Retrait de l’OTP sur SharePoint : pourquoi le partage externe devient un problème de gouvernance et de coûts
Chaque partage de fichier externe effectué par votre organisation via SharePoint ou OneDrive laissera bientôt une trace permanente dans votre annuaire d’entreprise. Ce n’est pas un scénario hypothétique, mais la conséquence directe d’un changement de licence et d’identité que Microsoft a déjà commencé à déployer, et qui sera effectif en octobre 2026.
Pendant des années, envoyer un fichier à un fournisseur, un auditeur ou un conseil externe via SharePoint Online pouvait se faire en générant un lien à usage unique (OTP) : le destinataire saisissait un code reçu par e-mail ou SMS, ouvrait le fichier, sans jamais toucher à votre infrastructure d’identité. Cette option va disparaître. Microsoft met fin au partage externe basé sur OTP et redirige chaque partage externe via Entra B2B, ce qui signifie que chaque destinataire externe devient un objet invité dans votre annuaire d’entreprise Entra, suivi, parfois licencié, et, si vous souhaitez le gouverner, facturé.
Microsoft ne présente pas cela comme une régression en matière de sécurité, et ce n’en est pas une. L’accès conditionnel, l’authentification multifactorielle et la centralisation des journaux d’audit pour les invités représentent de réelles avancées en matière de gouvernance par rapport à un lien anonyme à usage unique. Mais, dans la réalité opérationnelle des équipes IT, sécurité et conformité, un processus qui ne laissait aucune trace dans l’annuaire en crée désormais une pour chaque destinataire, à chaque fois. Multipliez cela par le nombre de sous-traitants, auditeurs, patients, assurés ou partenaires de la supply chain avec lesquels votre organisation échange des fichiers chaque année, et l’ampleur du changement devient évidente.
Cet article détaille précisément ce qui change, pourquoi la plupart des organisations sous-estiment le nombre d’identités invitées déjà présentes, ce que coûte réellement le nouveau modèle de gouvernance, et comment une couche d’échange de données externe dédiée permet d’éviter totalement la prolifération des invités tout en répondant aux exigences d’audit et de conformité imposées aux organisations réglementées.
Résumé des points clés
1. Le partage externe basé sur OTP dans SharePoint et OneDrive va disparaître.
La phase 2 s’appliquera du 1er au 31 octobre 2026 pour la plupart des locataires en production (GCC, GCC High et DoD suivront plus tard). Après cette date, chaque partage externe créera un compte invité Entra B2B, sans possibilité de refus.
2. La gouvernance des invités est désormais facturée à l’unité, sans palier gratuit.
Appliquer des revues d’accès, des workflows de cycle de vie ou une gestion des droits à un invité coûte environ 0,75 $ par invité gouverné et par mois, et cette facturation s’applique même dans la tranche gratuite de collaboration de 50 000 utilisateurs actifs mensuels.
3. Les identités s’accumulent plus vite que la plupart des équipes ne l’imaginent.
Des années de partage de fichiers ponctuels laissent déjà de nombreux locataires avec deux à quatre fois plus de comptes invités que d’employés, et la plupart de ces « invités fantômes » n’ont jamais été ajoutés à une équipe, un groupe ou un cycle de revue.
4. Les licences nécessaires à la sécurisation de ces invités ont augmenté.
Entra ID P1 et P2, qui fournissent les fonctions d’accès conditionnel et de protection d’identité nécessaires à la gouvernance des identités externes, ont toutes deux augmenté au 1er juillet 2026.
5. Une couche d’échange de données externe gouvernée évite ce compromis.
Kiteworks permet aux tiers de collaborer avec leur propre e-mail professionnel, sans création d’invité dans l’annuaire, tout en générant la traçabilité et les preuves de conformité exigées pour les échanges de données réglementés.
Ce qui change réellement dans le partage externe SharePoint
Trois changements distincts de Microsoft arrivent presque simultanément, et chacun accentue l’impact des autres. Pris séparément, aucun ne semble dramatique. Ensemble, ils modifient le coût, en dollars et en temps administratif, d’un simple partage de fichier avec un tiers.
