Questions fréquentes
Ce que tout responsable IT demande avant la première analyse.
Mes salariés vont-ils prendre le message Teams pour du phishing ?
Il vient de l'intérieur de votre tenant. Le message est envoyé par l'application Olyteck que votre admin a installée dans votre propre Teams, il ouvre une page connectée avec Microsoft, et il ne demande rien d'autre que la connexion Microsoft habituelle. Avant le lancement, annoncez la campagne depuis votre propre direction : nous vous donnons le texte, à signer par vos responsables informatique et sécurité. Aucun e-mail d'un domaine inconnu qui demande aux salariés de « corriger leurs partages ».
Faut-il informer le CSE ?
En France, en général oui, et nous vous simplifions la tâche. Une campagne montre à chaque salarié ses propres partages : c'est un traitement de données de salariés. Nous vous fournissons la note d'information du CSE et la clause de charte informatique. Ce que nous gardons est minimal : nom, e-mail, service, compteurs et événements de campagne, supprimés 90 jours après la clôture. Aucun classement des personnes, aucun nom de fichier, aucun lien.
Et si personne ne corrige ?
Attendez-vous à ce qu'une minorité fasse l'essentiel, et c'est suffisant. L'exposition est en général concentrée sur quelques propriétaires : ceux qui agissent ferment la plus grande partie du risque. Les rappels s'arrêtent dès qu'une personne n'a plus rien à faire. Ce qui reste à la fin, l'IT le ferme depuis la console, un clic par lien.
Combien de temps dure une campagne, et combien de temps IT ?
De 14 à 35 jours, choisis au lancement. Une campagne part d'une analyse approfondie de 7 jours ou moins (un clic : « Lancer maintenant »). Ensuite, les messages partent seuls, du lundi au vendredi, de 8 h 30 à 18 h 30 dans le fuseau de votre tenant. Temps IT : le lancement, un coup d'œil au suivi, et le reste à la fin.
Le scanner est-il vraiment en lecture seule ? Peut-il modifier quoi que ce soit dans mon tenant ?
Oui – et ce n'est pas un réglage, c'est l'autorisation accordée. L'application du scanner détient 19 autorisations Microsoft Graph, toutes en lecture seule. Elle n'a aucune autorisation d'écriture : aucune analyse ne peut modifier votre tenant. C'est aussi la seule identité qui lit votre tenant de façon planifiée : rien de programmé ne peut changer un fichier, un site, un groupe ou un réglage (la seule autre action planifiée est l'envoi des rappels Teams d'une campagne que vous avez lancée).
Corriger est une application à part, et facultative. Révoquer un lien de partage ou retirer un membre d'un groupe passe par une autre application Entra, autorisée séparément et révocable seule. Tant qu'elle n'est pas activée, le produit ne peut rien modifier : chaque bouton de correction refuse et indique l'autorisation qu'il lui faudrait. Une fois activée, elle agit en tant que la personne qui clique, avec ses propres droits, et l'action apparaît dans votre propre journal d'audit Microsoft.
Vérifiez-le vous-même : Applications d'entreprise → Autorisations dans votre tenant, ou Console de sécurité → Apps & consent dans le produit, qui relit l'autorisation réelle auprès de Microsoft à chaque affichage.
Quelles données stockez-vous réellement dans votre base ?
Des comptes, des identifiants et des sévérités – pas du contenu. Pour chaque résultat, nous stockons le site, la personne ou l'application concernés (ID et nom), le type de résultat, la sévérité et l'horodatage. Nous ne stockons
pas le contenu des fichiers, les URL de partage ni les corps d'e-mails, et les jetons d'accès du scanner ne sont jamais stockés. Deux exceptions, liées aux choix d'une personne : un partage confirmé par un salarié dans Mon espace garde le nom du fichier et sa raison, et une correction en attente d'autorisation garde le nom du fichier au plus 30 minutes. Les connexions optionnelles (correction, chat Teams) gardent un jeton de renouvellement chiffré. Voir
Confidentialité §3 « charge utile SAFE » pour la liste précise des champs. La base est hébergée dans l'UE ; l'historique des analyses est conservé 90, 180 ou 360 jours selon la formule (Voir, Corriger, Piloter ; Enterprise : selon contrat), puis supprimé ; un résultat résolu est supprimé 180 jours après sa résolution (360 avec Piloter).
Faut-il vraiment ne pas fournir de carte bancaire pour commencer ?
