Étiquette de confidentialité non appliquée : dépannage et solutions pour Microsoft 365 et Power BI

By Mirko Peters · 2026-04-21

Automatically translated with AI from the original post. Read the English original

Cover: Build Audit-Ready Document Management with SharePoint and Purview

Cet article analyse en détail les raisons pour lesquelles les étiquettes de confidentialité peuvent ne pas s’appliquer comme prévu dans Microsoft 365, Power BI et les applications associées. Si vous êtes confronté à des options d’étiquette manquantes, à un échec de l’étiquetage automatique ou à des problèmes de configuration persistants, vous êtes au bon endroit. Nous passerons en revue des étapes de dépannage concrètes, nous signalerons les exigences de licence et de configuration, et nous mettrons en évidence les obstacles les plus fréquents rencontrés par les équipes informatiques et les utilisateurs de Power BI sur le terrain.

Attendez-vous à des réponses directes, à des listes claires de points à vérifier et à des conseils pour les problèmes avancés qui laissent perplexes même les experts. Que vous assistiez des utilisateurs au quotidien ou que vous déployiez des stratégies de sécurité à l’échelle de l’entreprise, vous trouverez ici des pistes et des solutions pour garder vos données sensibles verrouillées et votre équipe conformité sereine. Si vous avez soupçonné qu’un « paramètre unique pour tout gouverner » n’existe pas, cette ressource vous montrera exactement où chercher ensuite.

Comprendre les étiquettes de confidentialité et les échecs d’application courants

Les étiquettes de confidentialité sont devenues une pierre angulaire de la sécurité des données dans le Microsoft 365 d’aujourd’hui. Avec des menaces cyber de plus en plus insidieuses et davantage de données qui migrent vers SharePoint, OneDrive et Power BI, il est essentiel de comprendre ce que font réellement les étiquettes de confidentialité, et à quoi ressemble leur dysfonctionnement.

Microsoft Purview permet aux organisations de classifier et de protéger les fichiers, les courriers électroniques et même le contenu Power BI grâce aux données de sensibilité. Mais le fait que les étiquettes soient configurées ne garantit pas qu’elles fonctionnent toujours comme vous le souhaitez. Des surprises peuvent survenir : boutons qui disparaissent, étiquettes par défaut qui ne s’appliquent pas, ou certains fichiers et utilisateurs laissés de côté.

Cette section commence par les bases : à quoi servent les étiquettes de confidentialité, pourquoi elles sont si essentielles pour la conformité réglementaire et la protection de la vie privée, et les signes les plus courants indiquant qu’un problème se cache en profondeur. Vous découvrirez les principaux schémas de défaillance, depuis le simple « l’étiquette n’apparaît pas » jusqu’à des problèmes plus délicats comme les difficultés d’héritage ou une automatisation défaillante, en particulier dans Power BI ou dans les environnements collaboratifs SharePoint et OneDrive.

Si vous vous êtes déjà demandé « pourquoi cela ne fonctionne-t-il pas ? », restez avec nous. Les sous-sections suivantes détailleront les signes d’alerte courants, les définitions de base et les principaux responsables des échecs de l’étiquetage automatique (y compris ceux que vous ne voyez pas venir). À la fin, vous disposerez des bases nécessaires pour repérer et résoudre les problèmes d’étiquettes de confidentialité dans votre écosystème Microsoft.

Qu’est-ce qu’une étiquette de confidentialité et comment doit-elle fonctionner ?

Une étiquette de confidentialité est un marqueur que vous pouvez appliquer aux fichiers, aux courriers électroniques et à divers contenus cloud dans Microsoft 365 afin de classifier, de protéger et de contrôler l’utilisation des informations. Ces étiquettes sont gérées via Microsoft Purview et contribuent à garder sous clé les données sensibles, comme les données financières, les informations clients ou la propriété intellectuelle.

Une fois appliquées, les étiquettes de confidentialité peuvent chiffrer automatiquement le contenu, restreindre les personnes autorisées à accéder à un fichier ou à le modifier, et même déclencher des notifications en cas de manipulation inappropriée des données. Que vous travailliez dans Outlook, Word, Teams, SharePoint ou Power BI, les étiquettes agissent à la fois comme un signal visible et comme un bouclier invisible, qui accompagne le document ou le message où qu’il aille.

Les étiquettes peuvent être définies par les utilisateurs (étiquetage manuel) ou déclenchées automatiquement selon des règles prédéfinies (étiquetage automatique). L’objectif est un flux de travail fluide : une fois l’étiquette en place, les stratégies de sécurité et de conformité entrent en action en coulisse, offrant à l’organisation une tranquillité d’esprit où que le fichier se retrouve.

