Un compte Microsoft pour les gouverner tous ?

Daniel Platteau Cybersécurité Support & matériel

Mis à jour le 27 octobre 2026.

Un compte, combien de portes ?

Dans Le Seigneur des anneaux, un anneau unique gouverne tous les autres. Le compte Microsoft joue un rôle comparable sur un PC Windows 11 : une adresse (souvent en @outlook.com, @hotmail.com ou @live.be, mais pas forcément) et un moyen de connexion donnent accès à une longue liste de services. Le problème n'est pas l'anneau. C'est que la plupart des gens ignorent ce qu'il ouvre, et parfois même qui le porte.

Voici ce qui peut être rattaché à un seul compte Microsoft personnel :

Pourquoi vous en avez un sans l'avoir vraiment choisi

Parce que Windows 11 ne laisse plus vraiment le choix. Depuis plusieurs années, l'installation de Windows 11 Famille, puis Pro, demande un compte Microsoft et une connexion Internet. Des astuces permettaient de créer un simple compte local. Le 6 octobre 2025, Microsoft a annoncé qu'il les supprimait, en écrivant dans les notes de version de sa préversion : « nous supprimons les mécanismes connus permettant de créer un compte local dans l'expérience d'installation de Windows (OOBE) ». En août 2026, l'installation exigeait toujours un compte Microsoft, sans option de compte local visible.

Résultat : sur un PC acheté en magasin et installé « en suivant les écrans », la personne qui a tapé son adresse ce jour-là est devenue, souvent sans le savoir, la gardienne de la clé du disque, du stockage en ligne et des mots de passe. Dans une petite entreprise, c'est parfois le gérant, parfois un employé, parfois le neveu qui a installé le PC un samedi.

Ce qu'il vous apporte vraiment

Soyons justes : le compte Microsoft a de vrais avantages.

• Une sauvegarde de la clé de chiffrement. Lors d'une installation neuve sur un PC compatible (la plupart des PC récents), Windows 11 chiffre le disque automatiquement et, si vous vous connectez avec un compte Microsoft, y range la clé de récupération. Si un jour l'écran bleu « Récupération BitLocker » apparaît, la clé se retrouve sur aka.ms/myrecoverykey depuis un autre appareil. Sans cette copie, et sans clé imprimée ou sur clé USB, c'est la réinitialisation du PC, donc la perte des fichiers : Microsoft écrit que son support « n'a pas la possibilité de récupérer, fournir ou recréer une clé de récupération BitLocker perdue ».
• Un PC volé ou perdu reste illisible, puisque le disque est chiffré.
• La continuité entre appareils : mots de passe, favoris, fichiers et réglages suivent l'utilisateur sur un nouveau PC.
• Des connexions sans mot de passe. Depuis le 1er mai 2025, les nouveaux comptes Microsoft sont créés sans mot de passe par défaut (clé d'accès, ou passkey, application Authenticator, code envoyé), et les comptes existants peuvent supprimer le leur. Moins de mots de passe, c'est moins d'hameçonnage.
• Des mises à jour gratuites pour Windows 10. Dans l'Espace économique européen, un PC personnel sous Windows 10 connecté avec un compte Microsoft reçoit gratuitement les mises à jour de sécurité étendues, désormais jusqu'au 12 octobre 2027. Attention : ce programme ne vise pas les PC d'entreprise joints à un domaine ou gérés de façon centralisée.

Ce qu'il peut vous coûter

Tout repose sur une seule porte. Si le compte est bloqué, tout ce qui en dépend l'est aussi. Les exemples ne manquent pas. En juin 2025, un utilisateur racontait avoir perdu l'accès à trente ans de photos et de documents placés temporairement sur OneDrive pendant un changement de disque : compte bloqué sans explication, dix-huit formulaires envoyés, des réponses automatiques. En juillet 2025, un développeur de LibreOffice a vu son compte suspendu sans motif communiqué. En juillet 2026, un streamer dont le compte avait été piraté s'est vu suspendre définitivement, par mesure de protection, avant d'être rétabli après une forte médiatisation. Ces cas ne disent pas que c'est fréquent ; ils montrent que le jour où ça arrive, le recours est lent et incertain.

