Microsoft Teams DLP : guide de configuration pour les conversations et les canaux

La prévention de la perte de données (DLP) dans Microsoft Teams analyse les messages de conversation et de canal à la recherche de contenu sensible, puis bloque ou restreint ce qui correspond à vos règles. La plupart des équipes ont la bonne licence et la bonne logique de règles, mais constatent quand même que la stratégie ne se déclenche pas — généralement à cause de son périmètre, pas de ce qu’elle recherche.

Solution rapide : une stratégie DLP Teams ciblée sur des comptes utilisateurs individuels protège les conversations en tête-à-tête et de groupe — mais pas les messages de canal standards, privés ou partagés. Ciblez plutôt la stratégie sur un groupe de sécurité, un groupe de distribution ou un groupe Microsoft 365, et vérifiez votre licence : la protection des conversations et des canaux nécessite un plan de niveau E5 (Office 365 ou Microsoft 365 E5/A5/G5, ou les modules complémentaires équivalents Information Protection and Governance / Compliance). Microsoft 365 E3 ne couvre que les fichiers partagés via Teams, par le biais de SharePoint et OneDrive.

Les contrôles au niveau des messages comptent davantage à mesure que les outils d’IA se répandent dans les entreprises : selon l’Index 2026 de la sécurité des données de Microsoft, 32 % des incidents de sécurité des données des organisations interrogées impliquaient l’utilisation d’outils d’IA générative. Ce chiffre n’est pas spécifique à la DLP Teams, mais il explique pourquoi le contenu des conversations et des canaux mérite la même vigilance que les fichiers.

Que protège réellement la DLP Teams, et que ne protège-t-elle pas ?

Selon la documentation Microsoft sur la DLP et Microsoft Teams, « les protections DLP s’appliquent aux messages eux-mêmes, dans la conversation ou le fil de canal ». Ce que cette protection couvre réellement dépend entièrement du périmètre de la stratégie :

Périmètre de la stratégie	Entités Teams	Protection DLP
Comptes utilisateurs individuels	Conversations en tête-à-tête et de groupe	Oui
Comptes utilisateurs individuels	Messages des canaux standards, privés et partagés	Non
Groupes de sécurité, groupes de distribution ou groupes de sécurité non activés pour la messagerie	Conversations en tête-à-tête et de groupe	Oui
Groupes de sécurité, groupes de distribution ou groupes de sécurité non activés pour la messagerie	Messages des canaux standards, privés et partagés	Oui
Groupes Microsoft 365	Conversations en tête-à-tête et de groupe	Oui
Groupes Microsoft 365	Messages des canaux standards, privés et partagés	Oui

Le principe est simple : ciblez un groupe, quel qu’il soit, et vous obtenez une couverture complète des conversations et des canaux, y compris les messages des canaux privés. Ciblez des utilisateurs individuels, et les messages de canal échappent silencieusement à la stratégie, sans aucun avertissement indiquant que la couverture est partielle. Si vous avez hérité d’une stratégie qui répertorie des personnes précises plutôt qu’un groupe, c’est la première chose à vérifier.

Les fichiers partagés dans Teams relèvent d’une autre logique : comme Teams stocke ses fichiers dans SharePoint et OneDrive, la protection des fichiers vient de l’inclusion de ces emplacements dans votre stratégie, et non de l’emplacement Teams lui-même.

Licences : que couvre E3, et qu’est-ce qui nécessite E5 ?

Office 365 et Microsoft 365 E3 incluent la protection DLP pour SharePoint, OneDrive et Exchange, ce qui couvre également les fichiers partagés via Teams, puisque Teams s’appuie sur SharePoint et OneDrive pour le stockage des fichiers. Ce que E3 n’inclut pas, c’est la protection des messages de conversation et de canal eux-mêmes.

Selon les recommandations de Microsoft sur les licences DLP pour Teams : « la prise en charge de la protection DLP dans les conversations Teams nécessite une licence E5 ». Une couverture complète des conversations et des canaux Teams, y compris les messages des canaux privés, est disponible avec :

• Office 365 E5 / A5 / G5
• Microsoft 365 E5 / A5 / G5
• Microsoft 365 E5 / A5 / G5 Information Protection and Governance
• Microsoft 365 E5 / A5 / G5 / F5 Compliance and F5 Security & Compliance

Même avec le bon SKU, le plan de service Microsoft Communications DLP doit être activé sous la licence, dans le centre d’administration Microsoft 365, selon la description du service Purview. Il s’agit d’une étape d’activation, pas seulement d’un droit d’accès. Si votre organisation utilise un mélange de niveaux de licence, notre comparatif Microsoft 365 et Office 365 est un bon point de départ pour vérifier quel plan un utilisateur donné possède réellement, avant de lui promettre une protection au niveau des conversations.