Elles sont absolument centrales dans les stratégies réglementaires, en fournissant des contrôles essentiels pour les audits de conformité et la défense juridique. Si votre objectif est d’éviter le chaos documentaire et de maîtriser les risques, la mise en place d’un solide programme d’étiquetage de confidentialité avec Microsoft Purview constitue une étape fondamentale. Pour des conseils pratiques sur la protection des fichiers dans SharePoint et Teams, écoutez cette discussion sur comment mettre fin au chaos documentaire avec votre bouclier Purview.

Problèmes courants liés aux étiquettes de confidentialité et points de vigilance

Étiquettes non affichées : Les options d’étiquetage attendues n’apparaissent pas dans des applications comme Word, Excel ou Power BI, souvent en raison de stratégies mal configurées ou de problèmes d’accès des utilisateurs.
Bouton d’étiquette grisé : Les utilisateurs voient le bouton d’étiquette de confidentialité, mais ne peuvent pas le sélectionner. Cela peut venir de licences manquantes, d’un client obsolète ou de conflits avec les stratégies du locataire.
Étiquettes non héritées : Le contenu dérivé (exports, rapports ou fichiers partagés) n’hérite pas de l’étiquette de confidentialité de l’élément parent, généralement parce que l’héritage ne fonctionne pas comme prévu ou n’est pas pris en charge dans ce scénario.
Échec de l’étiquetage automatique : Les étiquettes configurées pour s’appliquer par défaut ou en fonction de mots-clés ne sont pas appliquées au nouveau contenu, ce qui révèle des problèmes de synchronisation ou une configuration inadéquate des stratégies d’étiquetage.
Lacunes dans l’application des étiquettes : Les utilisateurs travaillent avec du contenu protégé, mais le chiffrement ou les protections d’accès ne se déclenchent pas. Les données sont alors exposées à un risque, ce qui signale une défaillance dans les paramètres d’application.

Pourquoi mon étiquette de confidentialité ne s’applique-t-elle pas automatiquement ?

Les stratégies d’étiquetage automatique ne sont pas correctement ciblées. Si vous avez configuré des stratégies dans Microsoft Purview sans inclure les utilisateurs, groupes ou emplacements exacts, ces étiquettes ne s’appliqueront pas, même si le paramétrage semble correct à première vue.
Les limitations de licences bloquent les étiquettes. Les utilisateurs qui ne disposent pas des licences Microsoft 365 ou Purview adéquates ne voient pas les étiquettes, et l’étiquetage automatique ne fonctionne pas pour eux. Par exemple, Power BI Pro ou Premium Par utilisateur est souvent nécessaire pour un étiquetage efficace dans Power BI.
Les délais de synchronisation des stratégies faussent les résultats. Lorsque vous modifiez une stratégie ou ajoutez une nouvelle étiquette, il peut s’écouler de quelques heures à plusieurs jours avant que ces changements ne s’appliquent à tous les appareils et clients. Tant que la synchronisation n’est pas terminée, l’étiquetage automatique peut simplement ne pas se déclencher.
L’héritage en aval n’est pas pris en charge ou est mal configuré. Même si l’option « héritage en aval activé » est cochée dans Power BI, tous les exports, rapports ou modèles ne permettent pas une propagation correcte. Certains types de contenu, comme les rapports paginés ou certains fichiers exportés, n’héritent pas automatiquement de l’étiquette parente.
Le contexte de l’appareil ou de connexion restreint l’application des étiquettes. Les stratégies d’accès conditionnel ou Intune limitent souvent l’utilisation des étiquettes sur les appareils non gérés ou non conformes. Ainsi, même un étiquetage automatique bien configuré peut échouer silencieusement si les appareils ne répondent pas aux exigences.
Cache local ou corruption des métadonnées dans les applications de bureau. Il arrive que les clients Office ou Power BI Desktop conservent des listes d’étiquettes obsolètes. Les règles d’étiquetage automatique nouvelles ou modifiées ne sont alors ni affichées ni appliquées tant que le cache n’a pas été vidé ou l’application redémarrée.
Problèmes d’autorisations avec les utilisateurs B2B ou invités. Les invités ou utilisateurs externes ne peuvent souvent ni appliquer, ni voir, ni hériter des étiquettes, même avec un accès en modification, en raison des limites inter-locataires, des stratégies ou des licences.

En cas de doute, l’audit de l’activité des utilisateurs, comme dans ce guide sur l’audit Purview, peut vous aider à identifier où l’automatisation et l’héritage dysfonctionnent.

