Personne ne commande à Microsoft, pas même l'État

Jeudi 12 novembre, en début de soirée, toutes mes activités se sont arrêtées en même temps. La messagerie, les réunions, les documents partagés passent chez moi par Microsoft 365, comme chez une bonne partie de mes clients, et tout est tombé d'un coup. Une messagerie ne se redirige pas vers un autre fournisseur en dix minutes. On consulte la page d'état de Microsoft, on rafraîchit, on serre les dents et on attend.

Peu après 19 heures, Downdetector comptait déjà près de 130 000 signalements pour Outlook. Le lendemain matin, au Japon, des salariés ressortaient le fax. En France, plusieurs mairies sont devenues injoignables et des agences régionales de santé, en Bretagne, en Occitanie et dans les Hauts-de-France, ont perdu leur messagerie.

Ce que Microsoft a dit, et tout ce qu'il a tu

La chronologie officielle se lit dans les messages que Microsoft a publiés au fil de la nuit. Le premier évoque des utilisateurs qui n'accèdent plus à leurs boîtes Exchange Online. Le jeudi soir, l'entreprise indique n'avoir connaissance d'aucune activité malveillante. Plus de douze heures après le début de l'incident, elle fait état d'un succès marginal de ses premières mesures. Dans la nuit de jeudi à vendredi, elle reconnaît que les changements appliqués ne fonctionnent pas comme prévu, et que des serveurs remis en service redeviennent indisponibles.

L'explication arrive par morceaux. Un grand nombre de serveurs sont devenus indisponibles de façon inattendue, et leur charge s'est reportée sur ceux qui tenaient encore, sans hausse générale du trafic. Vendredi, Microsoft situe l'origine dans un problème survenu lors d'une mise à niveau antérieure de sa capacité réseau, que la mise en place d'un changement récent a fait apparaître. Il promet un rapport complet après analyse. Vendredi en fin de journée, il présente ses excuses et parle d'« un problème technique sans rapport avec la cybersécurité ou d'agents IA ».

Ce que Microsoft n'a pas dit pèse davantage. L'entreprise a décrit le mécanisme de surcharge sans expliquer pourquoi les premiers serveurs se sont arrêtés. Elle n'a pas dit pourquoi ses correctifs ont échoué, ni combien de clients ont été touchés : le chiffre de 74 pays vient de Downdetector, un site de signalements, et pas d'elle. Elle n'a pas dit comment une mise à niveau antérieure a pu dormir dans son réseau jusqu'au changement suivant, ni si ce changement avait suivi son propre processus de validation. Après la panne du 22 janvier, qui avait coupé Microsoft 365 pendant près de dix heures, aucune analyse détaillée de la cause n'avait encore été publiée trois semaines plus tard.

Le vocabulaire mérite aussi qu'on s'y arrête. N'avoir connaissance d'aucune activité malveillante, le jeudi soir, décrit l'état des connaissances de Microsoft à cet instant, et rien de plus. Le démenti du vendredi sur les agents IA répond à une hypothèse que personne, dans les messages officiels, n'avait formulée. Une entreprise ne dément que ce qui circule. Pendant près d'une journée, aucun client ne pouvait distinguer, depuis l'extérieur, une panne d'une attaque.

Vendredi matin, trois scénarios sur la table

Vendredi matin, je n'ai pas attendu. J'ai fait le point avec mes clients autour d'une seule question : que fait-on si la panne se prolonge ? Sur la communication interne, la visioconférence et la messagerie, nous étions couverts, parce que des procédures internes prévues pour remplacer ces services existaient déjà. La question portait sur la durée et la nature de l'incident, et nous avons posé trois scénarios.

Dans le premier, Microsoft avait perdu le contrôle de son infrastructure, sans intervention extérieure. La panne pouvait alors durer jusqu'à quarante-huit heures, en restant circonscrite à Microsoft. Les déclarations de l'entreprise allaient dans ce sens, et elles valent ce qu'elles valent : une communication de crise n'engage que celui qui la prononce. Microsoft a d'ailleurs prolongé à quarante-huit heures le délai pendant lequel ses serveurs continuent de tenter l'envoi des courriels en attente, ce qui donne une idée de l'horizon qu'il envisageait lui-même.