Commençons par la suppression de l’OTP, détaillée dans la notification Message Center MC1243549. L’authentification par code à usage unique pour le partage externe dans SharePoint Online est en cours de suppression. La phase 1 est déjà en place : les nouveaux partages externes passent désormais par Entra B2B au lieu de générer un lien OTP. La phase 2, reprogrammée pour octobre 2026 pour les locataires commerciaux standards, supprime toute possibilité de désactivation : le paramètre permettant aujourd’hui d’éviter l’intégration B2B ne fonctionnera tout simplement plus. Les environnements cloud gouvernementaux (GCC, GCC High et DoD) suivront plus tard. Après la phase 2, un destinataire externe sans compte invité correspondant verra son lien OTP cesser de fonctionner, sans notification à personne.
Vient ensuite la facturation de la gouvernance des invités, évoquée dans MC1225192. Depuis le 30 janvier 2026, appliquer une gouvernance premium à un compte invité – revue d’accès, workflow de cycle de vie, validation de droits ou simple marquage comme « gouverné » – nécessite un abonnement Azure lié et coûte environ 0,75 $ par invité gouverné et par mois. Il n’existe aucune gratuité, même pour les locataires en dessous du seuil de 50 000 utilisateurs actifs mensuels où la collaboration de base reste gratuite. Si vous effectuez des revues d’accès trimestrielles sur la population d’invités, cette facturation de 0,75 $ se répète chaque trimestre, par invité.
Enfin, les licences nécessaires à la sécurisation de ces invités ont augmenté au même moment. À compter du 1er juillet 2026, Entra ID P1 passe d’environ 6 $ à 7 $ par utilisateur et par mois, et P2 de 9 $ à 10 $, avec des hausses similaires sur les suites Microsoft 365 E3/E5 qui les incluent. Ce sont précisément ces licences qui fournissent les règles d’accès conditionnel, les signaux de protection d’identité et les capacités de revue d’accès nécessaires à la gouvernance de la population d’invités que la suppression de l’OTP va générer.
Rien de tout cela n’interdit d’inviter des utilisateurs externes, et il est important de le préciser. La collaboration de base avec des invités reste gratuite dans la limite de 50 000 utilisateurs actifs mensuels, et Microsoft n’a pas limité le nombre d’invités qu’un locataire peut inviter. Le changement est plus subtil, mais pour la plupart des organisations, il est plus impactant : la voie la plus simple pour partager en externe crée désormais une identité dans l’annuaire, et toute action dépassant le strict minimum sur cette identité a désormais un coût.
Quels sont les meilleurs cas d’usage de Partage sécurisé de fichiers dans les différents secteurs ?
Pour en savoir plus :
Le problème des invités fantômes : pourquoi la plupart des locataires ont déjà plus d’invités que d’employés
La suppression de l’OTP ne crée pas la prolifération des invités à partir de rien, elle met en lumière un problème déjà existant et oblige les organisations à y faire face dans un délai imposé. Les analystes du secteur qui suivent l’adoption d’Entra B2B constatent régulièrement que les locataires ayant des années d’historique de partage externe ponctuel comptent souvent deux à quatre fois plus de comptes invités que d’employés. Ces comptes s’accumulent comme dans tout système non géré : discrètement, partage après partage, sans qu’aucun responsable ne soit désigné pour faire le ménage.
Appelons-les « invités fantômes ». Ils n’ont jamais été ajoutés à une équipe, ni inclus dans une revue d’accès par groupe, et dans de nombreux cas, ils ont été créés pour un échange de fichier unique, il y a des années, puis oubliés. Les contrôles d’accès et les outils de gouvernance standards sont conçus pour les invités visibles dans un workflow administratif, affectés à un projet, une équipe ou un cycle de revue. Un invité fantôme, par définition, échappe à ce workflow tant que personne ne va le chercher.
La phase 1 de la suppression de l’OTP aggrave déjà le problème des invités fantômes en arrière-plan, car chaque nouveau partage externe depuis cette phase crée un objet invité, même si personne n’a voulu constituer une population d’invités gérée. Quand la phase 2 supprimera l’opt-out en octobre 2026, les locataires qui n’auront pas inventorié activement leur annuaire d’invités devront gouverner – ou pas – à un coût dans les deux cas, une population bien plus importante qu’ils ne le pensent.
Cela importe, car les programmes de gouvernance des données reposent généralement sur des actifs et des identités connus et catalogués. Un annuaire contenant discrètement des milliers de comptes invités non gouvernés, chacun pouvant accéder à un fichier ou un dossier partagé, représente une faille de gouvernance qui précède la suppression de l’OTP et devient tout simplement incontournable une fois le changement effectif.
