Conformité
Droits et partages SharePoint : qui voit quoi dans votre PME, et comment le reprendre en main
Par Ktifa ·
Dans SharePoint, l’accès se règle à trois niveaux : l’organisation (partage externe autorisé ou non), le site (propriétaires, membres, visiteurs) et le fichier (liens de partage). Pour une PME, gérez les accès par site et par groupe, limitez les liens « Tout le monde » et vérifiez les sites ouverts à toute l’entreprise avant d’activer l’IA.
Faire l’audit de vos droits et partages ?Voir l’accompagnement SharePoint
Le problème : personne ne sait vraiment qui voit quoi
Dans la plupart des PME, SharePoint s’est installé par la porte de Teams. Chaque équipe a créé son site, chacun a partagé des fichiers « pour aller vite », des invités ont été ajoutés pour un projet puis oubliés. Résultat : le dirigeant ne sait plus qui a accès aux dossiers clients, aux salaires ou aux contrats.
Ce n’est pas une faiblesse de SharePoint. C’est même l’un de ses points forts : un modèle de droits très fin, inclus dans votre abonnement. Encore faut-il le comprendre et le régler. Ce guide vous donne les notions utiles, les réglages à vérifier et une méthode simple.
Les trois niveaux qui décident de l’accès
| Niveau | Qui le règle | Ce qu’il décide |
|---|---|---|
| Organisation | Administrateur SharePoint | Le partage externe est-il possible, et jusqu’où ? |
| Site | Administrateur, puis propriétaires du site | Qui est propriétaire, membre ou visiteur ; le site peut-il être partagé à l’extérieur ? |
| Fichier ou dossier | Toute personne autorisée à partager | Qui reçoit un lien, avec quel type de lien et quels droits |
Une règle à retenir : un site ne peut jamais être plus ouvert que l’organisation. Microsoft précise que le réglage de chaque site doit être identique ou plus restrictif que celui de l’organisation (Microsoft Learn).
Niveau 1 : le partage externe de l’organisation
Dans le centre d’administration SharePoint, menu Stratégies > Partage, quatre niveaux sont proposés, du plus ouvert au plus fermé (Microsoft Learn) :
- Tout le monde : liens qui fonctionnent sans connexion.
- Invités nouveaux et existants : les personnes externes doivent se connecter ou saisir un code reçu par e-mail.
- Invités existants : seulement les invités déjà présents dans votre annuaire.
- Uniquement les personnes de votre organisation : aucun partage externe.
Si vous gardez le niveau « Tout le monde », deux réglages avancés limitent la casse : une date d’expiration obligatoire pour ces liens, et une restriction à la lecture seule.
Niveau 2 : le site et ses trois groupes
Chaque site d’équipe contient trois groupes par défaut (Microsoft Learn) :
| Groupe | Niveau d’autorisation | En pratique |
|---|---|---|
| Propriétaires | Contrôle total | Gèrent les membres, les réglages et le partage |
| Membres | Modification | Ajoutent, modifient et suppriment documents et éléments de listes |
| Visiteurs | Lecture | Consultent et téléchargent, sans modifier |
Deux points surprennent souvent :
- Site public ou privé. Sur un site d’équipe public, le groupe « Tout le monde sauf les utilisateurs externes » est ajouté automatiquement aux membres : tous les salariés peuvent lire et modifier le contenu. Sur un site privé, il faut ajouter les personnes une par une (Microsoft Learn).
- Sites reliés à Teams. Les membres se gèrent dans Teams. Un groupe Microsoft 365 n’a pas de niveau « lecture seule » : pour donner un accès en lecture, il faut ajouter la personne au groupe Visiteurs du site (Microsoft Learn).
Par défaut, les nouveaux sites de communication et les sites d’équipe sans groupe sont fermés à l’extérieur ; les sites reliés à Teams autorisent les invités si les propriétaires de groupes peuvent ajouter des personnes externes (Microsoft Learn).
Niveau 3 : les liens de partage
Quand quelqu’un clique sur « Partager », il crée un lien. Il en existe trois types principaux (Microsoft Learn) :
| Type de lien | Qui peut l’ouvrir | Traçabilité | À utiliser pour |
|---|---|---|---|
| Tout le monde | Quiconque possède le lien, sans connexion | Aucune : on ne sait pas qui l’a ouvert | Documents publics (plaquette, tarifs publiés) |
| Personnes de votre organisation | Tout salarié qui possède le lien | Connexion obligatoire | Documents internes non sensibles |
| Personnes spécifiques | Uniquement les personnes nommées | Connexion obligatoire, non transférable | Documents clients, RH, juridiques |
Attention à un effet de bord : partager un document avec une personne qui n’a pas accès au site casse l’héritage des droits sur ce document. SharePoint lui crée alors des droits uniques (Microsoft Learn). Multipliés par des centaines de partages, ces exceptions rendent les droits illisibles.