Le deuxième scénario était celui d'une attaque coordonnée, menée par des agents d'intelligence artificielle, qui aurait expliqué l'impossibilité de reprendre la main. Le ton des messages officiels l'alimentait : des correctifs qui échouent, des serveurs restaurés qui retombent, des améliorations dites marginales. Microsoft a fini par écarter cette piste, mais vendredi matin, rien ne permettait de le faire.

Le troisième scénario était le plus inquiétant. Une faille zero-day, c'est-à-dire inconnue jusque-là et sans correctif disponible, logée dans le matériel ou dans un logiciel commun à toute l'industrie. Si tel avait été le cas, il est fort probable que Google et Amazon, les deux concurrents directs de Microsoft, auraient à leur tour dû mettre leurs services hors ligne. L'économie serait alors entrée dans un black-out cyber d'une semaine, peut-être davantage.

C'est le premier scénario qui s'est réalisé, en moins de quarante-huit heures. Rien n'indique que les deux autres aient été à l'œuvre cette semaine, et c'est précisément parce qu'ils étaient impossibles à écarter pendant les premières heures qu'il fallait les poser.

Une panne peut-elle emporter tous les clouds en même temps ?

Le troisième scénario a un précédent. En janvier 2018, la révélation de Meltdown et Spectre, deux familles de failles inscrites dans la conception même des processeurs, a obligé Amazon, Microsoft et Google à corriger leurs infrastructures dans l'urgence, Microsoft avançant même le redémarrage de ses machines virtuelles Azure. Les trois fournisseurs partageaient la même faiblesse parce qu'ils achetaient les mêmes puces. Ce jour-là, les correctifs existaient. Le jour où ils n'existeront pas, les trois devront choisir entre rester en ligne en étant vulnérables et couper.

La série de l'année montre ce qu'une seule défaillance suffit déjà à produire. Le 22 janvier, Microsoft 365 est resté indisponible près de dix heures. Le 23 juillet, un bogue dans un outil automatisé de maintenance réseau l'a coupé près de cinq heures. Le 20 octobre, une coupure électrique dans un centre de données londonien de Google Cloud a gelé les paiements par carte de Revolut dans plusieurs pays européens. Puis il y a eu jeudi.

J'écrivais au début du mois, en racontant ce que je fais pour tenir dix jours sans réseau, que chaque maillon avait déjà cédé quelque part sans céder en même temps que les autres. Ces pannes arrivent une par une, et chacune est réparée avant la suivante. Le black-out commence le jour où deux d'entre elles se superposent, et le troisième scénario de vendredi décrivait exactement cette superposition.

Une messagerie ne se redirige pas

Après chaque panne de ce type, on entend la même recommandation : il fallait un plan B. Pour une messagerie d'entreprise, le plan B ne consiste presque jamais à basculer vers un autre fournisseur. Les adresses, les annuaires, les boîtes, les règles de sécurité, les connexions avec les autres outils sont chez Microsoft, et rien de tout cela ne se déplace en une matinée. Quand le serveur de messagerie tombe, on ne redirige pas le trafic, on attend.

Le plan B qui fonctionne est un mode dégradé : continuer l'activité sans l'outil, moins vite et moins bien, mais sans s'arrêter. Mes clients ont tenu vendredi parce qu'ils savaient déjà comment les équipes se parleraient, comment les réunions auraient lieu et comment les messages urgents circuleraient si Microsoft disparaissait. Le ministère de la Santé a pu affirmer qu'aucun impact n'était constaté sur les établissements de santé ni sur les urgences grâce à des « circuits alternatifs de communication et de signalement ». Les salariés japonais qui ont ressorti le fax faisaient la même chose avec les moyens du bord.

Les mairies devenues injoignables, elles, n'avaient pas de mode dégradé, ou ne l'avaient jamais essayé. La dépendance à Microsoft était connue de tout le monde. La différence s'est faite entre ceux qui savaient à l'avance comment travailler sans lui et ceux qui l'ont découvert jeudi soir.

Qui peut demander des comptes à Microsoft ?

Le client dispose d'un levier, et il est contractuel. Le contrat de niveau de service de Microsoft 365 promet 99,9 % de disponibilité mensuelle pour Exchange Online, Teams, SharePoint ou OneDrive. Sous ce seuil, Microsoft accorde un avoir de 25 % sur la part de la facture correspondant au service touché. L'avoir passe à 50 % sous 99 % et à 100 % sous 95 %. Une messagerie coupée vingt heures dans un mois de trente jours ramène la disponibilité autour de 97 %, ce qui ouvre droit, pour une organisation dont tous les utilisateurs ont été coupés, à un avoir de moitié sur la part Exchange du mois. Encore faut-il que l'administrateur le réclame, car rien n'est automatique. Une journée de travail perdue vaut donc une remise sur la facture suivante, à condition d'en faire la demande.

