SharePoint Online n’est pas un serveur de fichiers en plus joli. C’est un système conçu autour de sites, de bibliothèques et de métadonnées, avec un modèle de permissions qui ne se comprend qu’en distinguant ce qui est hérité de ce qui est rompu. Ce tutoriel structure un environnement SharePoint pour une PME : choix entre site d’équipe et site de communication, mise en place d’un site concentrateur, organisation des bibliothèques, gestion des permissions, automatisation par PnP PowerShell.

Article principal : Microsoft 365 pour PME — architecture et gouvernance.

Prérequis

Un locataire Microsoft 365 avec licences Business Standard ou Premium attribuées.
Un compte avec le rôle Administrateur SharePoint ou Administrateur global.
PowerShell 7 et le module PnP.PowerShell installé.
L’URL du locataire SharePoint, sous la forme https://exemple.sharepoint.com.
Niveau attendu : administrateur Microsoft 365 ou collaborateur informatique avec une expérience PowerShell.
Temps : 2 heures pour la première mise en place complète.

Étape 1 — Comprendre la typologie des sites

Avant de créer le moindre site, il faut intégrer la distinction entre les trois types proposés par SharePoint Online. Le site d’équipe est conçu pour la collaboration latérale : tous les membres lisent et écrivent, il est connecté à un groupe Microsoft 365, à une équipe Teams si on l’active, à un calendrier partagé et à une boîte mail de groupe. Le site de communication est conçu pour la diffusion descendante : un nombre restreint d’éditeurs publie pour un grand nombre de lecteurs ; il n’est pas connecté à un groupe Microsoft 365. Le site concentrateur (hub site) n’est pas un type de site mais une fonctionnalité qu’on active sur un site existant : il agrège plusieurs sites enfants sous une navigation commune et propage l’identité visuelle.

Le modèle d’architecture qui fonctionne dans la plupart des PME ressemble à ceci. Un site de communication central nommé Intranet joue le rôle de site concentrateur. Il rassemble en navigation un site de communication par grand domaine transversal (Direction, Communication interne, Politique RH publique) et un site d’équipe par service opérationnel (Comptabilité, Commercial, Production, Informatique). Chaque site d’équipe est connecté à un groupe Microsoft 365 et à une équipe Teams qui partagent les fichiers de ce service. Cette organisation place les contenus là où les utilisateurs s’attendent à les trouver, sans descendre dans des arborescences de dossiers profondes.

Étape 2 — Créer le site concentrateur

Le site concentrateur est l’épine dorsale de l’architecture ; on le crée en premier. La commande PnP ci-dessous crée un site de communication puis le promeut en site concentrateur.

# Création du site concentrateur Intranet
Install-Module -Name PnP.PowerShell -Scope CurrentUser
Connect-PnPOnline -Url "https://exemple-admin.sharepoint.com" -Interactive
$intranet = New-PnPSite -Type CommunicationSite -Title "Intranet" -Url "https://exemple.sharepoint.com/sites/intranet" -SiteDesign "Topic"
Register-PnPHubSite -Site $intranet

La première commande crée un site de communication accessible à l’URL /sites/intranet. La deuxième le promeut en concentrateur : à partir de cet instant, on peut associer d’autres sites au concentrateur, et la navigation top-level du concentrateur sera affichée en bandeau supérieur sur tous les sites associés. La sortie attendue est l’URL du site retournée par New-PnPSite ; on la conserve pour l’étape suivante. La promotion en concentrateur prend une à deux minutes pour devenir effective côté interface utilisateur.

Étape 3 — Créer les sites de service et les associer

Pour chaque service de l’entreprise, on crée un site d’équipe connecté à un groupe Microsoft 365. La connexion au groupe est ce qui matérialise l’équipe : les membres du groupe deviennent automatiquement membres du site et de l’équipe Teams associée si on l’active.