Le stockage plein peut couper vos mails. Le compte gratuit offre 5 Go de stockage en ligne, partagés entre les fichiers OneDrive et les pièces jointes Outlook.com. Or, depuis 2024, l'installation de Windows 11 avec un compte Microsoft active souvent d'office la sauvegarde du Bureau, des Documents et des Images dans OneDrive. Si cette sauvegarde remplit les 5 Go, Microsoft prévient : « vous ne pouvez plus envoyer ni recevoir d'e-mails dans Outlook.com », même si la boîte mail elle-même n'est pas pleine. Les messages entrants reviennent à l'expéditeur. Et après six mois de dépassement, Microsoft « peut supprimer votre OneDrive et tous les fichiers qu'il contient ».

Un compte oublié finit par disparaître. Sans connexion pendant deux ans, Microsoft considère le compte comme inactif et peut le fermer. Un abonnement actif ou un solde non dépensé le maintient ouvert. C'est rarement un problème pour le compte qu'on utilise tous les jours, mais souvent pour l'adresse créée il y a dix ans pour un ancien PC… qui détient peut-être encore la clé d'un disque.

Vos clés ne sont pas seulement chez vous. En janvier 2026, Forbes a révélé que Microsoft avait remis au FBI des clés BitLocker stockées dans des comptes Microsoft, pour déchiffrer trois ordinateurs saisis dans une enquête pour fraude à Guam. Microsoft a indiqué recevoir une vingtaine de demandes de ce type par an et ne pas pouvoir y répondre quand la clé n'est pas sauvegardée chez lui. Pour une PME belge, le risque pratique est faible. Mais il faut le savoir : une clé rangée dans le cloud de Microsoft est accessible à Microsoft, et donc à une autorité qui le lui demande légalement.

Les services changent sous vos pieds. Skype a fermé le 5 mai 2025 ; les historiques sont restés exportables jusqu'en janvier 2026. Microsoft Authenticator a cessé de remplir les mots de passe en juillet 2025 ; ils ont été déplacés vers Edge, et les données de paiement qu'il contenait ont été supprimées. Rien de dramatique, à condition d'avoir suivi : tous ces changements passent par le même compte.

Compte personnel ou professionnel : la confusion qui coûte cher

Microsoft propose deux familles de comptes qui se ressemblent à l'écran :

• le compte Microsoft personnel, que chacun crée lui-même et gère seul (Outlook.com, OneDrive personnel, Xbox, Microsoft 365 Personnel ou Famille) ;
• le compte professionnel, créé par l'administrateur de l'entreprise dans Microsoft Entra ID (le nom actuel d'Azure Active Directory), généralement avec un abonnement Microsoft 365 Business.

Microsoft le précise : il n'y a « aucune synchronisation » des informations de compte entre les deux. Concrètement, quand un poste d'entreprise est installé avec le compte personnel d'un employé :

• la clé du disque est dans son compte, pas dans celui de l'entreprise ;
• les documents de l'entreprise partent dans son OneDrive personnel, que vous ne contrôlez pas ;
• à son départ, vous ne pouvez ni récupérer ces copies, ni lui en retirer l'accès.

C'est un problème de continuité, mais aussi de protection des données : des fichiers clients copiés dans le cloud personnel d'un ancien employé, c'est exactement ce que le RGPD vous demande de maîtriser.

Avant, il y avait Windows Server

Il y a quinze ans, une PME de dix postes avait souvent un serveur Windows dans un placard. Il portait l'Active Directory : l'annuaire de l'entreprise, qui connaissait chaque utilisateur et chaque PC. Les comptes appartenaient à l'entreprise, les règles (mots de passe, verrouillage d'écran, lecteurs réseau) s'appliquaient à tous les postes d'un coup, et un départ se réglait en désactivant un compte. Tout était chez vous.

Microsoft pousse aujourd'hui vers l'équivalent dans son cloud, Entra ID, avec un abonnement par utilisateur. C'est une bonne solution, mais pas la seule. Un Active Directory open source rend la même maîtrise, sur votre propre serveur.