L'État ne pèse pas davantage. Le 10 juin 2025, devant une commission d'enquête du Sénat, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, devait dire sous serment s'il pouvait garantir que les données des citoyens français ne seraient jamais transmises aux autorités américaines sans l'accord de la France. Sa réponse : « Non, je ne peux pas le garantir ». Le même jour, Agnès Buzyn, ancienne ministre de la Santé, expliquait que l'hébergement du Health Data Hub, la plateforme nationale des données de santé, ne pouvait aller qu'à Microsoft : « on ne m'a donné aucun choix ». La question portait alors sur la confidentialité des données et le droit américain, et pas sur leur disponibilité. Elle montre que même l'État, quand il discute avec Microsoft, négocie avec une entreprise qui obéit d'abord à d'autres règles que les siennes.

Le patron de PME n'a aucun moyen de faire changer quoi que ce soit à Microsoft, et le gouvernement français guère plus. À chaque panne revient alors la même réponse : il faudrait le quitter.

Le cloud souverain aurait-il tenu ?

La souveraineté numérique est un vrai sujet, et l'audition de juin 2025 en a donné la mesure. En juillet 2026, la commission d'enquête de l'Assemblée nationale sur les dépendances numériques a consacré un rapport entier à la dépendance de l'État envers quelques fournisseurs américains. Un hébergeur européen, soumis au seul droit européen, répond à ce risque juridique. Il ne répond pas pour autant au risque de panne, et la confusion entre les deux transforme un débat légitime en faux débat.

Les fournisseurs français tombent aussi. Dans la nuit du 9 au 10 mars 2021, l'incendie du centre de données SBG2 d'OVHcloud à Strasbourg a détruit des serveurs et des données de clients. L'un d'eux, Bati Courtage, avait souscrit une option de sauvegarde censée être stockée à part. Les trois copies se trouvaient dans le même bâtiment que le serveur principal, et elles ont brûlé avec lui. Le tribunal de commerce de Lille Métropole a condamné OVHcloud en 2023 à lui verser plus de 100 000 euros, pour une perte que l'argent ne rendait pas réversible. Le 16 juillet dernier, une coupure d'alimentation sur une dépendance interne d'un centre de données parisien de Scaleway, que je tiens pour un très bon service, a privé une partie de ses serveurs virtuels de fonctionnement pendant environ deux heures. Clever Cloud est un autre excellent prestataire français, et aucun d'eux ne prétend à l'infaillibilité.

La localisation des données ne protège pas davantage. Début mars 2026, des drones ont frappé des centres de données d'Amazon Web Services à Bahreïn et aux Émirats arabes unis, en représailles aux frappes américaines et israéliennes sur l'Iran. Le 15 septembre, AWS a reconnu ne pas pouvoir restaurer les ressources et les données hébergées uniquement dans sa région de Bahreïn. Des clients ont perdu leurs données parce qu'elles se trouvaient au mauvais endroit au mauvais moment, et aucun choix de fournisseur ne les aurait protégés d'une copie unique.

Le risque se double quand la souveraineté arrive sans les compétences. Microsoft, un mastodonte qui pose problème à tort ou à raison, a mis près de deux jours à remettre entièrement ses services d'aplomb. Un écosystème souverain incapable d'opérer un service équivalent avec la même profondeur d'ingénierie connaîtrait des incidents plus fréquents, et tout aussi graves. Être souverain suppose d'abord de s'en donner les moyens.

Ces moyens se construisent sur une décennie. Le choix d'un tel cap relève du changement de paradigme pour un pays, et il ne se décide pas comme la réfection d'une route ou le lancement d'un chantier autoroutier. L'ANSSI compte 670 agents, quand son homologue allemand en aligne entre 1 800 et 2 000. Henri Verdier, ancien directeur interministériel du numérique, rappelait en mars devant les députés que la DINUM, censée piloter la transformation numérique de l'État, dispose de 50 millions d'euros et d'aucune autorité sur les directions informatiques des ministères. Ce virage aurait dû être pris il y a dix ans, et il ne doit pas attendre la présidentielle. J'ai déjà dit pourquoi la cybersécurité ne doit pas devenir un enjeu de campagne : une promesse électorale, quel qu'en soit le montant, ne forme pas d'ingénieurs et ne remet pas un centre de données en route en quarante-huit heures.