# Création des sites de service
$services = @(
  @{ Title = "Comptabilité";  Alias = "comptabilite";  Owner = "diallo.m@exemple.com" },
  @{ Title = "Commercial";    Alias = "commercial";    Owner = "diallo.m@exemple.com" },
  @{ Title = "RH";            Alias = "rh";            Owner = "diallo.m@exemple.com" },
  @{ Title = "Informatique";  Alias = "informatique";  Owner = "diallo.m@exemple.com" }
)
foreach ($s in $services) {
  $site = New-PnPSite -Type TeamSite -Title $s.Title -Alias $s.Alias -Owners $s.Owner
  Add-PnPHubSiteAssociation -Site $site -HubSite "https://exemple.sharepoint.com/sites/intranet"
}

Chaque itération crée un site d’équipe et l’associe au concentrateur Intranet. À l’issue, on visite l’un des sites créés (par exemple /sites/comptabilite) : la navigation horizontale du concentrateur apparaît en haut, et le menu latéral propre au site contient les sections par défaut (Documents, Pages, Bloc-notes). La sortie de New-PnPSite en mode TeamSite est légèrement différente de CommunicationSite — on récupère l’URL via la propriété Url de l’objet retourné. Si l’alias est déjà pris, l’erreur mentionne explicitement le conflit, sans interrompre les itérations suivantes.

Étape 4 — Structurer les bibliothèques au sein d’un site

La bibliothèque par défaut Documents existe dans tout site fraîchement créé. La tentation est de tout y déposer en créant des sous-dossiers à l’infini : c’est le pire usage possible. La bonne pratique consiste à créer une bibliothèque par grand sujet et à utiliser les métadonnées pour le filtrage transverse, plutôt que de superposer des dossiers.

Pour le site Comptabilité, par exemple, on crée trois bibliothèques : Factures clients, Factures fournisseurs, Banques et trésorerie. Dans la bibliothèque Factures fournisseurs, on n’organise pas par sous-dossier 2025, 2026, par fournisseur ; on crée des colonnes de métadonnées Année, Fournisseur, Statut de paiement, et chaque utilisateur filtre dynamiquement. Cette approche élimine le débat sur l’arborescence et permet à un même fichier d’apparaître dans plusieurs vues sans duplication.

# Création de bibliothèques avec colonnes de métadonnées
Connect-PnPOnline -Url "https://exemple.sharepoint.com/sites/comptabilite" -Interactive

# Bibliothèque Factures fournisseurs
New-PnPList -Title "Factures fournisseurs" -Template DocumentLibrary
Add-PnPField -List "Factures fournisseurs" -DisplayName "Année" -InternalName "Annee" -Type Number -AddToDefaultView
Add-PnPField -List "Factures fournisseurs" -DisplayName "Fournisseur" -InternalName "Fournisseur" -Type Text -AddToDefaultView
Add-PnPField -List "Factures fournisseurs" -DisplayName "Statut de paiement" -InternalName "Statut" -Type Choice -Choices "À payer","Payé","En litige" -AddToDefaultView

Le bloc crée la bibliothèque puis ajoute trois colonnes typées qui apparaissent dans la vue par défaut. À l’usage, lors du dépôt d’une facture, l’utilisateur saisit ces trois métadonnées en deux clics ; la liste des factures à payer se lit alors en filtrant simplement Statut = « À payer » — sans se demander dans quel sous-dossier elle se trouve. La sortie attendue est une suite d’objets Field avec leur InternalName. On choisit avec soin l’InternalName sans accent ni espace, parce qu’il devient une partie de l’URL de la colonne et ne se modifie plus après création.

Étape 5 — Comprendre l’héritage des permissions

Le modèle de permissions SharePoint repose sur un principe d’héritage : une bibliothèque hérite des permissions du site, un dossier hérite des permissions de la bibliothèque, un fichier hérite des permissions du dossier. On peut rompre l’héritage à n’importe quel niveau pour appliquer des permissions spécifiques, mais chaque rupture crée une dette de gouvernance qu’on traîne ensuite.