Samba, le logiciel libre qui partage des fichiers entre Linux et Windows depuis plus de trente ans, sait aussi être un contrôleur de domaine Active Directory. Pour les postes Windows 11 Pro, c'est un domaine comme un autre :

• jonction au domaine et ouverture de session avec le compte de l'entreprise, sans compte Microsoft personnel ;
• stratégies de groupe (GPO) : mots de passe, pare-feu, lecteurs réseau, déploiement de logiciels, appliquées comme avec un serveur Windows. Elles se modifient depuis un PC Windows avec les outils d'administration de Microsoft (RSAT) ;
• mot de passe administrateur local unique par poste avec Windows LAPS, une fois le schéma de l'annuaire étendu ;
• niveau fonctionnel Windows Server 2016 activable en option depuis Samba 4.19 (2023), et migration progressive depuis un ancien domaine Windows, en faisant cohabiter les deux serveurs le temps de la transition.

Trois distributions l'emballent avec une interface d'administration, toutes trois européennes : Univention Corporate Server (allemand, version 5.2-5 sortie en mars 2026), Zentyal (espagnol, version 8.1 sur Ubuntu 24.04, mars 2026) et le Samba-AD de Tranquil IT (français), qui documente notamment LAPS et le passage au niveau 2016.

Ce qu'il faut savoir avant de choisir :

• Pas d'Exchange sur site, pas d'autorité de certification Microsoft, pas de contrôleur en lecture seule. La messagerie va ailleurs (Microsoft 365, ou une solution européenne).
• Les clés BitLocker : le schéma de Samba contient les attributs prévus pour les stocker dans l'annuaire, mais les retours d'expérience sont mitigés. À tester sur votre installation, et à doubler d'une copie dans un coffre-fort de mots de passe.
• Windows Famille ne rejoint aucun domaine : il faut Windows 11 Pro.
• Un serveur se maintient : mises à jour, sauvegarde de l'annuaire, un deuxième contrôleur si l'annuaire devient vital. C'est le prix de la maîtrise.

Pour une PME qui veut des comptes au nom de l'entreprise sans dépendre d'un abonnement par utilisateur, c'est une voie sérieuse, qui s'inscrit dans un plan plus large pour sortir des GAFAM par étapes.

Vrai ou faux

« Sans compte Microsoft, mon disque n'est pas chiffré. » Faux. BitLocker fonctionne aussi avec un compte local ou un compte professionnel ; la clé est alors à ranger ailleurs (Entra ID, Active Directory, impression, coffre-fort de mots de passe).

« Microsoft peut me rendre ma clé BitLocker si je l'ai perdue. » Faux. Si elle n'est sauvegardée nulle part, personne ne peut la recréer.

« Mes fichiers sur OneDrive sont sauvegardés. » À moitié vrai. OneDrive synchronise : une suppression ou un chiffrement par un rançongiciel se propage. Et un compte bloqué rend la copie inaccessible. Une vraie sauvegarde suit la règle 3-2-1.

« Un compte Microsoft gratuit, ça ne coûte rien. » Faux, à terme. 5 Go se remplissent vite avec la sauvegarde automatique, et la solution proposée est un abonnement.

Faites l'inventaire en quinze minutes

Depuis un navigateur, connecté au compte utilisé sur le PC :

1. Quels appareils ? account.microsoft.com/devices : les PC, téléphones et consoles liés au compte. Un PC de l'entreprise sous le compte d'un employé ? Notez-le.
2. Quelles clés de disque ? aka.ms/myrecoverykey : chaque clé BitLocker rangée dans le compte. Recopiez celles des postes de l'entreprise dans un endroit sûr qui ne dépend pas de ce compte.
3. Quelles applications ? microsoft.com/consent : les services tiers autorisés à lire vos données. Retirez ceux que vous n'utilisez plus.
4. Qui s'est connecté ? account.live.com/Activity : connexions récentes, pays, appareils.
5. Comment récupérer le compte ? Dans l'onglet Sécurité : une adresse de secours et un numéro de téléphone à jour, deux méthodes de connexion au moins, et un code de récupération imprimé et rangé.
6. Où en est le stockage ? Si OneDrive approche des 5 Go, choisissez ce qui doit vraiment y aller avant que les mails ne s'arrêtent.

Faites-le pour chaque compte Microsoft qui touche à un poste de l'entreprise, y compris les vieux.