Avant de commencer : les autorisations dans le portail Purview

La DLP pour Teams se configure dans le portail Microsoft Purview, à l’adresse purview.microsoft.com, qui a succédé à ce que l’on appelait le portail de conformité Microsoft Purview. L’accès est géré via le modèle unifié de contrôle d’accès basé sur les rôles de Purview, sous Paramètres > Rôles et périmètres (Settings > Roles and scopes). Les rôles pertinents pour la DLP sont :

• Administrateur de conformité
• Administrateur des données de conformité
• Administrateur de la sécurité
• Administrateur général

Un piège à connaître avant de traiter un ticket du type « pourquoi je ne vois pas cette stratégie » : si un utilisateur détient à la fois un rôle Microsoft Entra et une attribution de groupe de rôles Purview limitée par périmètre, le rôle Entra l’emporte, l’accès devient non limité par périmètre, et tout périmètre d’unité administrative que vous avez configuré est contourné.

La plupart des tenants disposent également d’une stratégie DLP Teams par défaut, créée automatiquement pour les nouveaux clients Purview afin de repérer les numéros de carte bancaire dans toute l’organisation. Elle génère une alerte et un e-mail d’administration de faible gravité, mais aucun conseil de stratégie pour l’utilisateur final. La modifier ou la supprimer nécessite spécifiquement le rôle Gestion de la conformité DLP (DLP Compliance Management), distinct des rôles généraux ci-dessus, ce qui explique souvent pourquoi un administrateur par ailleurs privilégié ne peut pas y toucher.

Comment configurer une stratégie DLP Teams ?

Les stratégies se trouvent sous Protection contre la perte de données > Stratégies (Data loss prevention > Policies) dans le portail Purview, où une stratégie existante s’ouvre en modification via l’icône en forme de crayon (Modifier la stratégie / Edit policy). Pour en créer une pour Teams :

1. Ciblez un groupe, pas des utilisateurs individuels. Comme vu plus haut, c’est ce qui détermine si les messages de canal sont protégés ou non : utilisez un groupe de sécurité, un groupe de distribution ou un groupe Microsoft 365.
2. Ajoutez l’emplacement Teams, et incluez SharePoint et OneDrive à ses côtés si vous souhaitez également protéger le partage de fichiers.
3. Définissez les conditions et l’action (voir la section suivante : Teams ne prend en charge qu’un seul type d’action, et les conditions basées sur des étiquettes n’y sont pas disponibles).
4. Exécutez-la en simulation avant de l’appliquer, comme expliqué plus bas.

Pour l’assistant complet de création de stratégie, le tutoriel de Microsoft pour créer et déployer une stratégie DLP détaille le parcours clic par clic. Une fois une stratégie créée ou modifiée, comptez environ une heure pour que la modification se propage à travers le centre de données et se synchronise avec les comptes utilisateurs ; planifiez vos déploiements en tenant compte de ce délai plutôt que d’attendre un effet instantané.

Quelles conditions et actions sont disponibles pour l’emplacement Teams ?

Selon la référence des stratégies DLP de Microsoft, l’emplacement Teams prend en charge un ensemble de briques plus restreint que SharePoint ou Exchange. Les conditions prises en charge incluent :

• Le contenu contient (types d’informations sensibles ou classifieurs pouvant être entraînés)
• Niveau de risque interne pour Adaptive Protection
• Le contenu est partagé depuis Microsoft 365
• Le domaine du destinataire est / Le domaine de l’expéditeur est
• Le destinataire est / L’expéditeur est

Les étiquettes de confidentialité et les étiquettes de rétention ne sont pas des conditions prises en charge pour l’emplacement Teams — si votre stratégie dépend de l’application d’une étiquette, cela ne fonctionnera pas ici, quelle que soit la qualité de la configuration de cette étiquette ailleurs dans votre tenant.

Côté actions, Teams ne prend en charge qu’un seul type d’action : Restreindre l’accès ou chiffrer le contenu dans les emplacements Microsoft 365 (Restrict access or encrypt the content in Microsoft 365 locations), avec une option pour ne bloquer que les personnes extérieures à votre organisation. Les notifications aux utilisateurs et les conseils de stratégie se configurent séparément, dans les paramètres de notification de la règle, plutôt que comme une action alternative.