Exact. Connectez-vous avec Microsoft, accordez le consentement admin, et c'est parti. L'essai gratuit de 14 jours débloque les 7 modules – SharePoint, OneDrive, Copilot, Identité, Sécurité e-mail, Applications OAuth, Posture – avec analyses quotidiennes planifiées, récapitulatif hebdomadaire, alertes critiques et rapports sauvegardés. Rien ne bascule automatiquement vers une formule payante. À la fin de l'essai, le produit passe en lecture seule jusqu'à ce que vous choisissiez une formule.
Combien de temps prend réellement une analyse ?
5 à 15 minutes pour la plupart des tenants PME. Les tenants très chargés (plus de 500 sites SharePoint) peuvent prendre plus de temps. Le scanner est limité en débit pour respecter le throttling de Microsoft Graph et cède toujours la priorité à vos utilisateurs – aucun impact sur la production. Vous pouvez lancer jusqu'à 20 analyses à la demande par jour pendant l'essai.
Voir 7 autres questions
Puis-je partager les résultats avec mon comptable ou un auditeur externe ?
Oui. Toute analyse peut être figée dans un rapport exécutif sauvegardé – page de garde, graphique de tendance, principaux résultats, horodatage auditable. Partagez-le en externe via une URL signée avec votre propre expiration, ou exportez les résultats en CSV comme pièces justificatives. Aucune nouvelle requête nécessaire côté auditeur.
Cela va-t-il perturber mes utilisateurs pendant une analyse ?
Aucun impact pour l'utilisateur final. Tous les appels visent les points de terminaison applicatifs de Microsoft Graph en utilisant le consentement admin du tenant – pas les boîtes mail ou OneDrive des utilisateurs. Les utilisateurs ne voient ni invite, ni notification, ni changement de partage. Les analyses leur sont totalement transparentes.
Que se passe-t-il à la fin de l'essai de 14 jours ?
Le produit passe en mode lecture seule. Les résultats et rapports historiques restent visibles pour que vous puissiez les exporter, mais les analyses planifiées sont mises en pause jusqu'à ce que vous choisissiez une formule payante. Aucun débit-surprise sur carte bancaire. Vous pouvez révoquer le consentement admin à tout moment et notre scanner perd immédiatement l'accès.
Nous sommes un MSP avec plusieurs tenants clients – est-ce que ça fonctionne ?
Oui – voir la
formule MSP sur la page tarifs. Les données de chaque tenant client sont strictement séparées, et cette séparation est imposée par la base de données elle-même, à chaque requête ; une console MSP unique consolide les résultats de tous les tenants. Commencez par un essai gratuit sur un seul tenant pour prendre vos marques, puis activez le reste.
Et si la première analyse trouve beaucoup de choses – est-ce que ça me fait mal voir ?
Au contraire – c'est votre demande de budget. Chaque première analyse que nous avons faite jusqu'ici a trouvé quelque chose – y compris dans un tenant bien tenu, dont l'administrateur écrit ses propres contrôles PowerShell. C'est l'héritage des réglages par défaut de Microsoft et de tous les admins avant vous – pas un audit de votre travail. La plupart des constats se corrigent en quelques minutes une fois visibles, et le rapport daté transforme « il faudrait faire quelque chose pour M365 » en plan de nettoyage concret et chiffré que vous présentez à vos conditions – avant qu'on ne vous pose la question.
Nous avons déjà Defender, Purview et Secure Score. Qu'apporte Cyber ?
La réponse, pas les réglages. Les consoles Microsoft sont organisées par produit ; Cyber est organisé par question :
qui accède à quoi, depuis quand, et qui corrige. Trois choses que le centre d'administration ne vous donnera pas : une vue par personne et par équipe de chaque appartenance, propriété et lien de partage (l'audit de départ et la revue des accès) ; un Secure Score lu à l'aune des licences que vous possédez vraiment, pour que la cible soit atteignable ; et la délégation – chaque propriétaire d'équipe ne voit que ses groupes et sa liste d'actions. Voir
« Microsoft ne le fait pas déjà ? » plus haut. Cyber lit votre tenant via l'API Graph de Microsoft, en lecture seule, sans licence P2.
Quelqu'un peut-il nous accompagner pour la première analyse ?
Oui – une première analyse guidée de 20 minutes. Venez avec la personne qui détient le rôle d'administrateur général (le consentement, c'est un clic, fait par elle), et vous quittez l'appel avec votre vraie liste de constats à l'écran.
Réservez-la ici ou écrivez à
contact@olyteck.com.
