Le chiffrement natif intégré aux applications Microsoft Office repose sur un socle cryptographique solide, mais ses réglages par défaut et ses interactions avec l’écosystème Microsoft 365 méritent un examen attentif. Nous détaillons ici les mécanismes réels de protection des fichiers sensibles dans Office, les options avancées souvent ignorées et les limites concrètes à anticiper.
AES-256-CBC par défaut dans Office : ce que ce changement implique pour vos documents
Microsoft Purview Information Protection applique désormais l’algorithme AES avec clé 256 bits en mode CBC comme standard de chiffrement pour les documents Word, Excel, PowerPoint et les e-mails Outlook dans les applications Microsoft 365. Ce passage, confirmé dans les notes de version des canaux Office d’août 2026, remplace les configurations antérieures moins robustes sur les tenants récents.
Le mode CBC (Cipher Block Chaining) chaîne chaque bloc de texte chiffré au précédent, ce qui rend l’exploitation de patterns dans le contenu considérablement plus difficile qu’un simple chiffrement par bloc indépendant. En pratique, un fichier Excel contenant des séries de cellules identiques ne produira pas de blocs chiffrés répétitifs, contrairement à un mode ECB.
Ce niveau de chiffrement s’applique automatiquement lorsqu’une étiquette de sensibilité Purview est associée au document ou qu’un mot de passe de protection est défini via le menu Fichier. Nous recommandons de vérifier dans le centre d’administration Microsoft 365 que le canal de mise à jour déployé (Current Channel ou Monthly Enterprise) intègre bien cette version, car les tenants restés sur des canaux différés peuvent encore utiliser une configuration antérieure.
Double Key Encryption et étiquettes de sensibilité : bloquer l’analyse cloud du contenu
La protection par mot de passe d’un fichier Office empêche son ouverture sans authentification. Elle ne bloque pas pour autant l’accès des services cloud Microsoft au contenu, notamment les expériences connectées (suggestions de rédaction, classification automatique, indexation).
Une évolution récente introduit un contrôle plus granulaire. En configurant une étiquette de sensibilité avec l’option appropriée, ou en déployant la Double Key Encryption (DKE), il devient possible d’empêcher que le contenu des fichiers soit transmis aux services Microsoft pour analyse, y compris lorsque ces fichiers sont stockés dans SharePoint ou OneDrive.
Fonctionnement concret de la DKE
La DKE superpose deux couches de chiffrement. La première clé est gérée par Microsoft, la seconde par votre organisation via un service de clés hébergé dans votre infrastructure. Microsoft ne possède jamais les deux clés simultanément, ce qui rend le déchiffrement côté serveur techniquement impossible.
Ce mécanisme a un coût opérationnel : les fichiers protégés par DKE perdent la coédition en temps réel dans les applications web Office. Nous observons que cette contrainte pousse certaines équipes à réserver la DKE aux documents les plus critiques (contrats, données RH, propriété intellectuelle) et à utiliser des étiquettes de sensibilité classiques pour le reste.
- Les fichiers chiffrés avant l’activation de la prise en charge DKE dans SharePoint restent inaccessibles aux services d’analyse tant qu’ils ne sont pas réouverts et réenregistrés après activation
- La configuration d’étiquette offre un contrôle au niveau du contenu, pas uniquement au niveau du site ou de la bibliothèque SharePoint
- La DKE nécessite un service de clés autonome, hébergé on-premise ou dans un cloud tiers, avec ses propres exigences de disponibilité
Protection par mot de passe dans Office : chiffrement réel ou simple verrouillage
La confusion persiste entre deux mécanismes distincts accessibles depuis le menu Fichier des applications Office.
Le premier, « Protéger le document avec un mot de passe », applique un chiffrement intégral du fichier. Sans le mot de passe, le contenu est illisible, y compris en ouvrant le fichier avec un éditeur hexadécimal ou un outil tiers. C’est ce mécanisme qui utilise AES-256-CBC dans les versions récentes.
Le second, « Marquer comme final » ou « Restreindre la modification », ne chiffre rien. Il s’agit d’un indicateur de métadonnées que n’importe quel utilisateur peut désactiver en deux clics. Ce mode lecture seule relève de la convention, pas de la sécurité.
Points de vigilance sur le mot de passe de chiffrement
La robustesse du chiffrement AES-256 ne compense pas un mot de passe faible. Un mot de passe de quatre caractères rend le fichier vulnérable aux attaques par force brute en quelques minutes, quelle que soit la solidité de l’algorithme sous-jacent.
- Privilégier des mots de passe d’au moins douze caractères combinant lettres, chiffres et symboles
- Ne jamais transmettre le mot de passe dans le même canal que le fichier (un e-mail contenant le fichier et le mot de passe annule la protection)
- Documenter la politique de rotation des mots de passe pour les fichiers partagés à durée de vie longue, car un mot de passe perdu rend le fichier définitivement irrécupérable
Étiquettes de sensibilité Purview : appliquer le chiffrement sans dépendre de l’utilisateur
Le chiffrement par mot de passe repose sur une action manuelle. L’utilisateur doit penser à protéger chaque fichier individuellement. Les étiquettes de sensibilité Microsoft Purview automatisent ce processus en associant des règles de chiffrement, de restriction d’accès et de marquage visuel à une classification du document.
Une étiquette configurée pour chiffrer applique automatiquement AES-256-CBC au fichier dès son enregistrement, attribue des droits d’usage (lecture seule, modification, impression) par utilisateur ou par groupe, et persiste même si le fichier quitte l’environnement SharePoint ou OneDrive. Un document étiqueté « Confidentiel » envoyé en pièce jointe conserve ses restrictions chez le destinataire, à condition que celui-ci dispose d’un client Office compatible.
L’héritage des étiquettes progresse aussi sur Outlook mobile, où les pièces jointes issues de documents étiquetés dans Purview héritent désormais de la classification du document parent. Cette évolution réduit le risque qu’un fichier sensible parte sans protection via un transfert d’e-mail.
Le déploiement d’étiquettes de sensibilité exige une réflexion préalable sur la taxonomie de classification. Trois à cinq niveaux suffisent dans la plupart des organisations. Au-delà, la complexité décourage l’adoption et les utilisateurs contournent le système. Mieux vaut une classification simple appliquée systématiquement qu’une arborescence détaillée que personne ne respecte.