La règle d’or : ne jamais rompre l’héritage au niveau du fichier. Si un fichier doit avoir des permissions différentes des autres, c’est qu’il devrait être dans une bibliothèque dédiée. Au niveau du site, la composition par défaut comprend trois groupes de permissions : Propriétaires (contrôle total), Membres (modification), Visiteurs (lecture). Pour 90 % des cas, on attribue les utilisateurs à ces trois groupes et on n’ajoute pas de permission individuelle.

# Audit des permissions rompues sur un site
Connect-PnPOnline -Url "https://exemple.sharepoint.com/sites/comptabilite" -Interactive
$rompues = @()
$lists = Get-PnPList | Where-Object { $_.Hidden -eq $false }
foreach ($l in $lists) {
  $list = Get-PnPList -Identity $l.Id -Includes HasUniqueRoleAssignments
  if ($list.HasUniqueRoleAssignments) {
    $rompues += [PSCustomObject]@{ Type = "Liste"; Title = $l.Title; Url = $l.RootFolder.ServerRelativeUrl }
  }
}
$rompues | Format-Table

Le script parcourt les listes et bibliothèques visibles du site et identifie celles qui ont rompu l’héritage avec le site parent. Une sortie vide indique un site bien géré ; une sortie avec dix lignes indique qu’on a empilé des exceptions au fil du temps. Pour chaque entrée, on revoit la nécessité : si l’exception ne se justifie plus, on rétablit l’héritage avec Set-PnPList -Identity <titre> -ResetRoleInheritance ; sinon, on documente la raison de la rupture dans une page Wiki du site.

Étape 6 — Inviter des utilisateurs externes (partage sécurisé)

SharePoint Online permet de partager des fichiers avec des personnes hors du locataire, soit par lien anonyme, soit par invitation nominative qui exige une authentification. Le partage anonyme est puissant et dangereux : un lien anonyme transmis par mail puis transféré donne accès à n’importe qui sans traçabilité. Pour une PME, la pratique recommandée est de désactiver le partage anonyme au niveau du locataire et d’imposer le partage nominatif par invitation.

# Désactivation du partage anonyme au niveau du locataire
Connect-SPOService -Url "https://exemple-admin.sharepoint.com"
Set-SPOTenant -SharingCapability ExternalUserSharingOnly
Set-SPOTenant -RequireAcceptingAccountMatchInvitedAccount $true

La première commande limite le partage externe à des invitations nominatives : tout invité doit avoir un compte Microsoft (personnel ou professionnel) qu’il authentifie. La deuxième impose que l’adresse de connexion corresponde à l’adresse de l’invitation, ce qui empêche le transfert de l’invitation à un tiers. Les liens anonymes existants sont invalidés. Pour vérifier, on lance Get-SPOTenant | Select SharingCapability, RequireAcceptingAccountMatchInvitedAccount qui doit retourner les valeurs configurées.

Étape 7 — Configurer les politiques de conservation

Microsoft Purview permet de poser des politiques de conservation qui empêchent la suppression définitive de certains contenus avant un délai défini, ou au contraire forcent la suppression au-delà d’un délai. Pour un site Comptabilité qui contient des factures à valeur juridique pendant dix ans, on pose une politique Conserver 10 ans à partir de la création. Pour un site projet temporaire, on peut poser Supprimer 2 ans après la dernière modification.

Les politiques se configurent dans le portail Purview, section Gouvernance des données → Politiques de conservation. Une politique cible un emplacement (un site SharePoint, un OneDrive, un groupe), une durée et une action de fin de période. On utilise les étiquettes de rétention pour appliquer une politique au niveau d’un fichier individuel quand le besoin est plus fin ; on les déclenche manuellement par un utilisateur ou automatiquement par une condition de contenu (par exemple, tout fichier qui contient un IBAN reçoit l’étiquette Données financières — 10 ans).

