# Un salarié part : que deviennent son OneDrive, ses partages et ses accès ?

> Un salarié part : délais réels du OneDrive, boîte mail, groupes, liens de partage, invités, et la procédure de départ Microsoft 365 dans l'ordre.

Source: https://olyteck.com/blog/fr/depart-salarie-onedrive-partages-acces
Published: 2026-09-25
Author: Oleg Garasym, Olyteck (France, EU-hosted)
Product: Olyteck Cyber
Topics: onedrive, départ salarié, offboarding, entra id, sharepoint, microsoft 365, iso 27001, revue des accès
License: free to quote with attribution to Olyteck and a link to the source URL.

---

Un salarié est parti il y a trois mois. Son compte est bloqué, sa boîte mail transférée, le sujet
semble clos. Puis le stockage Microsoft 365 grimpe sans raison apparente, un client s'étonne qu'un
lien vers vos dossiers fonctionne encore, ou un [auditeur ISO 27001](/blog/fr/revue-des-acces-microsoft-365-iso-27001) demande la preuve que ses accès
ont été retirés.

Le départ d'un salarié dans Microsoft 365 n'est pas un événement, c'est un calendrier. Ce guide
reprend ce que Microsoft documente réellement, signale ce qu'il ne documente pas, et se termine par
une procédure de départ dans l'ordre chronologique.

## Bloquer n'est pas supprimer

Beaucoup de procédures s'arrêtent à **bloquer la connexion**. C'est un état intermédiaire :

- **Le blocage peut prendre jusqu'à 24 heures.** Pour couper l'accès immédiatement : réinitialiser le mot de passe et révoquer les sessions (`revokeSignInSessions` invalide les jetons d'actualisation en quelques minutes).
- **Le blocage ne retire pas la licence.** Ce sont deux étapes distinctes, et une licence retirée reste facturée tant que vous ne réduisez pas l'abonnement.
- **Le blocage ne déclenche pas le nettoyage du OneDrive.** Ni le blocage ni le retrait de licence ne le lancent : seule la suppression du compte dans Entra ID le fait.

Un compte bloqué garde donc son OneDrive, ses groupes, ses liens et ses applications autorisées. Si la licence est retirée sans supprimer
le compte, le OneDrive devient un compte « sans licence » : **lecture seule après 60 jours,
archivage après 93 jours**, et depuis le 1er juillet 2026, un compteur cumulé de 365 jours
d'impayé au-delà duquel il peut être supprimé. C'est souvent là que se cache la croissance du
stockage que personne n'explique.

Une fois le compte supprimé, Entra ID le garde **30 jours** en suppression réversible : il peut
être restauré avec ses propriétés et ses licences. Passé ce délai, la suppression définitive
démarre et ne peut plus être arrêtée.

## Le OneDrive : le calendrier réel

Tout part de la suppression du compte. La séquence documentée par Microsoft :

| Moment | Ce qui se passe |
|---|---|
| **J0 : suppression du compte** | Le OneDrive est marqué pour suppression. Le responsable (attribut « manager » d'Entra ID) reçoit l'accès et un courriel. À défaut, le propriétaire secondaire défini dans le centre d'administration SharePoint |
| **J0 à J+30** | Le compte utilisateur est restaurable dans Entra ID |
| **7 jours avant la fin de la rétention** | Second courriel au responsable ou au propriétaire secondaire : le OneDrive sera supprimé dans sept jours |
| **Fin de la rétention** | 30 jours par défaut, réglable de 30 à 3 650 jours dans le centre d'administration SharePoint (Paramètres, Rétention). Le OneDrive part dans la corbeille de la collection de sites |
| **93 jours de corbeille** | Le contenu partagé n'est plus accessible. Restauration possible en PowerShell uniquement. Au-delà, le OneDrive est supprimé |

Trois points que les procédures oublient :

- **Sans responsable ni propriétaire secondaire**, la documentation ne décrit aucun autre destinataire. Vérifiez l'un ou l'autre avant de supprimer le compte.
- **Le compteur démarre à la suppression du compte.** Un responsable en congés trois semaines a déjà consommé l'essentiel du délai par défaut.
- **Les stratégies de rétention et les conservations eDiscovery priment** : une conservation eDiscovery bloque la suppression tant qu'elle n'est pas levée.