Prérequis de licences et de configuration pour les étiquettes de confidentialité

Avant de pouvoir compter sur un fonctionnement fluide des étiquettes de confidentialité dans Microsoft 365 et Power BI, il faut disposer des bases appropriées. Cela signifie s’assurer que vos licences, paramètres de locataire et configurations de services sont correctement alignés. Il suffit d’une seule exigence manquante pour empêcher les utilisateurs de voir ou d’appliquer des étiquettes, même si les stratégies semblent parfaites dans le Centre d’administration.

Cette section explore la « tuyauterie » sous-jacente du système d’étiquetage : quels produits et quels rôles nécessitent des licences premium, quels types d’autorisations sont requis pour afficher ou utiliser les étiquettes, et comment les stratégies d’étiquetage sont délimitées pour atteindre les bons utilisateurs et services. Vous verrez également pourquoi négliger ces étapes conduit souvent à des fonctionnalités introuvables, des boutons inactifs ou une expérience d’étiquetage incohérente d’une application à l’autre.

Si vous dépannez des problèmes d’étiquettes ou si vous préparez un déploiement à grande échelle, il est indispensable de passer en revue ces exigences de licences et de configuration. Les sous-sections suivantes détaillent chaque élément afin que vous sachiez exactement quoi vérifier avant d’aborder les problèmes techniques plus poussés. Pour mieux comprendre les difficultés cachées de la conformité et de l’application des stratégies, consultez cet article détaillé sur la dérive de conformité dans Microsoft 365.

Exigences de licences pour afficher et appliquer des étiquettes de confidentialité

Licences Microsoft Purview Information Protection (MIP) : l’étiquetage de confidentialité dans Microsoft 365 nécessite, pour chaque utilisateur qui doit afficher, appliquer ou appliquer automatiquement des étiquettes, l’une des licences suivantes :

Microsoft 365 E5, A5 ou G5
Microsoft 365 E3 avec le module complémentaire Information Protection and Governance
Azure Information Protection P1/P2 ou un ensemble comparable
Exigences propres aux applications : pour Power BI, une licence Pro ou Premium Par utilisateur (PPU) est requise pour créer, appliquer et hériter d’étiquettes de confidentialité sur les fichiers PBIX ou sur le contenu des espaces de travail.
Les utilisateurs qui se contentent de consulter du contenu étiqueté dans Power BI (sans créer ni modifier d’étiquettes) peuvent nécessiter une licence de niveau inférieur, selon la configuration de l’espace de travail.
Licences pour les administrateurs et l’automatisation : les administrateurs qui créent et gèrent les étiquettes de confidentialité dans le portail Purview doivent également disposer de la licence appropriée, et peuvent avoir besoin d’autorisations supplémentaires pour l’automatisation via PowerShell ou l’API REST.
Lacunes fréquentes : dans les environnements à licences mixtes, les utilisateurs perdent souvent l’accès aux étiquettes ou à l’étiquetage automatique lorsque leur niveau de licence est insuffisant ou mal attribué.
Les invités B2B et les principaux de service nécessitent généralement une configuration particulière, car la plupart des licences Microsoft 365 sont attribuées par utilisateur et ne couvrent pas automatiquement ces scénarios. L’accès aux données, leur propriété et leur gouvernance jouent ici un rôle important.

Comment créer une étiquette de confidentialité et définir son périmètre

Ouvrez le portail Microsoft Purview - Accédez d’abord au centre de conformité Purview et sélectionnez « Protection des informations » sous Gestion du cycle de vie des données.
Créez une nouvelle étiquette et définissez ses propriétés - Donnez à l’étiquette un nom et une description clairs, puis choisissez le périmètre approprié (fichiers, courriers électroniques, contenu Power BI ou tous). Définissez les protections à appliquer : chiffrement, filigrane et autorisations d’accès.
Définissez le ciblage de la stratégie d’étiquetage - Déterminez qui peut voir et utiliser l’étiquette en ciblant des utilisateurs, des groupes spécifiques ou tous les titulaires de compte. Vérifiez les affectations pour vous assurer que l’étiquette apparaît là où elle est nécessaire et qu’elle n’est pas masquée par inadvertance.
Configurez l’étiquetage par défaut et obligatoire - Activez l’étiquetage par défaut lorsque vous souhaitez que tous les nouveaux documents bénéficient d’un niveau de protection donné. Définissez l’étiquetage obligatoire pour exiger que les utilisateurs appliquent une étiquette avant d’enregistrer ou d’envoyer un contenu.
Publiez et suivez le déploiement - Une fois vos paramètres validés, publiez la stratégie et informez vos utilisateurs. Examinez régulièrement l’adoption et les statistiques des contenus étiquetés pour repérer les erreurs éventuelles, un sujet également abordé dans ce guide sur la gestion documentaire prête pour l’audit.

