Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint

Si vous êtes responsable du SI d'une PME ou d'une ETI sur Microsoft 365, la façon la plus courante dont vos données sortent de l'entreprise n'est pas une attaque spectaculaire. C'est un partage « Tout le monde disposant du lien » créé il y a deux ans par quelqu'un qui l'a oublié le lendemain. Ces liens fonctionnent sans authentification, n'expirent pas par défaut, et se transfèrent aussi facilement qu'une adresse de site web.

Vu du RGPD, c'est une divulgation non maîtrisée qui attend simplement que quelqu'un la remarque. Ce guide explique comment retrouver ces liens dans votre tenant, décider lesquels comptent vraiment, et refermer la brèche.

Pourquoi les liens anonymes sont le risque silencieux #

Un partage SharePoint, OneDrive ou Teams prend l'une de trois formes :

• Personnes spécifiques : limité à des utilisateurs nommés, c'est le mode le plus sûr.
• Personnes de votre organisation : toute personne connectée à votre tenant.
• Tout le monde disposant du lien : aucune connexion, aucune trace de qui a réellement ouvert

le document. C'est celui qu'il faut traquer.

Le problème n'est pas que ces liens existent. Certains sont parfaitement légitimes : une plaquette commerciale, un modèle de document, un dossier de presse. Le problème est que personne n'en tient l'inventaire. Sans liste, vous ne pouvez pas distinguer le partage volontaire d'une brochure publique du partage accidentel d'un dossier contenant les exports de paie ou les contrats clients.

Un fichier de données personnelles accessible sans authentification n'est pas une simple faiblesse d'hygiène informatique : c'est un défaut de maîtrise des accès. En cas de contrôle ou d'incident, la question posée est simple : saviez-vous quels documents étaient exposés ? Sans inventaire, la réponse est non.

Étape 1 - Couper le robinet avant de vider la baignoire #

Avant d'auditer l'existant, arrêtez la production de nouveaux liens. Dans le centre d'administration SharePoint, section Stratégies → Partage, vous pouvez définir le type de lien par défaut sur « Personnes spécifiques », puis restreindre ou désactiver complètement les liens « Tout le monde » au niveau du tenant ou site par site.

Si l'interdiction totale est trop brutale pour vos usages métier, activez au minimum une date d'expiration sur les liens anonymes, par exemple 30 jours. Cela ne règle pas le passif, mais cela empêche la traîne de s'allonger indéfiniment.

Changez le paramètre par défaut en premier. Sinon, chaque audit que vous lancez court après un chiffre qui continue d'augmenter pendant que vous le mesurez.

Étape 2 - Faire l'inventaire de l'existant #

L'exposition déjà créée ne se corrigera pas toute seule. Trois voies, avec leurs limites :

• Les rapports du centre d'administration SharePoint donnent une vision par site, utile pour

repérer les zones les plus actives, mais pas la liste fichier par fichier des liens anonymes.

• Microsoft Graph permet d'énumérer les permissions de partage sur chaque élément. C'est la

voie exhaustive, mais couvrir tous les sites, les OneDrive et les équipes Teams est un vrai projet de développement, à rejouer et à stocker si vous voulez suivre la dérive.

• Un scanner en lecture seule qui parcourt le tenant via Graph et restitue chaque lien anonyme,

son propriétaire et son niveau d'exposition, sans PowerShell à écrire ni à maintenir.

Quelle que soit la voie retenue, la sortie attendue est la même : une liste des éléments partagés anonymement, triable par sensibilité, par ancienneté et par propriétaire.

Étape 3 - Trier par rayon d'impact, pas par volume #

Un rapport annonçant 4 000 liens anonymes paralyse une DSI. Personne ne traite 4 000 lignes. Triez sur ce qui change réellement le risque :

• La portée : un dossier ou une bibliothèque entière partagée pèse infiniment plus lourd

qu'un fichier isolé. Un dossier partagé continue d'exposer tout ce qu'on y dépose ensuite.

• La sensibilité : les sites finance, RH, juridique et données clients passent en premier.

C'est là que se trouvent les données personnelles et les informations contractuelles.

