Sur presque chaque tenant que nous examinons, il existe des liens de partage anonymes créés il y a plusieurs années, encore actifs, vers des fichiers que plus personne ne surveille. Ce n'est pas une faille : c'est un réglage par défaut que personne n'a refermé après la migration.
La question à se poser n'est pas « avons-nous activé le partage externe ». C'est : combien de liens sont actifs aujourd'hui, vers quoi, créés par qui, et expirent-ils un jour ?
Ce qu'un lien anonyme est réellement
Un lien « toute personne disposant du lien » est un jeton d'accès. Pas une invitation, pas un droit attribué à quelqu'un : une chaîne de caractères qui ouvre le fichier à qui la présente.
Trois conséquences que la formulation de l'interface ne rend pas :
Il se transmet. Il part dans un fil de discussion, qui est transféré, archivé, exporté. Chaque copie fonctionne aussi bien que l'originale.
Il ne s'authentifie pas. Aucune trace de qui a ouvert le fichier, seulement qu'il a été ouvert. En cas de fuite, vous ne pourrez pas dire par qui.
Il suit le fichier. Si le document est mis à jour, le lien donne accès à la nouvelle version. Un tarif partagé en 2022 expose vos tarifs de 2026.
Ce que nous regardons dans un audit
Cinq mesures, dans cet ordre :
- Le niveau autorisé au niveau du tenant et, séparément, celui de chaque site. Un tenant restrictif avec trois sites permissifs n'est pas un tenant restrictif.
- L'existence d'une expiration par défaut sur les liens anonymes, et sa durée.
- Le nombre de liens anonymes actifs, et leur âge. C'est le chiffre qui frappe en comité de direction : il se compte souvent en centaines.
- Les permissions par défaut — un lien anonyme en modification, ce n'est pas un lien anonyme en lecture.
- Les sites qui n'auraient jamais dû être partageables : ressources humaines, direction, juridique, données de production.
Refermer sans bloquer personne
C'est là que la plupart des projets s'arrêtent, parce que la peur de casser un usage l'emporte. Cette peur est justifiée : couper le partage externe d'un coup, sur un groupe qui échange quotidiennement avec ses clients, est un incident.
L'ordre qui fonctionne :
1. Poser une expiration, sans rien couper
Une durée de vie maximale sur les nouveaux liens anonymes — trente jours est un bon point de départ — ne casse aucun usage en cours. Elle change simplement une règle pour la suite : ceux qui ont besoin d'un lien plus longtemps le recréent.
C'est la mesure la plus rentable du lot. Elle arrête l'hémorragie avant qu'on ne traite l'existant.
2. Mettre la lecture par défaut
Le partage en modification reste possible, mais devient un choix explicite plutôt que la valeur préremplie. La plupart des partages externes n'ont jamais eu besoin d'être en écriture.
3. Traiter l'existant par âge, pas par volume
Ne cherchez pas à tout revoir. Prenez les liens de plus de douze mois : ils sont presque tous morts fonctionnellement, et ils représentent l'essentiel du risque. Les révoquer produit très peu d'appels au support — un lien d'il y a un an n'est plus utilisé par personne.
4. Restreindre les sites sensibles, un par un
Ressources humaines, direction, juridique : ces sites-là passent en partage interne seulement. C'est une décision par site, pas une politique globale, et elle se prend avec les métiers concernés.
Pourquoi ça revient
Vous pouvez faire ce travail parfaitement et retrouver la même situation dix-huit mois plus tard. Un nouveau site est créé pour un projet, avec les réglages par défaut. Une équipe demande une exception pour un partenaire, et l'obtient. Une migration importe des données avec leurs partages d'origine.
C'est la mécanique ordinaire de la dérive de configuration : chaque événement est légitime, et leur somme reconstitue le problème. Ce qui change la donne n'est pas de mieux refermer, c'est de mesurer en continu.