Guide
Automatiser les arrivées et départs Microsoft 365 : la liste d’un MSP
Un départ propre dans Microsoft 365 suit neuf étapes : bloquer la connexion, révoquer les sessions, changer le mot de passe, revoir le MFA, décider de la boîte, retirer les licences, donner accès à OneDrive, traiter les appareils et garder les preuves. OKTO PSA bloque, revérifie et trace le tout dans le billet.
Ce guide cite la documentation Microsoft Learn et dit clairement ce que le logiciel prend en charge et ce qui reste à votre technicien.
Quelles sont les étapes d’un départ propre dans Microsoft 365 ?
Neuf étapes, dans cet ordre : couper l’accès d’abord, décider du contenu ensuite, nettoyer les licences et les appareils en dernier, et garder une preuve de chaque geste. L’ordre compte, parce qu’un compte actif pendant que vous discutez du sort de la boîte reste un compte ouvert.
La règle de base : bloquer la connexion et révoquer les sessions dans les minutes qui suivent l’heure de départ, puis traiter la boîte, OneDrive, les licences et les appareils avec l’accord du client.
Bloquer la connexion
Désactivez le compte dans Entra ID. L’utilisateur ne peut plus ouvrir de nouvelle session. Ne supprimez rien à cette étape.
Révoquer les sessions
Utilisez « Révoquer les sessions » sur la fiche de l’utilisateur. Microsoft précise que les jetons d’accès valent une heure par défaut : l’utilisateur peut garder un accès partiel jusqu’à leur expiration, selon l’application.
Réinitialiser le mot de passe
Posez un mot de passe aléatoire que personne ne connaît. Dans un environnement hybride, Microsoft recommande de le faire deux fois dans Active Directory pour limiter les risques liés aux délais de réplication.
Passer en revue le MFA
Retirez ou notez les méthodes d’authentification inscrites (téléphone, application). C’est une bonne pratique plutôt qu’une exigence : elle évite qu’un téléphone personnel reste associé au compte.
Boîte partagée ou transfert
Si des clients écrivent encore à cette adresse, convertissez la boîte en boîte partagée ou redirigez le courriel vers le successeur. Décision du client, pas la vôtre.
Licences
Retirez la licence quand le contenu est sécurisé. Selon Microsoft, courriels, contacts et calendrier sont conservés 30 jours après le retrait, puis supprimés définitivement.
OneDrive
Donnez l’accès à un gestionnaire avant de supprimer le compte. Après suppression d’un compte, le contenu de OneDrive et d’Outlook est conservé 30 jours.
Appareils
Désactivez les appareils inscrits à l’utilisateur et effacez les données de l’entreprise sur le téléphone ou la tablette. L’effacement n’agit que lorsque l’appareil se connecte à Internet.
Garder les preuves
Notez qui a demandé, qui a approuvé, l’heure du blocage et le résultat de chaque vérification. C’est ce qu’un client ou un auditeur vous demandera.
Et pour une arrivée, que faut-il prévoir ?
Une arrivée se prépare avant le premier jour. Le plus souvent, ce qui retarde un nouvel employé n’est pas la création du compte, mais un renseignement qui manquait dans la demande.
Compte et courriel
Nom officiel, adresse souhaitée, date de début. Une faute dans le nom devient une adresse à corriger plus tard.
Licence adaptée
Le poste décide de la licence : un employé de bureau, un employé de terrain et un gestionnaire n’ont pas les mêmes besoins.
MFA dès le départ
L’inscription à l’authentification multifacteur se fait au premier jour, avec le technicien ou le gestionnaire, pas « plus tard ».
Groupes et boîtes partagées
Équipe, dossiers partagés, boîtes communes. Le gestionnaire sait à quoi la personne doit avoir accès.
Poste et téléphone
Appareil prêt, mises à jour faites, logiciels installés avant la remise. Une attente le premier matin coûte cher au client.
Remise du mot de passe
Jamais par courriel en clair. Un lien à lecture unique ou une remise en personne valent mieux.
Qui demande quoi, et dans quel délai ?
Le client demande, vous exécutez. Les délais ci-dessous sont des suggestions à écrire dans votre contrat de services, pas des obligations de Microsoft.
| Étape | Qui décide | Délai suggéré | Preuve à garder |
|---|---|---|---|
| Arrivée | Gestionnaire du client | Demande reçue 2 jours ouvrables avant le début | Demande écrite, licence attribuée, MFA inscrit |
| Blocage au départ | Gestionnaire ou RH | À l’heure du départ, ou dans l’heure suivant l’avis | Heure du blocage, auteur de la demande |
| Boîte courriel | Gestionnaire | Décision avant le retrait de la licence | Transfert ou boîte partagée, nom du destinataire |
| OneDrive | Gestionnaire | Accès donné avant la suppression du compte | Nom de la personne qui a reçu l’accès |
| Appareils | Client et technicien | Récupération dans la semaine | Appareils remis, effacement confirmé |
Pour savoir quoi conserver et combien de temps, voyez aussi le guide sur la Loi 25 pour les services TI.