Trois façons de vous y prendre

Exemple : un cabinet de trois personnes

Cas illustratif. Un cabinet de kinésithérapie : trois PC, achetés à des moments différents. Le premier a été installé par la gérante avec son adresse Hotmail de 2009, le deuxième par une collaboratrice avec son compte personnel, le troisième par un neveu avec une adresse créée pour l'occasion, dont plus personne ne connaît le mot de passe.

L'inventaire révèle que les dossiers du Bureau de la collaboratrice, factures comprises, sont copiés dans son OneDrive personnel, presque plein, et que la clé BitLocker du troisième PC n'est accessible à personne : la prochaine mise à jour du BIOS pourrait le rendre illisible.

Ce que nous ferions : recopier immédiatement les trois clés dans un coffre-fort de mots de passe de l'entreprise, rapatrier les fichiers dans un stockage au nom du cabinet, puis réinstaller les postes un par un avec des comptes professionnels ou, si l'on veut éviter Microsoft 365, avec un petit domaine Samba AD sur un serveur du cabinet et une sauvegarde indépendante.

Testez-vous

Chez ExsIT

Le premier contact est gratuit : nous écoutons vos besoins, puis nous vous proposons un plan d'action. Inventaire des comptes Microsoft liés à vos postes, mise à l'abri des clés de chiffrement, rapatriement des données de l'entreprise, puis, selon votre choix, passage à des comptes professionnels Microsoft 365 ou à une organisation qui dépend moins de Microsoft. Nous accompagnons des PME et des indépendants belges depuis 2001. Si vous envisagez de vous en passer, lisez aussi ce que le fisc néerlandais a décidé pour Microsoft 365.

Pour votre informaticien

• Installation sans compte Microsoft : sur Windows 11 Pro, l'option « Configurer pour un usage professionnel ou scolaire » permet une jonction Entra ID ; un fichier unattend.xml (ou une image préparée) permet encore de créer un compte local. Les commandes oobe\bypassnro et start ms-cxh:localonly sont neutralisées depuis la préversion 26220.6772 (6 octobre 2025).
• BitLocker : sur un poste joint à Entra ID ou à Active Directory, sauvegarde de la clé dans l'annuaire (Intune ou stratégie de groupe), consultable sur aka.ms/aadrecoverykey. Vérifier sur chaque poste existant les protecteurs avec manage-bde -protectors -get C: et l'endroit où la clé a été déposée.
• Bloquer les comptes personnels : stratégie « Comptes : bloquer les comptes Microsoft » sur les postes gérés ; dans OneDrive, déplacement des dossiers connus (KFM) forcé vers le tenant de l'entreprise et blocage de la synchronisation des comptes personnels.
• Edge : profil professionnel connecté au compte Entra ; désactiver la synchronisation des profils personnels sur les postes gérés si nécessaire.
• Windows 10 ESU : la gratuité dans l'EEE vise les appareils personnels ; un poste joint à Active Directory ou à Entra ID, ou géré par MDM, n'y a pas droit (ESU entreprise : 122 $ par poste pour la deuxième année).
• Samba AD : niveau fonctionnel 2016 depuis 4.19 (ad dc functional level = 2016), gMSA et niveau 2012 R2 complets depuis 4.21 ; GPO éditées via RSAT (gpmc.msc) ; Windows LAPS après extension du schéma (msLAPS), sans chiffrement du mot de passe ; pour BitLocker, vérifier la présence des objets msFVE-RecoveryInformation après un manage-bde -protectors -adbackup. Entra Connect : synchronisation possible mais support limité.
• Comptes administrateurs : Windows LAPS pour le compte administrateur local plutôt qu'un compte Microsoft partagé.

