devient orphelin à la suppression de son compte. Microsoft propose une stratégie dédiée, dans le centre d'administration Microsoft 365 (Paramètres, Paramètres de l'organisation, Groupes Microsoft 365) : « When there's no owner, email and ask active group members to become an owner ». Elle sollicite chaque semaine des membres actifs, deux au plus peuvent accepter, et si personne n'accepte à la fin de la période, elle ne fait rien de plus. Elle suppose une licence éligible (Business Premium, E3, E5 par exemple).

Liens de partage #

Le point le moins documenté. Ce que Microsoft écrit :

• Les liens « Tout le monde » ne demandent aucune authentification, et leur utilisation ne peut pas être auditée.
• Pour le OneDrive du salarié, le contenu partagé devient inaccessible quand le OneDrive passe en corbeille, à la fin de la rétention. Rien n'indique que les liens cessent de fonctionner avant, encore moins si le compte est seulement bloqué.
• Pour les fichiers qu'il a partagés depuis des sites SharePoint ou des équipes, la documentation ne dit pas ce qu'il advient d'un lien quand son créateur est supprimé. Les fichiers appartiennent au site, pas à la personne.

Ne supposez donc pas que la suppression du compte ferme ses partages. Vérifiez les liens créés par ce salarié et révoquez ceux qui n'ont plus de raison d'être.

Invités #

Un invité est un objet utilisateur de votre annuaire : il reste après le départ de celui qui l'a invité. Entra ID renseigne par défaut l'attribut Sponsor avec la personne qui a envoyé l'invitation, c'est la clé pour retrouver les invités d'un salarié parti. Les revues d'accès des invités demandent Entra ID P2 ou Entra ID Governance.

Applications OAuth #

Par défaut, un utilisateur peut autoriser une application à accéder à ses propres données, et ces autorisations persistent. Elles se consultent dans Entra ID, Applications d'entreprise, onglet User consent de chaque application, mais ne se révoquent pas depuis le portail : il faut Microsoft Graph ou PowerShell. La documentation ne précise pas ce que deviennent ces autorisations à la suppression du compte : faites l'inventaire pendant qu'il existe encore.

La question qui se compte, et pourquoi l'auditeur la pose #

Tout se résume à une question qui se compte : qu'est-ce que ce salarié possédait, et qu'a-t-il partagé ? Sites et équipes, liens créés, invités dont il est sponsor, applications autorisées. Cette liste doit exister avant la suppression du compte, quand l'attribution est encore simple.

L'ISO/IEC 27001:2022 en fait une pièce d'audit : mesure 5.11 (restitution des actifs), mesure 5.18 (droits d'accès, retirés à la fin du contrat), mesure 6.5 (responsabilités après la fin ou le changement d'emploi). L'auditeur demande qui avait accès, ce qui a été retiré, et ce qui le prouve. Une liste datée avant et après le départ est une preuve. Un compte bloqué ne l'est pas.

Procédure de départ Microsoft 365 : la checklist #

Avant le dernier jour

1. Vérifier que l'attribut « manager » est renseigné dans Entra ID, ou qu'un propriétaire secondaire OneDrive est défini.
2. Exporter la liste de ce que la personne possède et partage : sites, équipes, groupes, liens, invités dont elle est sponsor, applications autorisées.
3. Transférer la propriété des sites, équipes et groupes à un autre propriétaire.
4. Choisir le sort de la boîte aux lettres et, pour une boîte inactive, appliquer la conservation maintenant.
5. Faire déplacer les fichiers de travail du OneDrive vers les sites d'équipe concernés.

Le dernier jour

1. Bloquer la connexion, réinitialiser le mot de passe et révoquer les sessions.
2. Effacer ou bloquer les appareils mobiles.
3. Convertir la boîte en boîte partagée ou mettre en place le transfert, si c'est l'option retenue.

De J+1 à J+30

1. Révoquer les liens de partage qui n'ont plus de raison d'être, OneDrive et sites compris.
2. Retirer les invités dont la personne était sponsor, ou leur désigner un nouveau sponsor.
3. Révoquer les autorisations OAuth accordées par la personne, via Graph ou PowerShell.
4. Supprimer le compte (sauf boîte partagée ou transfert), puis retirer la licence de l'abonnement si elle n'est pas réaffectée.
5. Relancer la même liste qu'à l'étape 2 et archiver les deux versions datées comme preuve de retrait.

Comment Olyteck aborde le sujet #

Olyteck Cyber lit votre tenant en lecture seule via Microsoft Graph et calcule, pour une personne donnée, ses accès réels : les sites, équipes et bibliothèques qu'elle atteint par attribution directe, par appartenance à un groupe ou par lien de partage. Cette revue d'accès s'exporte en Excel, propriété en premier : c'est la partie sites et partages des étapes 2 et 13. Chaque réponse affiche sa couverture, par exemple « 412 sites analysés sur 1 291 », parce qu'un « aucun accès trouvé » sur un tiers du tenant ne doit jamais ressembler à un « aucun accès ». Le module OneDrive signale les OneDrive d'anciens salariés, et le module Identité les comptes administrateurs obsolètes. Dans la carte des accès, la vue « départ » dessine tous les accès réels d'une personne, et la vue « mort mais encore ouvert » fait remonter les sites et équipes que plus personne n'utilise, souvent ceux de personnes parties. Nous stockons des constats, jamais le contenu de vos fichiers, et nous ne couvrons pas les applications hors Microsoft 365.