Lorsque le contenu correspond à plusieurs règles, Microsoft applique la règle créée en premier disposant de l’action la plus restrictive — mais chaque correspondance est tout de même enregistrée, y compris celles qui ne déclenchent pas l’action appliquée. Si deux stratégies semblent se contredire, vérifiez l’ordre de création et la sévérité des actions avant de conclure à un dysfonctionnement.

Adaptive Protection (protection adaptative) ajoute une condition — « Le niveau de risque interne pour Adaptive Protection est » (Élevé, Modéré ou Faible) — pilotée par le score de la gestion des risques internes (Insider Risk Management), et prise en charge pour Exchange, Teams et les appareils (Devices). Considérez-la comme une condition supplémentaire à intégrer dans une règle, plutôt que comme un système DLP distinct.

Comment tester une stratégie avant son déploiement ?

Le mode simulation a remplacé les anciens modes Test et Test avec conseils (Test-with-tips). Une exécution en simulation :

• Dure jusqu’à 15 jours
• Conserve les résultats pendant 30 jours
• Génère ses rapports dans son propre tableau de bord Simulation (onglets Vue d’ensemble, Éléments à examiner et Alertes — Overview, Items for review, Alerts), distinct de vos alertes DLP de production, afin que les correspondances simulées ne polluent pas les rapports réels
• Propose une case à cocher facultative « Afficher les conseils de stratégie en mode simulation » (Show policy tips while in simulation mode), si vous souhaitez que les utilisateurs voient ce qui se serait passé

Laissez à la stratégie toute la fenêtre de simulation plutôt que de faire une vérification rapide : un ou deux jours de volume de conversation représentent rarement le comportement d’un canal sur un cycle de travail normal.

Que se passe-t-il avec les invités, les utilisateurs externes et les canaux partagés ?

Les canaux partagés reposent sur la connexion directe B2B de Microsoft Entra, et chaque participant reste connecté à son propre tenant d’origine. Comme l’évaluation DLP est pilotée par l’identité de l’expéditeur, les messages de chaque personne sont évalués selon les stratégies DLP de son propre tenant — et non celles du tenant propriétaire du canal partagé. L’exemple de Microsoft est explicite : une organisation « ne peut pas imposer ses stratégies DLP aux messages des utilisateurs [d’une autre organisation], et inversement ».

Les conversations en accès externe fonctionnent un peu différemment : l’application des règles se base sur le tenant hébergeur, c’est-à-dire celui qui a initié la conversation ou le fil. Les stratégies DLP du tenant d’origine d’un utilisateur ne le suivent pas automatiquement dans une conversation hébergée par le tenant d’un tiers.

Si votre stratégie est configurée pour empêcher le partage d’informations sensibles avec des invités, les messages correspondants envoyés à des utilisateurs externes sont supprimés, mais uniquement lorsque c’est votre tenant qui a initié la conversation ou le fil. Et comme indiqué plus haut, les documents partagés dans Teams ne sont protégés que si votre stratégie inclut les emplacements SharePoint et OneDrive aux côtés de Teams.

Comment la DLP interagit-elle avec Copilot et le Teams Channel Agent ?

Empêcher Microsoft 365 Copilot de traiter des fichiers et des e-mails sensibles — traité comme une DLP pour un emplacement Copilot distinct — nécessite un plan M365 ou O365 E5/A5, la Purview Suite, ou Information Protection & Governance ; ce n’est pas disponible sur les niveaux Business ou E3/F. Séparément, la DLP « Safeguard prompts » (invites de protection) est disponible pour tous les utilisateurs de Copilot et Copilot Chat, quel que soit leur plan.

Les conversations avec le Teams Channel Agent sont analysées par la DLP de la même manière que le reste du contenu Teams. Une limitation explicite : la gestion des risques internes (Insider Risk Management) n’est pas prise en charge pour les interactions IA du Channel Agent, si bien que la condition Adaptive Protection décrite plus haut ne s’y applique pas.

Comment surveiller l’activité DLP, recevoir des alertes et produire des rapports ?

La DLP pour Teams n’envoie pas les e-mails de notification aux utilisateurs que l’on retrouve avec la DLP Exchange, SharePoint ou OneDrive. Les utilisateurs reçoivent à la place des indicateurs sur le message : lorsqu’un message correspond à une stratégie, son aperçu est masqué et remplacé par « Aperçu non disponible » (Preview Unavailable), et l’expéditeur voit une entrée d’activité indiquant « Votre message a été bloqué » (Your message has been blocked). Les expéditeurs peuvent être autorisés à outrepasser une stratégie si vous le configurez ainsi, et les conseils de stratégie sont eux-mêmes personnalisables.