Pourquoi c’est urgent si vous préparez de l’IA
Microsoft le dit clairement : Copilot n’affiche que les données que l’utilisateur a au minimum le droit de consulter, et il est important d’utiliser les modèles de droits de SharePoint pour que les bonnes personnes aient accès au bon contenu (Microsoft Learn).
Autrement dit, l’IA ne contourne pas vos droits. Elle les révèle. Un dossier « Salaires 2025 » posé sur un site public était invisible tant que personne ne le cherchait. Avec un assistant qui répond à « combien gagne… », il devient accessible en une phrase. Le même principe s’applique aux agents que nous construisons sur Azure AI Foundry : ils interrogent SharePoint avec les droits de l’utilisateur, jamais avec un super-compte.
Faire le ménage dans les droits n’est donc pas un chantier de sécurité à part : c’est la première étape de tout assistant documentaire ou agent IA.
La méthode en 5 étapes pour une PME
1. Faire l’inventaire des sites
Dans le centre d’administration SharePoint, la page Sites actifs liste tous les sites avec leur réglage de partage externe. Notez pour chacun : à quoi il sert, qui en est propriétaire, s’il est public ou privé, s’il contient des données sensibles.
2. Classer les contenus par niveau de sensibilité
| Niveau | Exemples | Règle conseillée |
|---|---|---|
| Public | Plaquettes, offres publiées | Tous les liens autorisés |
| Interne | Procédures, modèles, intranet | Site de communication en lecture pour tous |
| Restreint | Dossiers clients, projets | Site privé, accès par équipe, invités nommés si besoin |
| Confidentiel | RH, paie, juridique, direction | Site privé, partage externe coupé, partage réservé aux propriétaires |
Microsoft recommande de stocker ce qui ne doit jamais sortir dans un site où le partage externe est désactivé, et de créer des sites dédiés pour collaborer avec l’extérieur (Microsoft Learn).
3. Régler l’organisation, puis chaque site
- Choisissez le niveau d’organisation le plus fermé compatible avec vos usages (souvent « Invités nouveaux et existants »).
- Imposez une expiration aux liens « Tout le monde » si vous les gardez.
- Réglez le type de lien proposé par défaut sur « Personnes spécifiques » ou « Personnes de votre organisation ».
- Fermez le partage externe des sites confidentiels, site par site (Microsoft Learn).
4. Reprendre la main sur les sites sensibles
Sur un site confidentiel, le propriétaire peut ouvrir Paramètres > Autorisations du site > Modifier la façon dont les membres peuvent partager et choisir « Seuls les propriétaires du site peuvent partager des fichiers, des dossiers et le site » (Microsoft Support). Les membres continuent de travailler normalement ; ils ne peuvent simplement plus ouvrir l’accès.
5. Revoir les invités et poser une règle simple
Fixez une durée d’expiration de l’accès des invités dans les réglages de partage de l’organisation (Microsoft Learn). Puis écrivez une règle d’une phrase pour les équipes, par exemple : « Pour un client, toujours un lien Personnes spécifiques ; jamais de lien Tout le monde sur un dossier. »
Checklist à faire cette semaine
- Je connais le niveau de partage externe de mon organisation.
- Chaque site a au moins deux propriétaires identifiés.
- Aucun site public ne contient de données RH, de paie ou juridiques.
- Les liens « Tout le monde » expirent automatiquement, ou sont désactivés.
- Le lien proposé par défaut n’est pas « Tout le monde ».
- Les sites confidentiels ont le partage externe coupé.
- L’accès des invités expire automatiquement.
Si vous cochez moins de cinq cases, commencez par là avant tout projet d’IA.
Ce que nous faisons dans un projet
Dans un cabinet d’avocats ou d’expertise comptable, le cloisonnement par dossier est une obligation professionnelle. C’est souvent le premier chantier d’une gestion documentaire SharePoint : un plan de sites par niveau de sensibilité, des droits gérés par groupe plutôt que fichier par fichier, et un réglage de partage cohérent. Voir aussi notre page avocats.
Pour savoir où en est votre organisation, faites le score de maturité IA en deux minutes, ou réservez un appel de 30 minutes : nous passons en revue vos réglages de partage avec vous, écran partagé.