## La boîte aux lettres : partagée ou inactive

Deux options, avec des prérequis différents :

- **Boîte aux lettres partagée.** Le courrier et le calendrier existants sont conservés et accessibles à plusieurs personnes. Pas de licence nécessaire tant que la boîte fait moins de 50 Go. Contrainte : **ne supprimez pas le compte**, il sert d'ancrage à la boîte partagée ou au transfert.
- **Boîte aux lettres inactive.** Elle conserve le contenu pour la durée de rétention prévue, et la licence Exchange est libérée à la suppression du compte. Condition stricte : une stratégie de rétention ou une conservation doit être appliquée **avant** la suppression du compte, sur une boîte correctement licenciée. Sans conservation en place, la boîte est simplement supprimée au bout de 30 jours.

Faut-il continuer à répondre à ce courrier, ou seulement le conserver ? Dans le second cas,
vérifiez la licence avant le dernier jour.

## Ce qu'il possédait, ce qu'il a ouvert

### Sites, équipes et groupes Microsoft 365

Les sites SharePoint, les équipes Teams et les groupes Microsoft 365 dont le salarié était
propriétaire **continuent d'exister**. S'il était le seul propriétaire, le groupe devient orphelin
à la suppression de son compte. Microsoft propose une stratégie dédiée, dans le centre d'administration
Microsoft 365 (Paramètres, Paramètres de l'organisation, Groupes Microsoft 365) : « When there's
no owner, email and ask active group members to become an owner ». Elle sollicite chaque semaine
des membres actifs, deux au plus peuvent accepter, et si personne n'accepte à la fin de la période,
elle **ne fait rien de plus**. Elle suppose une licence éligible (Business Premium, E3, E5 par
exemple).

### Liens de partage

Le point le moins documenté. Ce que Microsoft écrit :

- Les [liens « Tout le monde »](/blog/fr/trouver-liens-partage-anonymes-microsoft-365) ne demandent aucune authentification, et leur utilisation ne peut pas être auditée.
- Pour le **OneDrive du salarié**, le contenu partagé devient inaccessible quand le OneDrive passe en corbeille, à la fin de la rétention. Rien n'indique que les liens cessent de fonctionner avant, encore moins si le compte est seulement bloqué.
- Pour les fichiers qu'il a partagés depuis des **sites SharePoint ou des équipes**, la documentation ne dit pas ce qu'il advient d'un lien quand son créateur est supprimé. Les fichiers appartiennent au site, pas à la personne.

Ne supposez donc pas que la suppression du compte ferme ses partages. **Vérifiez** les liens créés
par ce salarié et révoquez ceux qui n'ont plus de raison d'être.

### Invités

Un invité est un objet utilisateur de votre annuaire : il reste après le départ de celui qui l'a
invité. Entra ID renseigne par défaut l'attribut **Sponsor** avec la personne qui a envoyé
l'invitation, c'est la clé pour retrouver les invités d'un salarié parti. Les revues d'accès des
invités demandent Entra ID P2 ou Entra ID Governance.

### Applications OAuth

Par défaut, un utilisateur peut [autoriser une application](/blog/fr/agents-ia-microsoft-365-surface-attaque) à accéder à ses propres données, et ces
autorisations persistent. Elles se consultent dans Entra ID, Applications d'entreprise, onglet
**User consent** de chaque application, mais ne se révoquent pas depuis le portail : il faut
Microsoft Graph ou PowerShell. La documentation ne précise pas ce que deviennent ces autorisations
à la suppression du compte : faites l'inventaire pendant qu'il existe encore.

## La question qui se compte, et pourquoi l'auditeur la pose

Tout se résume à une question qui se compte : **qu'est-ce que ce salarié possédait, et qu'a-t-il
partagé ?** Sites et équipes, liens créés, invités dont il est sponsor, applications autorisées.
Cette liste doit exister **avant** la suppression du compte, quand l'attribution est encore simple.

