La hiérarchie des permissions dans l'écosystème Microsoft 365
Comprendre la structure des accès SharePoint demande d'intégrer la logique des groupes Microsoft 365. Contrairement aux anciens serveurs de fichiers où chaque dossier possédait sa propre liste de contrôle d'accès (ACL) figée, SharePoint Online fonctionne par héritage. Par défaut, tout élément créé dans une bibliothèque de documents hérite des droits du site parent. C'est un gain de temps considérable pour l'administration, mais cela devient un cauchemar de sécurité si l'on n'y prête pas attention. Environ 65 % des fuites de données internes en entreprise proviennent de permissions héritées mal maîtrisées sur des sous-dossiers sensibles.
Le système repose sur trois piliers : les propriétaires (Contrôle total), les membres (Modification) et les visiteurs (Lecture seule). Lorsqu'un utilisateur demande comment voir qui a accès à un SharePoint, il cherche souvent à démêler l'imbrication entre ces groupes SharePoint natifs et les groupes de sécurité Azure Active Directory (désormais Microsoft Entra ID). Cette superposition crée une couche de complexité où un utilisateur peut apparaître deux fois sous des identités de groupe différentes, compliquant la lecture immédiate des privilèges réels.
Accéder aux autorisations avancées pour une visibilité totale
La vue simplifiée proposée par le panneau latéral "Accès au site" est souvent insuffisante pour un audit sérieux. Pour obtenir une vision exhaustive, il faut basculer vers les "Paramètres d'autorisation avancés". Ce lien, presque caché en bas du panneau de configuration, ouvre l'interface classique de SharePoint. C'est ici que réside la véritable puissance d'administration. Vous y trouverez le ruban "Vérifier les autorisations", un outil indispensable qui permet de saisir le nom d'un collaborateur pour simuler ses droits effectifs. Le système analyse alors l'ensemble des appartenances aux groupes et affiche précisément pourquoi l'utilisateur a accès (par exemple via le groupe "Tous les utilisateurs sauf externes").
L'administration des accès SharePoint via cette interface permet également de repérer les niveaux d'autorisation personnalisés. Il n'est pas rare de trouver des niveaux hybrides, comme "Approbation" ou "Conception", qui s'écartent des standards. Dans une organisation de 500 personnes, on estime qu'environ 12 % des sites possèdent des niveaux de permissions personnalisés qui ne sont plus documentés, créant des zones d'ombre critiques pour la gouvernance des données.
Le problème de l'héritage rompu sur les documents
Dès qu'un utilisateur clique sur "Partager" et saisit une adresse e-mail pour un fichier spécifique, SharePoint casse l'héritage. Le fichier devient une entité autonome avec ses propres règles. Pour visualiser ces exceptions, vous devez naviguer dans la bibliothèque, sélectionner le fichier, et ouvrir le volet de détails (icône "i"). La section "Gérer l'accès" listera alors les individus ayant un accès direct et, surtout, les liens de partage. Ces liens sont les principaux vecteurs de risques, car ils peuvent parfois être transférés à des tiers sans que le propriétaire initial n'en soit informé.
Pourquoi la gestion des accès par lien est un risque majeur
Les liens de type "Toute personne disposant du lien" sont les ennemis jurés de la sécurité informatique. Bien que Microsoft permette de restreindre leur durée de vie (souvent réglée sur 30 ou 90 jours par défaut dans les politiques de tenant), leur prolifération rend la question comment voir qui a accès à un SharePoint particulièrement épineuse. Un lien anonyme n'affiche pas de nom d'utilisateur, mais simplement une statistique d'utilisation. Pour un administrateur, c'est une boîte noire.
Je considère que l'utilisation de ces liens devrait être proscrite pour tout document contenant des données PII (Personally Identifiable Information). La meilleure pratique consiste à privilégier les liens "Personnes spécifiques". En consultant l'onglet d'accès, vous verrez alors des visages et des noms réels plutôt que des icônes de liens génériques. C'est la différence entre gérer une liste d'invités et laisser la porte de son bureau ouverte dans un hall de gare. La clarté de votre audit de sécurité SharePoint en dépend directement.
Utiliser PowerShell pour un export massif des permissions
Si vous devez auditer un site contenant 10 000 fichiers, la vérification manuelle est une perte de temps pure et simple. C'est ici qu'intervient le module PnP PowerShell. Avec quelques lignes de code, il est possible d'extraire un rapport CSV complet de chaque dossier dont l'héritage est rompu. Une commande comme `Get-PnPWeb` associée à un script de récursion permet de lister l'intégralité des utilisateurs et groupes SharePoint ayant des droits sur chaque nœud de l'arborescence.
