Hero link : devenez l’expert du partage Microsoft 365 dans votre PME

C’est désormais officiel : Microsoft 365 change radicalement la façon dont les PME donnent accès à leurs données via des liens de partage. Là où OneDrive et SharePoint avaient l’habitude de multiplier les URLs, il faut désormais s’appuyer sur un point d’accès unique. Que Microsoft a décidé de dénommer un peu pompeusement « hero link ». Alors, vraie révolution ou annonce marketing ? Voici notre avis d’expert.

Comme nous vous l’annoncions dans un précédent article consacré à l’utilisation de Microsoft 365 dans les PME, le géant du logiciel fait prendre un virage à ses outils en ligne. Et il était temps. Il est vrai que la gestion des liens de partage dans OneDrive ou SharePoint n’étaient pas vraiment simple. Surtout en comparaison de ce qu’offre la concurrence, DropBox en tête.

Le paramétrage des permissions par défaut tout comme la variété des choix de partage – interne, restreint, public, avec ou sans authentification – n’aidaient pas les utilisateurs à s’approprier simplement la création de liens vers les fichiers. Alors que ceux-ci restent une des meilleures façons de sécuriser la transmission de données tout en étant conforme aux réglementations en vigueur (nLPD, RGPD).

Conséquence : il n’était pas rare que les utilisateurs fassent de mauvaises manipulations et octroient plus de permissions que nécessaire. Tout en multipliant les nombre de liens, car la chaque combinaison de type de partage et de permission donnait lieu à la création d’une nouvelle URL. Liens qu’il fallait ensuite gérer, avec des outils d’audit dont seul Microsoft a le secret : parfaitement inutilisables.

Microsoft 365 : le mode expert des PME est activé

Tout cela est désormais de l’histoire ancienne. Pour mettre en place sa nouvelle méthode, Microsoft s’appuie sur les URLs existantes. Car chaque fichier dans OneDrive ou dans SharePoint dispose par défaut d’un chemin d’accès sur le Web, accessible ou pas en fonction des autorisations accordées. Ce qui évite de créer de nouvelles URLs. Microsoft s’appuie donc sur ce lien créé à l’origine pour chaque fichier ou dossier, et lui associe un lot de permissions.

Avantage : modifier les permissions ne requiert pas de créer un nouveau lien. Ou autrement dit : chaque objet dispose d’un unique lien, dont les permissions par défaut sont fixées, et qui peuvent être modifiées ou agrémentées par la suite, au gré des partages additionnels. La procédure de partage se trouve donc simplifiée, tout comme la visibilité des permissions :

• Sélection de l’objet à partager, puis de la fonction « Partager »
• Sélection d’un utilisateur ou d’un groupe (ou création d’un nouvel utilisateur via son adresse email)
• Définition des permissions (lecture, écriture, commentaire)

Autre avantage : comme le lien n’est pas créé mais est intimement lié à l’objet, il est pérenne et stable dans le temps. Autrement dit : il existe tant que l’objet existe, et ne peut pas être modifié ou supprimé. Seule la suppression du dossier ou du fichier associé entraîne la disparition du lien. On ne gère donc plus les liens en tant que tels, mais uniquement les permissions additionnelles. Même si cela doit passer par la suppression des liens supplémentaires créés jusqu’à maintenant, nous y reviendrons.

La sécurité des partages au centre des attentions

Outre l’amélioration de la facilité de gestion des permissions, la modification déployée par Microsoft vise surtout à améliorer la sécurité. Car dans la multitude des liens qu’il était possible de créer se cachait un vilain petit canard : « Personnes de votre choix ». Cette option autorisait, en parallèle du lien public peu recommandable, le transfert des données vers des utilisateurs externes à l’entreprise. Et avec une méthode d’authentification basée sur un envoi de code à 6 chiffres sur ladite adresse. En d’autres termes, il était possible de s’identifier sur le système d’information de l’entreprise émettrice du lien sans mot de passe, mais avec un simple code numérique transféré par email.