• L'ancienneté et le propriétaire : les liens créés par d'anciens salariés ou par un

prestataire dont la mission est terminée se révoquent immédiatement. Idem pour tout lien plus ancien que la politique d'expiration que vous venez de mettre en place.

Traitez le haut de cette liste et vous supprimez l'essentiel du risque réel en une après-midi.

Étape 4 - En faire un rituel mensuel #

La posture de partage dérive. De nouveaux liens apparaissent chaque semaine, parce que les gens collaborent et que c'est leur travail. Les équipes qui restent propres ne font pas un grand nettoyage annuel : elles rescannent tous les mois et traitent les nouveaux éléments en tête de liste. Une revue de quinze minutes par mois vaut mieux qu'un exercice d'urgence une fois par an.

Ce point devient nettement plus important si vous déployez Copilot. Un assistant qui indexe ce que l'utilisateur a le droit de voir amplifie mécaniquement toute permission trop large. Voir à ce sujet notre checklist des permissions à vérifier avant Copilot et notre analyse de l'exposition de données via Copilot.

Une checklist rapide #

• Type de lien par défaut positionné sur « Personnes spécifiques »
• Expiration activée sur les liens « Tout le monde » encore autorisés
• Inventaire à jour des liens anonymes existants
• Expositions majeures révoquées : dossiers, sites sensibles, partages d'anciens salariés
• Rescan mensuel inscrit dans le calendrier d'exploitation

Comment Olyteck aborde le sujet #

Olyteck Cyber se connecte à votre tenant en lecture seule par défaut et parcourt SharePoint, OneDrive et Teams pour restituer la liste des partages anonymes, avec leur portée et leur propriétaire. Nous comptons les constats, jamais vos fichiers : le contenu des documents n'est ni lu ni copié, seules les métadonnées de partage remontent. La plateforme est hébergée en UE, sous droit français, et le premier rapport arrive en moins de quinze minutes. C'est en général assez pour savoir si vous avez un problème de dix liens ou de mille.

Le partage anonyme est rarement malveillant et presque toujours invisible tant que personne ne regarde. L'essentiel du travail porte sur la visibilité : une fois la liste sous les yeux, les décisions se prennent vite.

FAQ #

Comment savoir qui a accès à un fichier SharePoint ? #

Sur un fichier donné, l'option « Gérer l'accès » affiche les personnes et les groupes autorisés ainsi que les liens de partage actifs. À l'échelle du tenant, cette vérification manuelle n'est pas tenable : il faut passer par Microsoft Graph ou par un outil d'audit qui énumère les permissions de tous les éléments. Attention, un lien « Tout le monde disposant du lien » ne vous dira jamais qui l'a réellement ouvert, puisqu'aucune authentification n'a lieu.

Un lien de partage anonyme est-il un problème au regard du RGPD ? #

Si le document contient des données personnelles, oui. Un lien accessible sans authentification et sans date d'expiration constitue une communication de données à des destinataires non identifiés, donc un défaut de maîtrise des accès. Cela n'est pas automatiquement une violation à notifier, mais en cas d'incident vous devrez démontrer que vous saviez ce qui était exposé. L'inventaire est précisément la preuve attendue.

Comment désactiver les liens « Tout le monde » dans Microsoft 365 ? #

Dans le centre d'administration SharePoint, rubrique Stratégies puis Partage, vous réglez le niveau de partage externe autorisé pour l'ensemble du tenant, puis affinez site par site si nécessaire. Vous pouvez y définir le type de lien par défaut et imposer une expiration aux liens anonymes restants. Prévenez les métiers avant la bascule, faute de quoi ils chercheront des contournements hors de votre périmètre de contrôle.

À quelle fréquence faut-il auditer les partages externes ? #

Une fois par mois suffit pour la plupart des PME et ETI, à condition que la revue soit courte et qu'elle porte uniquement sur les nouveautés en tête de liste. Un audit complet trimestriel peut compléter le dispositif. Passez en revue plus souvent après un départ de salarié, la fin d'une mission de prestataire, ou avant le déploiement d'un assistant IA sur votre tenant.