Pour les rapports (selon la présentation de Microsoft sur la DLP) :

• Le tableau de bord des alertes DLP dans Purview conserve 30 jours d’alertes.
• Le portail Microsoft Defender conserve 6 mois d’historique pour les analyses de plus long terme.
• Pour les rapports scriptés ou en masse, Security & Compliance PowerShell expose les cmdlets Get-DlpDetailReport, Get-DlpDetectionsReport, Get-DlpSiDetectionsReport et Get-MailDetailDlpPolicyReport.

Résoudre les problèmes les plus courants

La plupart des signalements « la DLP ne fonctionne pas » se ramènent à un petit nombre de causes :

• Le périmètre, pas les règles. Comme vu plus haut, cibler des utilisateurs individuels est la cause la plus fréquente pour laquelle les messages de canal échappent à la stratégie. Vérifiez les groupes inclus dans la stratégie avant de toucher à la logique des règles.
• Des emplacements manquants pour les fichiers. Les fichiers Teams sont protégés via les emplacements SharePoint et OneDrive, pas via l’emplacement Teams ; si une stratégie ne couvre que Teams, les fichiers partagés ne seront pas couverts.
• Une condition qui n’existe pas ici. Les étiquettes de confidentialité ou de rétention en tant que condition ne s’appliquent tout simplement pas à l’emplacement Teams ; reconstruisez plutôt la règle autour de la correspondance de contenu ou des conditions de domaine/destinataire.
• Les autorisations, pas la stratégie. Si un administrateur peut modifier certaines stratégies mais pas la stratégie par défaut, vérifiez le rôle Gestion de la conformité DLP (DLP Compliance Management) ; si le périmètre semble incorrect pour quelqu’un disposant d’un rôle Purview, vérifiez si un rôle Entra n’a pas priorité sur ce rôle.
• Des limites de périmètre que la DLP ne peut pas corriger. La DLP est un contrôle de détection de contenu. Elle ne corrige pas le sur-partage causé par les autorisations, et ne s’étend pas aux outils de conversation non-Microsoft. Si le vrai problème est de savoir qui a accès à une équipe ou à un canal, c’est un correctif de gouvernance et d’autorisations qu’il faut, pas une règle DLP.

La place de nBold

La couverture DLP des canaux dépend entièrement du ciblage des stratégies sur un groupe, ce qui ne fonctionne proprement que si les nouvelles équipes reçoivent une appartenance à un groupe et un nommage cohérents dès leur création. C’est là que l’outillage de gouvernance, et non la DLP elle-même, entre en jeu. nBold crée les équipes à partir de modèles Microsoft Teams standardisés, afin que le nommage et l’appartenance aux groupes suivent le même schéma à chaque création d’équipe, plutôt que de dépendre du bon vouloir de la personne ayant configuré cette équipe pour l’ajouter au bon groupe. nBold ne crée ni ne gère de stratégies DLP (cela reste entièrement dans Purview), mais une création cohérente des équipes est ce qui permet à une stratégie d’atteindre réellement les équipes qu’elle est censée couvrir. Notre propre approche du traitement des données est présentée sur la page sécurité.

Synthèse

1. Le périmètre compte plus que les règles. Une stratégie liée à des comptes utilisateurs individuels protège les conversations mais pas les messages de canal ; utilisez un groupe de sécurité, un groupe de distribution ou un groupe Microsoft 365.
2. Les licences sont hiérarchisées. E3 couvre les fichiers via SharePoint et OneDrive ; la protection des messages de conversation et de canal nécessite un plan de niveau E5, avec le plan de service Communications DLP activé.
3. Les autorisations comportent un piège de préséance. Une attribution de rôle Entra l’emporte sur un groupe de rôles Purview limité par périmètre, et la stratégie par défaut nécessite spécifiquement le rôle Gestion de la conformité DLP (DLP Compliance Management).
4. Teams ne prend en charge qu’un seul type d’action (restreindre l’accès ou chiffrer) et aucune condition basée sur des étiquettes.
5. Simulez avant d’appliquer, en utilisant l’intégralité de la fenêtre de 15 jours, et consultez le tableau de bord de simulation distinct.
6. Les invités et les canaux partagés sont évalués selon le tenant d’origine de l’expéditeur, et non celui du propriétaire du canal ; anticipez vos attentes inter-tenants en conséquence.
7. Une création d’équipes cohérente est ce qui permet aux stratégies ciblées sur des groupes d’atteindre réellement chaque équipe, ce qui est précisément là où les modèles standardisés aident.