Cette approche constituait un véritable trou dans la raquette dans la posture de sécurité des clients Microsoft 365. Et le géant de Redmond a donc décidé de siffler la fin de la partie. De quelle façon ? Chaque utilisateur externe est toujours authentifié sur la base de son adresse email, mais via un compte invité créé spécifiquement dans le système d’authentification de l’entreprise qui crée le partage. Avec à la clé des bénéfices non négligeables :

• Le compte est référencé dans le système de gestion des comptes Entra ID, et peut être supprimé ou bloqué à tout moment
• Les règles d’authentification de l’organisation s’appliquent à chacun de ces comptes, et il n’est plus possible de déroger avec un code à 6 chiffres
• En particulier, si la double authentification MFA est requise pour tous les comptes invités, elle s’applique lors de l’accès aux partages
• Si le compte invité est lui-même un compte Microsoft 365 dans une autre organisation, alors le mot de passe utilisé est celui du compte de cette organisation, ce qui évite la multiplication des codes d’authentification
• S’il ne s’agit pas d’un compte Microsoft 365, alors le mot de passe est stocké dans le système de gestion de l’organisation qui partage

Liens existants : un inventaire nécessaire

C’est donc un effort significatif de simplification et d’homogénéisation des partages que Microsoft réalise, au bénéfice d’une sécurité cohérente dans tout l’environnement des clients. Mais à quel coût ? Si Microsoft s’appuie sur les liens existants des fichiers et des dossiers, les liens supplémentaires qui avaient été créés jusqu’alors n’on plus de raison d’être. Ils sont spécifiques aux anciens types de partage, et redondants. Il faut donc les supprimer.

Coup de chance – ou pas -, Microsoft va se charger de la suppression pour vous. On peut apprécier le geste, car cela évite d’inventorier les liens et de les supprimer à la main. Sauf que vous devrez de toute façon avoir cartographié vos liens avant cela, quoi qu’il en soit. Car Microsoft ne va pas transférer les permissions sur les liens existants, est c’est à vous que revient cette charge. Pour le dire autrement : vous pourrez dire adieu à vos anciens liens, et recréer les permissions selon la nouvelle méthode.

Et si vous avez suivi jusque-là, cette tâche aura une seconde conséquence tout aussi fâcheuse. Les partages externes devront être gouvernés par des comptes invités. Ce qui signifie que tous vos contacts extérieurs devront créer leur compte et/ou mettre en place MFA. Surtout, leurs anciens accès deviendront obsolètes. La date butoir est fixée de manière autoritaire par Microsoft à avril 2027. Ce qui vous laisse grosso modo 6 mois pour identifier les liens en place, et remplacer ceux qui autorisent des utilisateurs externes… Bon courage !

Migration Hero Link : un mal pour un bien

Comme souvent, Microsoft abuse de sa position monopolistique pour imposer des choix justifiés mais avec la manière forte. Car vous n’avez justement pas vraiment le choix, sauf à envisager une migration en urgence sur un autre système de stockage sous le coup de la colère. Ce qui vous vaudra de toute façon un audit complet pour recréer vos liens dans le nouveau système et les transmettre à vos clients. Ce changement en profondeur sera donc un bienfait qui s’imposera dans la douleur. Pour mieux saisir les avantages de cette avancée à marche forcée, en voici les caractéristiques comparatives :

Dernier point : comme les comptes invités se retrouvent dans le système de gestion des authentifications de Microsoft, il y a fort à parier que vous devez en créer beaucoup. Avec le corollaire d’avoir bien plus de ces comptes que de comptes internes. Surtout si vous êtes un utilisateur forcené des partages externes. Pour qui a déjà mis les doigts dans la gestion des comptes Microsoft 365, c’est une nouvelle peu rassurante.

Car là encore, les outils mis à disposition par Microsoft sont proches du ridicule, tant ils sont simples, voire simplistes. Il y a fort à parier que les clients du roi des services Cloud pousseront pour voir ces outils eux aussi remaniés à court terme. Un mal pour un bien en quelque sorte.

A propos de l'auteur

Emmanuel Dardaine

Emmanuel Dardaine est fondateur et dirigeant de Steel Blue. Il bénéficie d’une expérience de 30 années dans le domaine des télécommunications et de l’informatique pour les PME/TPE. Il a développé avec Steel Blue une expertise forte dans les services managés Cloud à destination des petites entreprises.

See author's posts