La loi votée mardi ne lui demandera rien

Mardi 17 novembre, l'Assemblée nationale procède au vote solennel de la loi Résilience, qui transpose NIS2 avec deux ans de retard. La ministre déléguée au Numérique parle désormais de plus de 18 000 entités concernées, réparties dans dix-huit secteurs. J'ai écrit la semaine dernière ce que l'État exigera des dirigeants sans se l'appliquer. La panne de jeudi ajoute un angle mort plus large encore.

NIS2 confie la supervision des fournisseurs de cloud au pays où ils ont leur établissement principal dans l'Union. L'entité européenne de Microsoft que les superviseurs financiers ont retenue, Microsoft Ireland Operations Limited, est irlandaise. Au 28 octobre 2026, l'Irlande n'avait même pas déposé au Parlement son projet de loi de transposition, et la Commission européenne l'a renvoyée devant la Cour de justice le 8 juillet, le même jour que la France. En attendant, l'Irlande applique toujours la réglementation issue de la première directive NIS, plus légère. La loi votée mardi ne donnera à l'ANSSI aucune prise sur l'entreprise dont dépendent nombre des 18 000 entités qu'elle va superviser.

Elle fera en revanche peser la charge sur le client. L'article 21 de la directive impose aux entités de garantir leur continuité d'activité, avec sauvegardes, reprise et gestion de crise, et de maîtriser la sécurité de leurs fournisseurs. La mairie ou l'agence régionale de santé tombée jeudi devra donc répondre, devant l'ANSSI, de la continuité d'un service qu'elle ne contrôle pas, fourni par une entreprise que personne en France ne contrôle. La loi ne peut pas atteindre le fournisseur, alors elle se retourne vers le client.

Un seul secteur échappe à ce schéma. Le 18 novembre 2025, les autorités européennes de supervision financière ont désigné Microsoft Ireland Operations Limited comme prestataire critique au titre de DORA, le règlement sur la résilience numérique du secteur financier, ce qui le place sous leur supervision directe. Elles peuvent lui demander des informations, mener des inspections, émettre des recommandations, et lui imposer des astreintes allant jusqu'à 1 % de son chiffre d'affaires quotidien mondial, chaque jour et pendant six mois au plus, pour l'obliger à s'y plier. C'est le seul levier sérieux qui existe en Europe face à Microsoft, et il ne protège que les banques, les assureurs et les marchés. La France régule les victimes, et l'Europe ne surveille le fournisseur que pour le compte de ses banques.

Le scénario « et si » à jouer avant la prochaine panne

Une organisation ne peut décider ni de la date de la prochaine panne ni de sa durée. Elle peut décider de ce qu'elle fera pendant. Dans les analyses d'impact et les simulations de crise que je conduis, je délaisse volontiers les exercices spectaculaires, ceux qui mettent en scène un rançongiciel en pleine nuit avec un journaliste au téléphone, au profit de questions beaucoup plus simples. Et si Microsoft était indisponible huit heures ? Comment les équipes continuent-elles de travailler ensemble, comment garde-t-on le fil avec les clients, comment livre-t-on le service promis ?

Ces trois questions suffisent à produire un plan. La première étape consiste à dresser la liste des activités qui s'arrêtent si Microsoft 365 s'arrête, à trois horizons : huit heures, vingt-quatre heures, quarante-huit heures. Pour chacune, il faut écrire le mode dégradé, en une page, avec un responsable nommé. Cela suppose un canal de secours convenu à l'avance, que chaque salarié connaît avant la panne, et des listes de contacts, clients, fournisseurs et collaborateurs, conservées en dehors de l'environnement Microsoft, puisque l'annuaire tombe avec la messagerie. Il faut aussi une règle de décision écrite, qui fixe au bout de combien d'heures sans visibilité l'organisation bascule en mode dégradé, pour qu'à 8 heures du matin personne ne passe deux heures à attendre une mise à jour de la page d'état.

Le reste se joue après la panne. L'administrateur doit réclamer l'avoir prévu par le contrat, en conservant l'horodatage des interruptions constatées, ce qui coûte une heure. Les entités qui entreront dans le champ de NIS2 ont, elles, intérêt à inscrire dès maintenant cette dépendance dans leur analyse de risques, avec le scénario joué et sa date, parce que c'est exactement ce que l'ANSSI viendra leur demander.

