Migration de tenant Microsoft 365 : qui paie quand 40 000 e-mails disparaissent ?
Une migration tenant-to-tenant qui tourne mal peut effacer des milliers d'e-mails sans retour arrière. Anatomie d'un sinistre et de la facture qui en découle pour le consultant.
- La rétention native Microsoft 365 (corbeille, éléments récupérables) n'est PAS une sauvegarde : passé 14 à 30 jours, les données purgées sont irrécupérables.
- Lors d'une migration tenant-to-tenant, c'est presque toujours le consultant qui pilote le mapping des comptes et le cutover : sa faute technique engage directement sa responsabilité.
- Le préjudice n'est pas matériel mais immatériel (perte d'exploitation, reconstitution de dossiers, sanction RGPD) : seule une RC Pro avec garantie des dommages immatériels non consécutifs le couvre.
- Un PV de migration signé et une sauvegarde tierce indépendante divisent par dix votre exposition réelle.
Le scénario qui revient le plus souvent en sinistre
Un client vous confie la fusion de deux entités après un rachat : il faut basculer 80 boîtes mail, les OneDrive et les sites SharePoint d'un tenant source vers un tenant cible. Vous planifiez le cutover un vendredi soir. Le lundi matin, plusieurs collaborateurs constatent que des dossiers entiers de leur boîte ont disparu, et que des fichiers OneDrive partagés ne remontent plus. En remontant le fil, vous découvrez que le mapping de quelques comptes était erroné : les boîtes correspondantes ont été écrasées côté cible, puis la corbeille a été purgée par le cycle de rétention avant que quiconque ne s'en aperçoive.
Ce type d'incident n'a rien d'exotique. Sur une migration tenant-to-tenant, le cutover est un point de non-retour : une fois les enregistrements MX repointés et les anciennes boîtes désactivées, la fenêtre de récupération se referme vite. Et c'est vous, en tant que consultant, qui avez tenu la manette.
L'erreur de raisonnement : « Microsoft sauvegarde tout »
La majorité des litiges naissent d'un malentendu sur ce que Microsoft 365 protège réellement. Le modèle de Microsoft est explicite : c'est le modèle de responsabilité partagée. Microsoft garantit la disponibilité de l'infrastructure et une certaine résilience, mais la protection des données contre une suppression accidentelle, malveillante ou de masse reste à la charge du client — donc, en pratique, de son prestataire.
Les mécanismes natifs entretiennent l'illusion d'un filet de sécurité :
- Corbeille Exchange Online : les éléments supprimés restent récupérables un temps limité, puis basculent dans les « éléments récupérables », purgés par défaut au bout de 14 jours (extensible à 30).
- Rétention OneDrive / SharePoint : un site supprimé est conservé 93 jours, mais un fichier écrasé par une mauvaise synchronisation ne déclenche aucune corbeille de site.
- Litigation hold / rétention : très puissant, mais seulement s'il a été activé avant l'incident.
Une corbeille n'est pas une sauvegarde. Une sauvegarde, c'est une copie indépendante, hors du tenant, restaurable point par point. Tant que cette distinction n'est pas écrite noir sur blanc dans votre contrat, c'est vous qui en porterez la charge.
Pourquoi la responsabilité retombe sur le consultant
Sur une mission de migration, le consultant est rarement un simple exécutant. Vous définissez le plan, vous validez le mapping des identités, vous choisissez l'outil de migration, vous fixez la date de cutover et vous prononcez le « go ». Juridiquement, vous êtes tenu à une obligation de moyens renforcée : on n'attend pas de vous un résultat magique, mais la mise en œuvre de toutes les précautions qu'un professionnel diligent aurait prises.
Concrètement, un juge ou un expert d'assurance examinera :
- Avez-vous réalisé un inventaire et un mapping vérifié avant le cutover ?
- Avez-vous mis en place ou exigé une sauvegarde tierce avant l'opération ?
- Avez-vous documenté un plan de rollback ?
- Avez-vous alerté le client sur les limites de la rétention native ?
Si la réponse à plusieurs de ces questions est « non », votre faute de prestation est caractérisée. C'est exactement ce que couvre la RC Pro : les conséquences pécuniaires d'une erreur, d'une omission ou d'une négligence dans l'exécution de votre mission.