Sources

Abdullahi, A. (2026, 26 janvier). Microsoft shared BitLocker keys with FBI, raising privacy fears. TechRepublic. https://www.techrepublic.com/article/news-microsoft-bitlocker-keys-fbi-privacy/

Abrams, L. (2026, 25 juin). Microsoft quietly extends free Windows 10 ESU support to October 2027. BleepingComputer. https://www.bleepingcomputer.com/news/microsoft/microsoft-quietly-extends-free-windows-10-esu-support-to-october-2027/

Allan, D. (2025, 18 juin). Windows 11 user has 30 years of 'irreplaceable photos and work' locked away in OneDrive – and Microsoft's silence is deafening. TechRadar. https://www.techradar.com/computing/windows/windows-11-user-has-30-years-of-irreplaceable-photos-and-work-locked-away-in-onedrive-and-microsofts-silence-is-deafening

AlternativeTo. (2024, juin). Windows 11 now automatically enables OneDrive folder backup by default. https://alternativeto.net/news/2024/6/windows-11-now-automatically-enables-onedrive-folder-backup-by-default

Crouse, M. (2025, 2 mai). Skype will shut down on May 5, as Microsoft shifts to Teams. TechRepublic. https://www.techrepublic.com/article/microsoft-skype-shutting-down/

DATAZONE. (2026, 21 août). Samba as Active Directory: Replacing a Windows Domain. https://datazone.de/en/aktuelles/samba-active-directory-migration/

GIGAZINE. (2026, 17 juillet). Microsoft permanently suspended compromised accounts to protect data, but later restored them after public backlash. https://gigazine.net/gsc_news/en/20260717-microsoft-restore-hacked-account/

Help Net Security. (2025, 2 mai). New Microsoft accounts will be "passwordless by default". https://www.helpnetsecurity.com/2025/05/02/new-microsoft-accounts-will-be-passwordless-by-default/

Microsoft. (2020). Microsoft account activity policy. Microsoft Support. https://support.microsoft.com/help/4511051

Microsoft. (2025a). Changes to Microsoft Authenticator autofill. Microsoft Support. https://support.microsoft.com/en-US/authenticator/changes-to-microsoft-authenticator-autofill

Microsoft. (2025b, 18 novembre). Windows 11 security book: Encryption and data protection. Microsoft Learn. https://learn.microsoft.com/en-us/windows/security/book/operating-system-security-encryption-and-data-protection

Microsoft. (s.d.-a). Find your BitLocker recovery key. Microsoft Support. https://support.microsoft.com/help/4026181

Microsoft. (s.d.-b). Microsoft storage FAQs. Microsoft Support. https://support.microsoft.com/en-US/onedrive/microsoft-storage-faqs

Microsoft. (s.d.-c). What's the difference between a Microsoft account and a work or school account? Microsoft Support. https://support.microsoft.com/en-us/topic/d17de17e-9f26-4dae-bd08-d7b8f46eb0b9

Nistor, C. (2026a, 11 mars). Ubuntu-based Zentyal Server 8.1 launches with multiple improvements and a 24.04 LTS base. Notebookcheck. https://www.notebookcheck.net/Ubuntu-based-Zentyal-Server-8-1-launches-with-multiple-improvements-and-a-24-04-LTS-base.1247588.0.html

Nistor, C. (2026b, 12 mars). Univention Corporate Server 5.2-5 lands with a restore option for deleted user accounts and more. Notebookcheck. https://www.notebookcheck.net/Univention-Corporate-Server-5-2-5-lands-with-a-restore-option-for-deleted-user-accounts-and-more.1249023.0.html

Redmond Magazine. (2025, 8 octobre). Microsoft ends local account workarounds in latest Windows 11 build. https://redmondmag.com/articles/2025/10/08/microsoft-ends-local-account-workarounds-in-latest-windows-11-build.aspx

Samba Team. (s.d.). Samba features added/changed. SambaWiki. https://wiki.samba.org/index.php/Samba_Features_added/changed

Tkachenko, S. (2025, 30 juillet). Microsoft suspends LibreOffice developer account. Winaero. https://winaero.com/microsoft-suspends-libreoffice-developer-account

Tranquil IT. (s.d.-a). Configuring LAPS for Samba-AD. https://samba.tranquil.it/doc/samba_advanced_methods/samba_configure_laps.html

Tranquil IT. (s.d.-b). Forest Functional Level 2016 and AD Schema 2022. https://samba.tranquil.it/doc/en/samba_advanced_methods-samba_raise_fl2016.html

Windows Latest. (2026, 8 août). Will Windows 11's new setup let you bypass the Microsoft account? Not on the list, at least for now. https://www.windowslatest.com/2026/08/08/will-windows-11s-new-setup-let-you-bypass-the-microsoft-account-not-on-the-list-at-least-for-now/