Le coût caché de la gouvernance des invités fantômes
Faites le calcul pour une organisation de taille moyenne avec 5 000 comptes invités actifs : les chiffres ne sont plus anecdotiques. Gouverner cette population avec des revues d’accès trimestrielles – une fréquence défendable pour toute organisation soumise à des obligations de conformité sur l’accès externe – revient à quatre cycles de revue par an à 0,75 $ par invité et par cycle, soit 3 $ par invité et par an. Pour 5 000 invités, cela représente 15 000 $ de facturation annuelle rien que pour la gouvernance, sans compter l’abonnement Azure nécessaire pour l’activer, les licences Entra P1/P2 pour appliquer l’accès conditionnel à ces identités, ni le temps administratif consacré à ces revues.
Évitez la gouvernance payante pour réduire ce coût, et l’alternative n’est pas gratuite non plus : c’est du travail. L’expiration, les revues d’accès et la désactivation des comptes incombent alors aux administrateurs, qui doivent tout gérer à la main ou développer des scripts PowerShell pour contourner la facturation, ce qui est une vraie option pour les organisations sensibles aux coûts, mais remplace un coût de licence par un engagement technique continu à maintenir au fil des évolutions des API et du modèle de licence Microsoft.
Dans les deux cas – payer la facture ou bricoler une solution – le coût évolue avec le volume de collaboration externe. C’est là le problème structurel : un modèle de gouvernance facturé et administré à l’invité fait que le coût des relations avec les tiers augmente à chaque nouveau partenaire, client, sous-traitant ou fournisseur. Pour les organisations qui gèrent déjà des programmes de gestion des risques tiers sur de vastes écosystèmes de partenaires, il est essentiel de modéliser cette courbe de coûts avant la fenêtre d’octobre, pas après.
Pourquoi il s’agit aussi d’un problème de conformité, et pas seulement de licence
Pour les organisations réglementées, le changement de gouvernance des invités n’est pas qu’une ligne budgétaire, c’est aussi un risque d’audit. Les services financiers, la santé, les sciences de la vie, la supply chain de la défense et les sous-traitants publics partagent tous des données sensibles en externe de façon routinière, et la plupart répondent à un référentiel de conformité qui précise comment cet accès doit être authentifié, limité et tracé.
Le modèle de partage externe de SharePoint Online génère des journaux, mais ceux-ci s’intègrent dans un sous-système d’audit Microsoft 365 plus large, qui n’a pas été conçu pour servir de traçabilité dans un dossier d’évaluation CMMC, une enquête de violation HIPAA ou un plan de sécurité FedRAMP. Notons que SharePoint Online ne peut pas, à lui seul, obtenir une autorisation FedRAMP, et ce, quel que soit le mode de partage utilisé. Pour les organisations qui doivent fournir une preuve complète, conservée et standardisée de qui a accédé à quelles données externes et quand, un annuaire rempli discrètement d’invités fantômes non gouvernés est exactement le genre de constat qu’un auditeur signale.
C’est là que la suppression de l’OTP et la facturation de la gouvernance rejoignent les obligations du HIPAA, du RGPD, de l’ISO 27001 et de la CMMC 2.0. Chacun de ces référentiels exige un accès externe en mode moindre privilège, une conservation et une expiration des données définies, et une traçabilité exploitable par un auditeur, pas des journaux dispersés entre différents sous-systèmes de partage, de messagerie et de collaboration qui conservent les données différemment. Une population d’invités qui a grossi sans suivi est difficile à justifier lors d’un entretien d’audit.
Un autre modèle : collaboration externe gouvernée sans comptes invités
L’alternative au choix entre la prolifération des invités et la facturation à l’invité gouverné consiste à ne pas générer d’identité invitée pour les partages externes courants. C’est le principe de l’échange de données sécurisé Kiteworks : les destinataires externes s’authentifient et collaborent avec leur propre e-mail professionnel, géré dans l’annuaire de Kiteworks plutôt que dans celui du client, de sorte que le partage de fichiers n’engendre pas d’identité gouvernée à licencier, à revoir et à nettoyer par la suite.