Comment OKTO PSA aide à suivre cette liste ?
Il prend en charge le blocage, la vérification et la trace. Les autres étapes restent à votre technicien, dans le billet. Nous préférons le dire clairement que laisser croire qu’un logiciel remplace la liste.
Lancer depuis un billet ou le portail
Le technicien déclenche l’arrivée ou le départ depuis le billet. Le client peut aussi le demander dans son portail, et annuler un départ prévu.
Blocage, jamais suppression
Au départ, le compte est bloqué et conservé. Ça vous laisse le temps de décider de la boîte et des fichiers.
Contre-vérification
Quinze minutes après le départ, OKTO PSA revérifie, puis à 1 h et à 4 h si le blocage n’a pas tenu. Un avis vous prévient en cas d’échec.
Mot de passe de l’arrivée
Une note secrète chiffrée, lisible une seule fois, permet de transmettre le mot de passe sans le mettre dans un courriel.
Offert sur demande
Les arrivées et départs Microsoft 365 reposent sur un moteur qui n’est pas inclus d’office : il est offert aux fournisseurs TI, sur demande. Un départ planifié automatique existe, éteint par défaut. Détails sur la page Microsoft 365 et Teams pour MSP.
Quelles preuves garder pour un audit ou un litige ?
Gardez ce qui répond à quatre questions : qui a demandé, qui a approuvé, quand le geste a eu lieu, et s’il a fonctionné. Le dossier du billet porte ces quatre réponses dans un seul fil si vous y notez chaque étape.
- La demande du client, avec le nom de la personne qui l’a faite et la date.
- L’heure du blocage, et celle de chaque contre-vérification.
- La décision sur la boîte (boîte partagée, transfert, aucune) et le nom du destinataire.
- Les licences retirées et la date, puisque le contenu disparaît 30 jours plus tard.
- Les appareils récupérés ou effacés.
Sources
- Revoke user access in an emergency in Microsoft Entra ID (Microsoft Learn, en anglais), consulté le 27 octobre 2026.
- Remove a former employee (Microsoft Learn, en anglais), consulté le 27 octobre 2026.
À lire ensuite
Microsoft 365 et Teams
Départs bloqués et revérifiés, usagers à risque, rencontres et appels Teams reliés aux billets.
Lire la pagePortail client MSP
Demande avec photo ou vocal, appareils en direct, soumissions, factures et paiement, arrivées et départs.
Lire la pageOKTO PSA pour les services TI
Le tour complet de ce que fait OKTO PSA pour un fournisseur de services TI.
Lire la pageLoi 25 pour un MSP
Ce que la Loi 25 demande à un fournisseur TI : contrat avec les clients, incidents, hors Québec, responsable.
Lire la pageSLA en heures ouvrables
Le calcul d’un SLA en heures ouvrables, étape par étape, avec trois exemples chiffrés et les clauses à écrire au contrat.
Lire la pageCas client OKTO Solutions
Pourquoi un MSP de Trois-Rivières a bâti son PSA, comment son équipe s’en sert et ce qui reste à faire, sans enjoliver.
Lire la pageQuestions fréquentes
Les questions qu’on nous pose
Votre question n’est pas là ?
Écrivez-nous. C’est une personne de Trois-Rivières qui répond, et la réponse arrive en moins d’un jour ouvrable.
Poser votre questionBloquer la connexion en désactivant le compte dans Entra ID, puis révoquer les sessions. Ne supprimez rien à ce moment-là : le contenu reste récupérable.
Microsoft indique que les jetons d’accès valent une heure par défaut. Selon l’application, l’accès peut donc durer jusqu’à leur expiration. Révoquer les sessions réduit cette fenêtre.
Selon Microsoft, courriels, contacts et calendrier sont conservés 30 jours après le retrait de la licence, puis supprimés définitivement. Convertissez la boîte en boîte partagée ou redirigez-la avant.
Le client, par son gestionnaire ou les RH. C’est lui qui connaît la date et qui décide du sort de la boîte et des fichiers. Le fournisseur TI exécute et garde la preuve.
Non. Il bloque le compte, le revérifie à 15 minutes, 1 heure et 4 heures, et trace le tout dans le billet. Les licences, OneDrive et les appareils restent des étapes de votre technicien.
Pas d’office. Il est offert aux fournisseurs TI, sur demande.
Mettez cette checklist dans vos billets
Parlez-nous de vos départs mensuels. On vous montre le parcours dans la démo, du portail du client au billet.
OKTO Solutions, Trois-Rivières, Québec