L'ISO/IEC 27001:2022 en fait une pièce d'audit : mesure **5.11** (restitution des actifs), mesure
**5.18** (droits d'accès, retirés à la fin du contrat), mesure **6.5** (responsabilités après la
fin ou le changement d'emploi).
L'auditeur demande qui avait accès, ce qui a été retiré, et ce qui le prouve. Une liste datée
avant et après le départ est une preuve. Un compte bloqué ne l'est pas.

## Procédure de départ Microsoft 365 : la checklist

**Avant le dernier jour**

1. Vérifier que l'attribut « manager » est renseigné dans Entra ID, ou qu'un propriétaire secondaire OneDrive est défini.
2. Exporter la liste de ce que la personne possède et partage : sites, équipes, groupes, liens, invités dont elle est sponsor, applications autorisées.
3. Transférer la propriété des sites, équipes et groupes à un autre propriétaire.
4. Choisir le sort de la boîte aux lettres et, pour une boîte inactive, appliquer la conservation maintenant.
5. Faire déplacer les fichiers de travail du OneDrive vers les sites d'équipe concernés.

**Le dernier jour**

6. Bloquer la connexion, réinitialiser le mot de passe et révoquer les sessions.
7. Effacer ou bloquer les appareils mobiles.
8. Convertir la boîte en boîte partagée ou mettre en place le transfert, si c'est l'option retenue.

**De J+1 à J+30**

9. Révoquer les liens de partage qui n'ont plus de raison d'être, OneDrive et sites compris.
10. Retirer les invités dont la personne était sponsor, ou leur désigner un nouveau sponsor.
11. Révoquer les autorisations OAuth accordées par la personne, via Graph ou PowerShell.
12. Supprimer le compte (sauf boîte partagée ou transfert), puis retirer la licence de l'abonnement si elle n'est pas réaffectée.
13. Relancer la même liste qu'à l'étape 2 et archiver les deux versions datées comme preuve de retrait.

## Comment Olyteck aborde le sujet

Olyteck Cyber lit votre tenant en lecture seule via Microsoft Graph et calcule, pour une personne
donnée, ses accès réels : les sites, équipes et bibliothèques qu'elle atteint par attribution
directe, par appartenance à un groupe ou par lien de partage. Cette revue d'accès s'exporte en
Excel, propriété en premier : c'est la partie sites et partages des étapes 2 et 13. Chaque réponse
affiche sa couverture, par exemple « 412 sites analysés sur 1 291 », parce qu'un « aucun accès
trouvé » sur un tiers du tenant ne doit jamais ressembler à un « aucun accès ». Le module OneDrive
signale les OneDrive d'anciens salariés, et le module Identité les comptes administrateurs
obsolètes. Dans la carte des accès, la vue « départ » dessine tous les accès réels d'une personne, et
la vue « mort mais encore ouvert » fait remonter les sites et équipes que plus personne n'utilise,
souvent ceux de personnes parties. Nous stockons des constats, jamais le contenu de vos fichiers, et
nous ne couvrons pas les applications hors Microsoft 365.

![Carte des accès : sites inactifs et exposés, le coin en haut à droite est la liste de nettoyage](/blog/assets/img/cyber-access-stale.webp "Chaque point est un site ou une équipe : à droite, inutilisé depuis plus longtemps ; en haut, plus exposé. Écran réel, tenant fictif.")

Les liens qu'une personne a créés avant de partir ne sont pas seulement les siens : un dossier
partagé par un collègue encore présent relève de la même revue. Une campagne de nettoyage dans
Teams demande à chaque propriétaire de fermer ou de confirmer ses propres liens, ce qui traite le stock avant le prochain départ (voir [comment mener une campagne de nettoyage des partages](/blog/fr/nettoyer-partages-microsoft-365-campagne-proprietaires)).

## FAQ

### Faut-il bloquer ou supprimer le compte d'un salarié qui part ?

Les deux, dans cet ordre. Le blocage coupe la connexion mais ne déclenche rien d'autre : OneDrive,
groupes et liens restent en place. La suppression lance la rétention du OneDrive et libère la licence Exchange. Exception : si vous
convertissez la boîte en boîte partagée ou mettez en place un transfert, gardez le compte, il sert
d'ancrage.