Chiffrer le préjudice : ce n'est pas le coût des e-mails
La question naïve est « combien vaut un e-mail ? ». La vraie question est : combien coûte au client le fait de ne plus l'avoir ? Reconstituons une facture réaliste pour une PME de 80 salariés.
| Poste de préjudice | Estimation |
|---|---|
| Reconstitution manuelle de dossiers clients perdus (devis, échanges contractuels) | 18 000 € |
| Perte d'exploitation : équipe commerciale ralentie pendant 3 semaines | 22 000 € |
| Intervention d'urgence d'un prestataire forensic pour tenter une récupération | 9 500 € |
| Notification CNIL et accompagnement RGPD (données personnelles concernées) | 6 000 € |
| Préjudice de réputation et geste commercial vers un client final | 12 000 € |
| Total réclamé au consultant | ≈ 67 500 € |
Aucun de ces postes n'est un dommage matériel : il n'y a ni objet cassé, ni local incendié. Ce sont des dommages immatériels non consécutifs — le poste le plus souvent sous-couvert dans les contrats bas de gamme. Vérifiez que votre RC Pro les inclut explicitement, avec un plafond cohérent avec la taille de vos clients.
Quand l'incident bascule du côté cyber
Un cas se complique vite : la perte de données n'est pas due à votre seule maladresse, mais à une compromission. Pendant la fenêtre de migration, les comptes d'administration sont sur-sollicités, le MFA est parfois temporairement assoupli, et c'est précisément le moment qu'attend un attaquant. Si un compte admin est détourné et que des boîtes sont chiffrées ou exfiltrées, vous entrez dans le périmètre cyber : gestion de crise, notification obligatoire, expertise informatique légale.
La frontière est subtile : la RC Pro répond de votre faute professionnelle, tandis qu'une assurance cyber répond de l'atteinte aux systèmes et aux données, y compris quand vous n'êtes pas fautif. Pour un consultant qui manipule les annuaires et les droits d'administration de ses clients, l'articulation des deux couvertures n'est pas un luxe. Détaillez votre activité réelle sur votre page métier pour calibrer la bonne combinaison.
Les réflexes qui réduisent votre exposition de 90 %
Aucune assurance ne remplace une méthode. Voici les garde-fous qui transforment un sinistre majeur en simple incident maîtrisé :
- Sauvegarde tierce indépendante AVANT le cutover. Une copie complète des boîtes et des OneDrive, hors tenant, restaurable. C'est votre filet et votre preuve de diligence.
- PV de migration signé. Faites valider par le client l'inventaire, le mapping et la date de bascule. Un document signé déplace une partie de la responsabilité vers celui qui a validé.
- Allongement préalable de la rétention. Portez la rétention des éléments récupérables à 30 jours et activez une rétention sur les sites critiques avant l'opération.
- Plan de rollback écrit. Savoir comment revenir en arrière dans les 24 h change tout face à un expert.
- Lettre de mission claire. Délimitez ce qui relève de vous et ce qui relève du client (notamment la sauvegarde de long terme).
Ces réflexes ne se contentent pas de réduire le risque : ils nourrissent votre dossier de défense le jour où une réclamation arrive.
Questions fréquentes
Non. La corbeille et les éléments récupérables purgent par défaut au bout de 14 à 30 jours, et certains écrasements de fichiers ne déclenchent aucune corbeille. Seule une sauvegarde tierce indépendante, hors tenant, garantit une restauration point par point après un incident de migration.
Oui, dès lors qu'elle résulte d'une faute de prestation (mapping erroné, cutover prématuré, absence de sauvegarde recommandée). Vérifiez que votre contrat couvre les dommages immatériels non consécutifs, car le préjudice réel est financier et non matériel.
C'est vivement recommandé. La RC Pro couvre vos fautes professionnelles ; l'assurance cyber répond des atteintes aux données et aux systèmes, y compris en cas de piratage non fautif d'un compte admin pendant une migration. Les deux couvertures se complètent sans se chevaucher.
Par votre documentation : PV de migration signé par le client, lettre de mission délimitant les responsabilités, preuve de la sauvegarde recommandée et plan de rollback. Ces éléments démontrent votre diligence et peuvent reporter une part de responsabilité sur le client qui a validé l'opération.
Tout dépend de la taille de vos clients, mais un préjudice cumulé (reconstitution de données, perte d'exploitation, sanction RGPD) dépasse fréquemment 50 000 € pour une PME de 80 salariés. Calez le plafond de vos dommages immatériels sur le pire scénario de votre portefeuille client.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant Microsoft 365 — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant Microsoft 365 →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.