Sites SharePoint orphelins et inactifs : reprendre la maîtrise du cycle de vie des données
Un site SharePoint survit généralement au projet qui l'a fait naître, et souvent à son propriétaire. Dans nos audits, une part importante des sites n'a plus été modifiée depuis longtemps, certains n'ont plus aucun administrateur actif, et leurs liens de partage restent ouverts. Ces espaces oubliés concentrent des risques que personne ne surveille.
Pourquoi les sites oubliés posent problème
Un site sans propriétaire actif n'est plus gouverné. Personne ne revoit ses membres, personne ne retire les accès des invités, personne ne vérifie les liens « toute personne disposant du lien » créés il y a trois ans. Les données qu'il contient, parfois sensibles, restent accessibles bien après la fin de leur utilité.
Plusieurs conséquences concrètes en découlent :
- une exposition durable par des liens de partage et des invités jamais révoqués ;
- une conservation excessive de données personnelles, contraire au principe de limitation de la durée de conservation du RGPD ;
- des résultats de recherche et d'assistants d'IA alimentés par des contenus obsolètes ou mal protégés ;
- un coût de stockage qui croît sans contrepartie.
Deux situations différentes : sans propriétaire et inactif
Un site sans propriétaire peut être très utilisé : c'est le cas d'un site d'équipe dont le responsable est parti. Pour les sites connectés à un groupe Microsoft 365, les propriétaires du site sont ceux du groupe ; pour les sites de communication et les sites classiques, ce sont les administrateurs de collection de sites. Un départ non anticipé suffit à laisser le site sans responsable.
Un site inactif, lui, n'a plus d'activité significative depuis une période donnée, mais peut avoir un propriétaire qui l'a simplement oublié. Les deux situations n'appellent pas la même réponse : réattribuer la propriété dans le premier cas, interroger sur l'utilité dans le second.
Repérer les sites concernés
Le centre d'administration SharePoint et PowerShell permettent d'extraire la liste des sites avec leur date de dernière modification de contenu, leur stockage, leur modèle et leurs administrateurs. Croisée avec la liste des comptes désactivés ou supprimés, elle fait ressortir les sites orphelins.
SharePoint Advanced Management apporte des outils dédiés : stratégies de sites inactifs, qui notifient automatiquement les propriétaires et peuvent passer le site en lecture seule ou l'archiver ; stratégies de propriété, qui détectent les sites ne respectant pas un nombre minimal de propriétaires ; rapports de gouvernance de l'accès aux données. Les conditions de licence de ces fonctions ont évolué ; vérifiez ce qui est disponible dans votre locataire.
Commencez par un administrateur de secours. Désigner un compte ou un groupe d'administration en tant qu'administrateur secondaire de chaque site garantit que personne ne se retrouve bloqué le jour où le propriétaire part. C'est une mesure simple qui évite bien des situations de crise.
Organiser le cycle de vie
Une démarche progressive fonctionne mieux qu'un grand nettoyage :
- Réattribuer la propriété des sites orphelins encore utilisés, en s'appuyant sur les membres actifs ou le management du service.
- Interroger les propriétaires des sites inactifs : le site est-il encore utile ?
- Passer en lecture seule les sites dont l'utilité est incertaine, ce qui limite les risques sans rien supprimer.
- Archiver les sites à conserver mais plus consultés. Microsoft 365 Archive permet de déplacer un site vers un stockage froid, avec un coût de réactivation ; vérifiez le modèle de facturation actuel.
- Supprimer ce qui n'a plus de raison d'exister. Un site supprimé reste restaurable pendant 93 jours depuis la corbeille des sites.
Avant toute suppression, vérifiez les obligations de conservation. Les stratégies de rétention et les conservations pour litige s'appliquent indépendamment de la suppression du site : le contenu reste préservé tant qu'une obligation existe. À l'inverse, si aucune stratégie ne couvre un site, sa suppression est définitive au-delà du délai de restauration.
Prévenir plutôt que guérir
La meilleure façon de limiter les sites orphelins est d'agir à la création et au départ des collaborateurs : exiger deux propriétaires, appliquer une stratégie d'expiration aux groupes, et intégrer au processus de départ la réattribution des sites dont la personne était propriétaire. Une revue annuelle, confiée aux propriétaires eux-mêmes, entretient ensuite la responsabilité.
Ce qu'un audit vérifie
- La proportion de sites sans modification depuis plus d'un an.
- Les sites dont aucun propriétaire ou administrateur n'est un compte actif.
- Les liens de partage et invités présents sur les sites inactifs.
- L'existence d'un administrateur secondaire et d'une exigence de deux propriétaires.
- Les stratégies de sites inactifs, de propriété et d'archivage en place.
- La prise en compte des sites dans le processus de départ des collaborateurs.
- L'articulation entre suppression et stratégies de rétention.