Les destinataires ponctuels ou occasionnels continuent de s’authentifier comme aujourd’hui, par code reçu par SMS ou e-mail, ce qui permet de conserver les processus d’accès par code même après la disparition de l’option OTP de SharePoint. Chaque partage intègre expiration, moindre privilège par défaut et nettoyage du cycle de vie, gouvernés par un ensemble central de règles plutôt qu’une facturation à l’invité. Cette couche de règles combine l’ABAC à des contrôles RBAC plus classiques au niveau des dossiers, pour que les décisions d’accès tiennent compte de la sensibilité des données et des attributs du destinataire, et pas seulement des autorisations statiques sur les dossiers.
Chaque interaction externe – partage de fichiers, messagerie sécurisée, transfert sécurisé de fichiers, échange via API – est tracée dans un seul journal d’audit standardisé et immuable, au lieu de journaux séparés par sous-système, ce qui constitue précisément la preuve complète et conservée recherchée lors des audits CMMC, HIPAA, RGPD et ISO 27001. Les organisations qui souhaitent garder la maîtrise des données peuvent associer cette couche à des clés de chiffrement contrôlées par le client et un déploiement sur une appliance virtuelle durcie sur site, dans un cloud à locataire unique ou en environnement isolé, avec des fenêtres de maintenance et de mise à jour contrôlées par l’organisation, et non par un fournisseur imposant son calendrier.
Rien de tout cela n’exige d’abandonner Microsoft 365. Un plugin natif Microsoft Office 365 et une passerelle vers SharePoint et OneDrive permettent aux équipes de continuer à travailler en interne avec leurs outils habituels, tandis que les échanges externes passent par une couche conçue pour cela dès le départ. Pour les organisations qui partagent aussi des fichiers volumineux, des fichiers CAO, des images médicales ou des jeux de données de recherche, cette même couche supprime la contrainte de taille qui pousse sinon les utilisateurs vers des solutions non autorisées comme les outils grand public de partage de fichiers. Et lorsqu’un fichier doit rester consultable sans jamais changer de mains, l’édition sans possession permet à un tiers de travailler sur un document sans jamais en détenir une copie.
Les preuves qui comptent pour une évaluation orientée conformité méritent d’être énoncées clairement : l’autorisation FedRAMP High est en cours, s’appuyant sur l’autorisation FedRAMP Moderate maintenue en continu depuis 2017, en plus du chiffrement validé FIPS 140-3, de la certification SOC 2 Type II et de la prise en charge de 90 % des exigences CMMC Niveau 2 en standard. Les programmes sectoriels pour la finance, la santé et le secteur public reposent sur la même architecture zero trust, ce qui évite de devoir réinventer la gouvernance secteur par secteur.
Que faire avant l’échéance d’octobre 2026 ?
Les organisations qui s’appuient encore sur les liens SharePoint à usage unique ont une fenêtre d’action qui se réduit.
Commencez par un inventaire. La plupart des locataires n’ont jamais réalisé de recensement complet des invités fantômes créés par des années de partage ponctuel, et cet inventaire est le seul moyen d’évaluer l’exposition réelle, tant en coût de gouvernance (0,75 $ par invité) qu’en risque de conformité lié à des comptes jamais revus. Ensuite, identifiez les destinataires externes qui dépendent encore des liens OTP qui cesseront de fonctionner sans bruit à la phase 2, et migrez-les ou informez-les de façon proactive, plutôt que de découvrir le problème via un ticket de support d’un partenaire externe. La décision la plus délicate consiste à choisir, de façon réfléchie, quels partages externes doivent rester dans Microsoft 365 sous forme de relation Entra B2B (adapté à une collaboration récurrente avec des partenaires connus), et quels partages relèvent d’une couche de partage sécurisé de fichiers qui n’engendre pas de trace dans l’annuaire pour les échanges ponctuels ou à fort volume.
Cette troisième décision est la plus déterminante, car elle conditionne le fait que les coûts de gouvernance des invités continueront de croître avec l’activité ou pourront être maîtrisés dès maintenant. Les organisations dont le renouvellement Microsoft 365 intervient peu après le 1er juillet 2026 ont l’occasion idéale de trancher lors de la renégociation, en comparant le coût différé d’une couche externe gouvernée à celui, exponentiel, d’une population d’invités qui grossit sans contrôle.
Pour en savoir plus sur la façon de garder la collaboration externe gouvernée et prévisible avant la suppression de l’OTP en octobre 2026, réservez votre démo sans attendre !