Cette méthode est la seule valable pour répondre aux exigences de conformité type ISO 27001 ou RGPD. Un rapport automatisé peut révéler que d'anciens prestataires ont toujours des accès "Lecture" sur des archives datant de trois ans. Les statistiques montrent que dans les entreprises n'utilisant pas de scripts d'audit réguliers, près de 20 % des comptes inactifs conservent des accès résiduels sur des espaces collaboratifs sensibles. Le coût d'un tel audit automatisé est dérisoire face au risque d'une fuite de données massive.
Comparaison des méthodes : Interface Web vs Centre d'administration
Il existe une confusion fréquente entre ce que voit le propriétaire du site et ce que voit l'administrateur global. Le propriétaire du site via l'interface SharePoint ne voit que la surface. L'administrateur SharePoint, depuis le Centre d'administration Microsoft 365, dispose d'une vue d'ensemble sur tous les sites du tenant, y compris les sites personnels OneDrive. Dans le centre d'administration, l'onglet "Sites actifs" permet de filtrer les sites par niveau de sensibilité ou par type d'accès externe.
La différence est de taille : l'interface web est faite pour la collaboration quotidienne, tandis que le centre d'administration est conçu pour la conformité et la sécurité. Par exemple, seul le centre d'administration peut vous indiquer si un site permet le partage externe avec des utilisateurs non authentifiés à l'échelle de l'organisation. Si vous gérez plus de 50 sites, ne perdez pas votre temps dans l'interface utilisateur classique ; passez directement par les rapports d'utilisation et de sécurité du centre d'administration pour identifier les anomalies de partage.
Erreurs courantes : ce qu'il ne faut pas faire lors d'une vérification
L'erreur la plus fréquente consiste à croire que supprimer un utilisateur d'un groupe Microsoft 365 suffit à lui retirer tous ses accès. C'est faux. Si cet utilisateur a reçu un accès direct sur un document via un lien de partage par le passé, cet accès persiste malgré sa sortie du groupe principal. C'est ce qu'on appelle les "permissions résiduelles". Pour vérifier les accès SharePoint de manière infaillible, il faut toujours croiser l'appartenance aux groupes et les entrées d'accès direct.
Une autre méprise concerne les comptes "Invités". Beaucoup pensent que les invités ont des droits restreints par nature. En réalité, un invité peut être promu propriétaire d'un site par erreur. Lors de vos audits, triez systématiquement la liste des utilisateurs par "Type d'utilisateur". Tout compte externe disposant de droits supérieurs à "Lecture" doit être justifié par une nécessité métier immédiate. On estime que 15 % des accès externes en entreprise sont obsolètes après seulement six mois de projet.
FAQ : Questions fréquentes sur la visibilité des accès
Comment savoir si une personne externe a accès à mon site ?
Dans les paramètres du site, sous "Autorisations du site", recherchez la mention "Utilisateurs externes". Vous pouvez également utiliser le rapport de partage disponible dans les paramètres de la bibliothèque de documents, qui génère un fichier Excel listant chaque utilisateur externe et le niveau de privilège associé. C'est la méthode la plus fiable pour un contrôle des accès externes efficace.
Peut-on empêcher les membres de voir qui d'autre a accès ?
Techniquement, non. Par design, SharePoint est un outil collaboratif. Si vous avez accès à un site, vous pouvez généralement voir la liste des membres. Cependant, vous pouvez restreindre la visibilité de certaines listes ou bibliothèques en rompant l'héritage des permissions, masquant ainsi le contenu (mais pas nécessairement l'existence du site lui-même) aux personnes non autorisées.
Combien de temps prend la mise à jour des accès après une modification ?
Les changements d'autorisations sont quasi instantanés dans SharePoint Online, s'appliquant généralement en moins de 30 secondes. Toutefois, si l'accès est géré via un groupe de sécurité synchronisé depuis un Active Directory local (On-premise), le délai peut atteindre 30 à 60 minutes, le temps que le cycle de synchronisation Microsoft Entra Connect se termine.
Conclusion sur la maîtrise de la visibilité des accès
Maîtriser comment voir qui a accès à un SharePoint n'est pas une tâche ponctuelle, mais un processus d'hygiène numérique continu. Entre l'interface utilisateur pour les vérifications rapides, les paramètres avancés pour les analyses de droits effectifs et PowerShell pour les audits de masse, vous disposez d'un arsenal complet. La clé réside dans la compréhension de l'héritage et la vigilance face aux liens de partage anonymes. Une organisation qui audite ses accès trimestriellement réduit de 40 % son exposition aux risques de sécurité interne. Restez proactif, car dans le cloud, une permission oubliée est une porte restée ouverte sur le web.