Les liens qu'une personne a créés avant de partir ne sont pas seulement les siens : un dossier partagé par un collègue encore présent relève de la même revue. Une campagne de nettoyage dans Teams demande à chaque propriétaire de fermer ou de confirmer ses propres liens, ce qui traite le stock avant le prochain départ (voir comment mener une campagne de nettoyage des partages).

FAQ #

Faut-il bloquer ou supprimer le compte d'un salarié qui part ? #

Les deux, dans cet ordre. Le blocage coupe la connexion mais ne déclenche rien d'autre : OneDrive, groupes et liens restent en place. La suppression lance la rétention du OneDrive et libère la licence Exchange. Exception : si vous convertissez la boîte en boîte partagée ou mettez en place un transfert, gardez le compte, il sert d'ancrage.

Combien de temps le responsable a-t-il pour récupérer les fichiers du OneDrive ? #

La durée de rétention OneDrive : 30 jours par défaut, à partir de la suppression du compte. Vous pouvez la porter jusqu'à 3 650 jours dans le centre d'administration SharePoint. Un rappel lui est envoyé sept jours avant l'échéance, puis le OneDrive passe 93 jours en corbeille.

Les liens de partage d'un salarié parti fonctionnent-ils encore ? #

Pour son OneDrive, Microsoft documente seulement que le contenu partagé devient inaccessible quand le OneDrive part en corbeille, à la fin de la rétention. Pour les fichiers partagés depuis des sites SharePoint, la documentation ne dit pas que les liens sont révoqués à la suppression du créateur. Considérez-les comme actifs et vérifiez-les, en commençant par les dossiers sensibles.

Que montrer à un auditeur ISO 27001 pour un départ ? #

Une liste datée de ce que la personne possédait et partageait avant son départ, la même liste après, et la trace des retraits entre les deux. C'est ce qui répond aux mesures 5.11, 5.18 et 6.5 de l'annexe A. Une procédure écrite sans ces pièces montre une intention, pas un résultat.

Sources #

• Microsoft Learn, OneDrive retention and deletion : https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion
• Microsoft Learn, Set the OneDrive retention for deleted users : https://learn.microsoft.com/en-us/sharepoint/set-retention
• Microsoft Learn, Manage unlicensed OneDrive accounts : https://learn.microsoft.com/en-us/sharepoint/unlicensed-onedrive-accounts
• Microsoft Learn, Remove a former employee et étapes 1, 4 et 6 : https://learn.microsoft.com/en-us/microsoft-365/admin/add-users/remove-former-employee
• Microsoft Learn, Remove licenses from users : https://learn.microsoft.com/en-us/microsoft-365/admin/manage/remove-licenses-from-users
• Microsoft Learn, Restore a deleted user : https://learn.microsoft.com/en-us/entra/fundamentals/users-restore
• Microsoft Learn, user: revokeSignInSessions : https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions
• Microsoft Learn, Inactive mailboxes : https://learn.microsoft.com/en-us/purview/inactive-mailboxes-in-office-365
• Microsoft Learn, Create and manage inactive mailboxes : https://learn.microsoft.com/en-us/purview/create-and-manage-inactive-mailboxes
• Microsoft Learn, Manage ownerless Microsoft 365 groups and teams : https://learn.microsoft.com/en-us/exchange/troubleshoot/groups-and-distribution-lists/ownerless-group-policy
• Microsoft Learn, How shareable links work in OneDrive and SharePoint : https://learn.microsoft.com/en-us/sharepoint/shareable-links-anyone-specific-people-organization
• Microsoft Learn, B2B collaboration user properties : https://learn.microsoft.com/en-us/entra/external-id/user-properties
• Microsoft Learn, Manage guest access with access reviews : https://learn.microsoft.com/en-us/entra/id-governance/manage-guest-access-with-access-reviews
• Microsoft Learn, Configure how users consent to applications : https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-user-consent
• Microsoft Learn, Review permissions granted to enterprise applications : https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-application-permissions
• ISO/IEC 27001:2022, annexe A, mesures 5.11 (restitution des actifs), 5.18 (droits d'accès) et 6.5 (responsabilités après la fin ou le changement d'emploi)

Documentation Microsoft consultée le 25 septembre 2026. Les délais de rétention et les règles des comptes OneDrive sans licence évoluent : vérifiez la page source avant de figer une procédure.

À lire ensuite #

• Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint
• Fin du MFA par SMS le 1er février 2027 : trouver les comptes qui seront bloqués
• Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement