Limiter et contrôler les autorisations uniques dans SharePoint

Les autorisations uniques sur les fichiers et dossiers SharePoint sont l’une des principales causes de dérives de sécurité et de perte de visibilité dans Microsoft 365. Teams Governor aide les organisations à identifier, limiter et automatiser le contrôle de ces exceptions afin de préserver une gouvernance simple, lisible et durable, sans bloquer la collaboration.

À retenir : dans SharePoint, chaque rupture d’héritage complexifie la sécurité, augmente les risques de sur‑partage et rend les audits beaucoup plus difficiles. Microsoft recommande de privilégier l’héritage des autorisations et les groupes plutôt que les exceptions individuelles.

Pourquoi existe‑t‑il des autorisations uniques ?

Par défaut, SharePoint applique un héritage des autorisations : un fichier hérite des droits de son dossier, qui hérite de la bibliothèque, elle‑même héritant du site ou de l’équipe Teams associée.

Cet héritage est cependant fréquemment rompu lorsque :

• un document est partagé avec une personne spécifique,
• un lien de partage est créé avec des droits particuliers,
• un dossier est sécurisé ponctuellement « au cas par cas »,
• un besoin métier temporaire devient une exception permanente.

Au fil du temps, ces exceptions s’accumulent et transforment un site simple en un ensemble difficilement maîtrisable.

Dans la majorité des cas, les propriétaires de sites ignorent le nombre réel de fichiers et dossiers disposant d'autorisations uniques.

Pourquoi Microsoft recommande de les limiter

Microsoft recommande explicitement de limiter le nombre d'autorisations uniques dans SharePoint, pour plusieurs raisons [1] :

• réduction de la complexité des listes de contrôle d'accès (ACL),
• meilleures performances sur les sites volumineux [1],
• lisibilité accrue de la sécurité pour les propriétaires,
• réduction des risques de sur‑partage involontaire [2],
• facilitation des audits sécurité et conformité.

Une bonne gouvernance SharePoint repose sur des autorisations héritées, alignées sur les équipes et les rôles, et non sur des exceptions individuelles.

Liens d'organisation et liens anonymes

Lorsqu’un document est partagé, SharePoint peut créer différents types de liens :

• Liens d’organisation : toute personne authentifiée dans le tenant peut accéder au document.
• Liens anonymes : toute personne disposant du lien, même sans authentification, peut accéder au contenu.

Ces liens peuvent élargir l’audience d’un contenu et être diffusés hors du périmètre initial du projet. Leur présence ne prouve pas à elle seule une rupture d’héritage ; vérifiez les autorisations effectives. [2]

Plus il existe de liens d'organisation et de liens anonymes, plus il devient difficile de garantir que seules les bonnes personnes ont accès aux bonnes informations.

Paramétrage avec Teams Governor

Définir le lien de partage par défaut

Dans les propriétés d’un modèle Teams Governor, vous pouvez définir le type de lien de partage par défaut, ainsi que les autorisations associées.

En sélectionnant « Personnes disposant déjà de l’accès », vous imposez un comportement clé :

• aucune nouvelle autorisation n’est créée lors du partage,
• l’héritage des droits est conservé,
• le partage devient un simple accès à un droit existant.

Ce paramétrage choisit un défaut plus restrictif ; il n’interdit pas les autres types de liens lorsqu’ils restent autorisés par la politique SharePoint et ne supprime pas les liens existants.

Nettoyage automatique via les cycles de vie

Teams Governor permet également d’automatiser la suppression des autorisations uniques via les cycles de vie.

Sur une étape donnée (stabilisation, clôture, archivage), il est possible de :

• supprimer toutes les autorisations uniques sur les fichiers et dossiers,
• revenir à un modèle d’accès simple et hérité,
• sécuriser durablement les espaces en fin de vie.

Identifier les sites à traiter en priorité

Vue globale dans l’onglet « Gouvernance »

Dans l’onglet Gouvernance, Teams Governor affiche pour chaque projet :

• le nombre de fichiers avec autorisations uniques,
• le nombre de liens d’organisation,
• le nombre de liens anonymes.

Ces indicateurs permettent d’identifier rapidement les sites les plus exposés et de prioriser les actions.

Analyse détaillée dans l’activité du projet

Dans les propriétés d’un projet, onglet Activité, vous retrouvez :

• les actions de partage réalisées,
• les utilisateurs à l’origine de ces partages,
• l’historique des 90 derniers jours,
• la liste des documents actuellement partagés.

Cette visibilité permet d’agir de manière ciblée, sans bloquer les usages légitimes des équipes.

Supprimer les autorisations uniques

Via le cycle de vie

La méthode la plus structurante consiste à configurer une étape du cycle de vie supprimant automatiquement toutes les autorisations uniques.

Via une action manuelle sur le projet

Pour un seul élément, cliquez sur Fichiers avec autorisations uniques dans Requêtes, puis utilisez Rétablir l’héritage des autorisations dans la grille, avec confirmation. Cette action est réservée aux propriétaires ou administrateurs autorisés et remplace les droits spécifiques de l’élément par ceux de son parent ; vérifiez l’impact sur les personnes qui doivent conserver leur accès.

1. Ouvrir les Propriétés du projet,
2. Cliquer sur Mettre à jour le projet,
3. Sélectionner Personnalisé,
4. Cocher Supprimer les autorisations uniques des fichiers et dossiers.

Cette action permet de remettre à plat la sécurité d’un projet en quelques clics, sans intervention technique.

Pour aller plus loin

• Comprendre les niveaux d'autorisation SharePoint — Microsoft Learn [1]
• Limiter le partage dans Microsoft 365 — Microsoft Learn [2]
• Planifier la gouvernance dans Microsoft Teams — Microsoft Learn [3]
• Gérer les autorisations d'un site SharePoint — Microsoft Learn [4]

Sources : [1] Microsoft Learn — SharePoint permission levels. [2] Microsoft Learn — Limit sharing in Microsoft 365. [3] Microsoft Learn — Plan Teams governance. [4] Microsoft Learn — Manage site permissions.