### Combien de temps le responsable a-t-il pour récupérer les fichiers du OneDrive ?

La durée de rétention OneDrive : 30 jours par défaut, à partir de la suppression du compte. Vous pouvez la porter jusqu'à 3 650 jours dans le centre
d'administration SharePoint. Un rappel lui est envoyé sept jours avant l'échéance, puis le
OneDrive passe 93 jours en corbeille.

### Les liens de partage d'un salarié parti fonctionnent-ils encore ?

Pour son OneDrive, Microsoft documente seulement que le contenu partagé devient inaccessible
quand le OneDrive part en corbeille, à la fin de la rétention. Pour les fichiers partagés depuis
des sites SharePoint, la documentation ne dit pas que les liens sont révoqués à la suppression du
créateur. Considérez-les comme actifs et vérifiez-les, en commençant par les dossiers sensibles.

### Que montrer à un auditeur ISO 27001 pour un départ ?

Une liste datée de ce que la personne possédait et partageait avant son départ, la même liste
après, et la trace des retraits entre les deux. C'est ce qui répond aux mesures 5.11, 5.18 et 6.5
de l'annexe A. Une procédure écrite sans ces pièces montre une intention, pas un résultat.

## Sources

- Microsoft Learn, *OneDrive retention and deletion* : https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion
- Microsoft Learn, *Set the OneDrive retention for deleted users* : https://learn.microsoft.com/en-us/sharepoint/set-retention
- Microsoft Learn, *Manage unlicensed OneDrive accounts* : https://learn.microsoft.com/en-us/sharepoint/unlicensed-onedrive-accounts
- Microsoft Learn, *Remove a former employee* et étapes 1, 4 et 6 : https://learn.microsoft.com/en-us/microsoft-365/admin/add-users/remove-former-employee
- Microsoft Learn, *Remove licenses from users* : https://learn.microsoft.com/en-us/microsoft-365/admin/manage/remove-licenses-from-users
- Microsoft Learn, *Restore a deleted user* : https://learn.microsoft.com/en-us/entra/fundamentals/users-restore
- Microsoft Learn, *user: revokeSignInSessions* : https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions
- Microsoft Learn, *Inactive mailboxes* : https://learn.microsoft.com/en-us/purview/inactive-mailboxes-in-office-365
- Microsoft Learn, *Create and manage inactive mailboxes* : https://learn.microsoft.com/en-us/purview/create-and-manage-inactive-mailboxes
- Microsoft Learn, *Manage ownerless Microsoft 365 groups and teams* : https://learn.microsoft.com/en-us/exchange/troubleshoot/groups-and-distribution-lists/ownerless-group-policy
- Microsoft Learn, *How shareable links work in OneDrive and SharePoint* : https://learn.microsoft.com/en-us/sharepoint/shareable-links-anyone-specific-people-organization
- Microsoft Learn, *B2B collaboration user properties* : https://learn.microsoft.com/en-us/entra/external-id/user-properties
- Microsoft Learn, *Manage guest access with access reviews* : https://learn.microsoft.com/en-us/entra/id-governance/manage-guest-access-with-access-reviews
- Microsoft Learn, *Configure how users consent to applications* : https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-user-consent
- Microsoft Learn, *Review permissions granted to enterprise applications* : https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-application-permissions
- ISO/IEC 27001:2022, annexe A, mesures 5.11 (restitution des actifs), 5.18 (droits d'accès) et 6.5 (responsabilités après la fin ou le changement d'emploi)

*Documentation Microsoft consultée le 25 septembre 2026. Les délais de rétention et les règles des
comptes OneDrive sans licence évoluent : vérifiez la page source avant de figer une procédure.*

## À lire ensuite

- [Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint](/blog/fr/trouver-liens-partage-anonymes-microsoft-365)
- [Fin du MFA par SMS le 1er février 2027 : trouver les comptes qui seront bloqués](/blog/fr/fin-mfa-sms-entra-passkeys-2027)
- [Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement](/blog/fr/checklist-permissions-copilot-microsoft-365)