Étape 8 — Vérification et documentation

La mise en place de l’architecture initiale se conclut par un état des lieux qu’on commit en référence dans la documentation interne.

# Inventaire des sites et leurs URL
Connect-PnPOnline -Url "https://exemple-admin.sharepoint.com" -Interactive
Get-PnPTenantSite -IncludeOneDriveSites:$false |
  Select-Object Url, Title, Template, StorageUsageCurrent, LastContentModifiedDate |
  Export-Csv -Path .\inventaire-sharepoint.csv -NoTypeInformation -Encoding UTF8

Le fichier exporté liste tous les sites SharePoint du locataire (hors OneDrive personnels), leur modèle (TeamSite, CommunicationSite), leur volumétrie actuelle en mégaoctets et la date de dernière modification de contenu. C’est le document de référence que l’on consulte lors d’un audit : une volumétrie aberrante signale un dépôt non conforme, une date de modification ancienne signale un site abandonné qu’on peut archiver. On ré-exécute la commande tous les trimestres pour suivre l’évolution.

Erreurs fréquentes

Erreur	Cause	Solution
Architecture en arborescence profonde de dossiers	Réflexe « serveur de fichiers »	Une bibliothèque par sujet, métadonnées au lieu de sous-dossiers
Permissions rompues à tous les niveaux	Demandes ad-hoc satisfaites au coup par coup	Audit trimestriel, retour à l’héritage chaque fois que possible
Liens anonymes partagés sans contrôle	Configuration par défaut trop permissive	`SharingCapability ExternalUserSharingOnly`
Site concentrateur jamais activé, navigation incohérente	Création des sites avant l’architecture	Toujours créer le concentrateur en premier, associer ensuite
Colonnes de métadonnées renommées plus tard	InternalName mal choisi à la création	Choisir un InternalName définitif, sans accent, en CamelCase
Sites créés directement par les utilisateurs sans nommage	Politique de groupes M365 non activée	Mettre en place la politique de nommage des groupes Microsoft 365

FAQ

Quand utiliser un site d’équipe et quand utiliser un site de communication ?

Site d’équipe lorsque tous les membres lisent et écrivent (services opérationnels, projets, groupes de travail). Site de communication lorsqu’un éditeur publie pour beaucoup de lecteurs (intranet, page d’accueil, politiques, modèles documentaires). Le mélange des deux dans le même site est techniquement possible mais brouille la lecture des permissions.

Doit-on stocker les pièces jointes Outlook dans SharePoint ?

Oui dès qu’une pièce jointe est destinée à plusieurs personnes. La méthode est d’utiliser la fonction Joindre depuis OneDrive ou SharePoint d’Outlook : le fichier reste dans son emplacement et c’est un lien qui circule. Cela évite la prolifération de versions divergentes et permet de tracer qui a modifié quoi.

Combien de sites SharePoint peut-on créer dans un locataire ?

La limite par défaut est de 2 000 000 sites par locataire ; aucune PME ne s’en approche. La vraie limite est la capacité à les gouverner. Au-delà de 100 sites, on bascule en mode catalogue et on suit chaque site avec un cycle de vie défini.

Que devient un site quand le groupe Microsoft 365 associé expire ?

Le site est mis à la corbeille en même temps que le groupe. Pendant 30 jours, un administrateur SharePoint peut tout restaurer via Get-SPODeletedSite et Restore-SPODeletedSite. Au-delà, les fichiers sont purgés définitivement, sauf si une politique de conservation Purview les retient.

Faut-il créer un site SharePoint pour les fichiers personnels d’un dirigeant ?

Non. Les fichiers personnels d’un individu — y compris d’un dirigeant — vont dans son OneDrive Entreprise. La règle est invariante : dès qu’un fichier doit être lu par une autre personne, il bascule dans SharePoint. Cette discipline protège la continuité d’activité ; elle est particulièrement importante sur les comptes de direction qu’on ne renouvellera pas à l’identique.

Structurer SharePoint Online : sites, bibliothèques, permissions