Un exercice de ce type tient en une demi-journée. Il ne demande ni budget ni prestataire, seulement que quelqu'un accepte de poser la question avant la prochaine panne.

Mardi 17 novembre, l'Assemblée nationale vote la loi Résilience dans l'après-midi, et Microsoft ouvre sa conférence Ignite à San Francisco le même jour. Ni l'un ni l'autre ne changera ce qui s'est passé jeudi. Le black-out n'a jamais été aussi proche.

À lire également

• Black-out cyber : tenir dix jours sans réseau
• NIS2 : l'État exigera des dirigeants le sérieux qu'il ne s'impose pas
• Le Parlement n'a jamais été votre RSSI
• La seule sauvegarde qui compte est celle qu'on a déjà restaurée
• La cybersécurité ne doit pas devenir un enjeu de la présidentielle
• Les gestes pratiques, sans jargon, sur etrecyber.fr

Sources

• Microsoft 365 Status, messages publiés du 12 au 13 novembre 2026 sur X et sur la page d'état des services, rapportés par CNN (Microsoft says email service is approaching normal levels following widespread global outage, 13 novembre 2026), ABC News et Presse-citron ; déclaration d'excuses du 13 novembre 2026 rapportée par l'AFP.
• Franceinfo, Ce que l'on sait de la panne mondiale qui touche le géant américain depuis jeudi, 13 novembre 2026, pour les signalements Downdetector ; Ouest-France, Panne de Microsoft : « Aucun impact à ce stade » sur l'activité des établissements de santé en France, 13 novembre 2026 ; Phonandroid et Europe Business News, 13 et 14 novembre 2026, pour les mairies et les agences régionales de santé.
• Microsoft, Service Level Agreement for Microsoft Online Services et documentation Microsoft Learn sur les crédits de service.
• Sénat, commission d'enquête sur la commande publique, audition d'Anton Carniaux et de Pierre Lagarde (Microsoft France), 10 juin 2025 ; Techniques de l'ingénieur, Microsoft avoue ne pas garantir la confidentialité des données, pour la déclaration d'Agnès Buzyn.
• Le Monde Informatique, Incendie SBG2 à Strasbourg : OVH condamné à verser plus de 100 000 €, février 2023 (tribunal de commerce de Lille Métropole) ; page d'état de Scaleway, incident du 16 juillet 2026 sur fr-par-2 DC5, relayé par IsDown ; DCmag, AWS ne peut plus rétablir une partie de son cloud frappée par la guerre en Iran, 17 septembre 2026, et Génération NT, septembre 2026.
• Assemblée nationale, commission d'enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, rapport adopté le 8 juillet 2026 ; Banque des Territoires, Souveraineté numérique : l'État victime de dépendances qu'il a lui-même créées, audition d'Henri Verdier du 10 mars 2026 ; Alliancy, audition de Vincent Strubel du 1er octobre 2026, pour les effectifs de l'ANSSI et du BSI.
• Directive (UE) 2022/2555, dite NIS2, articles 21 et 26 ; Solutions Numériques, NIS2 : la loi Résilience avance à l'Assemblée, novembre 2026, pour le vote solennel du 17 novembre et le chiffre de 18 000 entités.
• National Cyber Security Centre (Irlande) et état de la transposition irlandaise au 28 octobre 2026 ; Commission européenne, saisine de la Cour de justice contre l'Irlande, l'Espagne, la France et les Pays-Bas, 8 juillet 2026.
• Règlement (UE) 2022/2554, dit DORA, articles 31 et 35 ; autorités européennes de supervision (EBA, EIOPA, ESMA), liste des prestataires tiers critiques de TIC désignés, 18 novembre 2025.
• The Register, panne Microsoft 365 du 22 janvier 2026 ; BleepingComputer, Microsoft blames massive Microsoft 365 outage on maintenance bug, 24 juillet 2026 ; panne de la région londonienne de Google Cloud du 20 octobre 2026 et blocage de Revolut, rapportés par Reuters et Tech Insider.
• Silicon UK, Meltdown & Spectre: AWS, Azure & GCP Take Measures To Protect Cloud Customers, janvier 2018, pour les correctifs d'urgence et la maintenance accélérée d'Azure.
• Microsoft Ignite 2026, du 17 au 20 novembre 2026, Moscone Center, San Francisco.