Foire aux questions
Microsoft met fin à l’authentification par code à usage unique (OTP) pour le partage externe dans SharePoint Online et OneDrive. La phase 1 redirige déjà les nouveaux partages externes via Entra B2B ; la phase 2, qui supprime toute possibilité de refus, s’appliquera du 1er au 31 octobre 2026 pour la plupart des locataires commerciaux en production, les environnements GCC, GCC High et DoD suivant plus tard. Après la phase 2, chaque partage externe crée une identité invitée dans l’annuaire d’entreprise Entra, et les liens OTP existants pour les destinataires sans compte invité correspondant cessent de fonctionner. Considérez cette date comme une échéance fixe, au même titre que toute autre date de conformité réglementaire, et non comme une simple note de bas de page dans un bulletin Microsoft.
Non. La collaboration de base avec des invités reste gratuite dans la limite de 50 000 utilisateurs actifs mensuels, et il n’y a pas de plafond au nombre d’utilisateurs externes qu’un locataire peut inviter. Ce qui change, c’est que le partage externe standard crée désormais une identité invitée dans l’annuaire là où l’OTP n’en créait pas, et qu’appliquer une gouvernance premium, des revues d’accès, des workflows de cycle de vie ou une gestion des droits à ces invités entraîne une facturation à l’unité, sans palier gratuit. Ce changement concerne la gouvernance et l’architecture des identités, pas la restriction d’accès. Les organisations qui évaluent les exigences de traçabilité doivent d’abord l’aborder comme une question de gestion d’annuaire.
La facturation de la gouvernance s’élève à environ 0,75 $ par invité gouverné et par mois, dès lors qu’un locataire utilise des fonctions premium de gouvernance, revues d’accès, workflows de cycle de vie ou gestion des droits sur un compte invité, et nécessite un abonnement Azure lié, sans palier gratuit. Un locataire effectuant des revues d’accès trimestrielles paie ce montant quatre fois par an et par invité. Ajoutez à cela les hausses du 1er juillet 2026 sur Entra ID P1 (environ 6 $ à 7 $ par utilisateur et par mois) et P2 (environ 9 $ à 10 $), qui fournissent les fonctions d’accès conditionnel et de protection d’identité pour sécuriser ces invités, et le coût total de la gouvernance d’une large population externe grimpe rapidement. Les organisations peuvent comparer ce modèle à un déploiement de transfert sécurisé de fichiers Kiteworks (MFT) ou de partage sécurisé de fichiers pour évaluer la prévisibilité de la licence face à la facturation à l’invité.
Ne pas souscrire à la gouvernance payante ne supprime pas la population d’invités, cela déplace simplement la charge de travail. L’expiration, les revues d’accès périodiques et la désactivation des comptes incombent alors aux administrateurs, qui gèrent les comptes manuellement ou entretiennent des scripts PowerShell pour reproduire les actions de gouvernance hors du modèle payant Microsoft. Cette approche permet de maîtriser les coûts directs de licence, mais elle remplace la facturation par un travail administratif continu et laisse subsister la faille de gouvernance des données : un annuaire qui accumule des invités fantômes issus de partages ponctuels, sans politique unifiée ni journal d’audit retraçant l’utilisation de ces comptes.
Kiteworks gère les destinataires externes dans son propre annuaire, et non dans celui du client, si bien qu’un partenaire, client ou sous-traitant s’authentifie avec son e-mail professionnel, ou un code SMS/e-mail pour un accès ponctuel, sans devenir une identité licenciée et gouvernée dans le locataire du client. Chaque partage intègre tout de même expiration, moindre privilège par défaut et nettoyage du cycle de vie, appliqués via une politique centrale et consignés dans un journal d’audit immuable, ce dont les organisations réglementées ont besoin pour la conformité CMMC 2.0 et autres référentiels similaires. Un plugin natif Microsoft Office 365 et une passerelle de dépôt maintiennent les workflows internes Microsoft 365 inchangés, tandis que les échanges externes basculent sur cette couche gouvernée.
Ressources complémentaires
- Article de blog
5 meilleures solutions de partage sécurisé de fichiers pour les entreprises - Article de blog
Comment partager des fichiers en toute sécurité - Vidéo
Kiteworks Snackable Bytes : Partage sécurisé de fichiers - Article de blog
12 exigences fondamentales pour un logiciel de partage sécurisé de fichiers - Article de blog
Les options de partage sécurisé de fichiers les plus sûres pour l’entreprise et la conformité