Dépannage de l’application des étiquettes de confidentialité dans Power BI

Power BI présente ses propres difficultés en matière d’étiquettes de confidentialité, un constat qui déroute même les administrateurs expérimentés. Vous avez peut-être tout correctement configuré dans Microsoft Purview et dans l’ensemble de votre locataire Microsoft 365, et Power BI vous réserve tout de même de nouveaux défis. Ceux-ci vont du bouton d’étiquette grisé sans explication à des fichiers PBIX protégés qui refusent de s’ouvrir ou de se publier.

Parmi les autres points sensibles figurent les étiquettes par défaut ou obligatoires qui ne s’appliquent pas comme prévu, les transferts entre Power BI Desktop et le service qui rompent l’héritage des étiquettes, ou les rapports exportés qui perdent leurs protections essentielles. Des scénarios particuliers impliquant les invités B2B, la sécurité au niveau des lignes ou l’accès au contenu peuvent aussi compliquer vos plans de gouvernance.

Cette section recense les principaux problèmes d’étiquettes de confidentialité dans Power BI que vous êtes susceptible de rencontrer. Chaque sous-titre explore les causes réelles et les solutions de problèmes tels que les commandes grisées, l’application incomplète des stratégies ou l’impossibilité de travailler avec des fichiers protégés ou des paramètres de sécurité renforcés. Ne vous inquiétez pas : nous ne nous contentons pas de réciter des messages d’erreur. Notre objectif est de vous aider à combler les lacunes afin que votre stratégie de conformité et de sécurité reste sur les rails. Vous souhaitez une vue d’ensemble de la gouvernance ? Découvrez les limites des contrôles inefficaces dans l’illusion de la gouvernance Fabric.

Pourquoi le bouton d’étiquette de confidentialité est grisé ou absent dans Power BI

Version obsolète de Power BI Desktop : la fonctionnalité d’étiquettes nécessite la dernière version du client Desktop. Si vous utilisez une ancienne version, le bouton peut ne pas s’afficher du tout.
Licence manquante ou portée de stratégie insuffisante : il faut Power BI Pro, Premium Par utilisateur ou la licence Microsoft Purview appropriée. Sans licence, aucune option d’étiquette.
Fichier PBIX stocké dans un emplacement non pris en charge : certaines fonctionnalités ne fonctionnent qu’avec des fichiers enregistrés dans OneDrive ou SharePoint, et non sur un disque local.
Stratégie d’étiquettes du locataire non publiée ou ne ciblant pas votre utilisateur : si l’administrateur ne vous a pas inclus, vous ou l’espace de travail, dans la stratégie, les étiquettes seront absentes.
Connectivité Internet ou mode hors connexion : les fonctionnalités d’étiquettes reposent sur la synchronisation des stratégies dans le cloud. Si vous êtes hors connexion, les étiquettes risquent de ne pas apparaître.

Application obligatoire et étiquetage par défaut non respectés dans les fichiers PBIX Power BI

Étiquette obligatoire ou par défaut du locataire non configurée : Power BI nécessite des paramètres de locataire spécifiques pour l’application ; l’absence de ces options laisse les fichiers PBIX sans étiquette.
Remplacement manuel de l’étiquette activé : si les utilisateurs peuvent supprimer ou modifier les étiquettes, l’application est contournée malgré des paramètres apparemment « obligatoires ».
Exclusions d’espaces de travail : l’application ne peut être limitée qu’à certains espaces de travail ; les autres passent entre les mailles si elles ne sont pas incluses.
Décalage de synchronisation entre Desktop et le service : un contenu nouvellement publié ou créé peut ne pas recevoir immédiatement l’étiquette en raison des délais de traitement en arrière-plan.

Problèmes liés aux fichiers PBIX protégés et à l’accès au contenu

Le chiffrement bloque les opérations sur le fichier : si un PBIX est protégé par une étiquette avec chiffrement, les utilisateurs peuvent être empêchés de l’ouvrir, de l’enregistrer ou de le publier, sauf s’ils sont affectés au groupe d’accès approprié.
Restrictions pour les utilisateurs B2B et invités : les collaborateurs externes ne peuvent généralement ouvrir ou modifier un contenu protégé que si leurs comptes sont explicitement inclus dans la stratégie d’accès de l’étiquette ; sinon, les fichiers ne se chargent pas ou ne peuvent pas être publiés.
Obstacles liés aux principaux de service et à l’automatisation : les processus automatisés utilisant des principaux de service ne peuvent pas toujours appliquer ou supprimer des étiquettes, en raison de scénarios non pris en charge ou d’autorisations RBAC manquantes.
Fichiers hérités incompatibles : les fichiers PBIX créés ou enregistrés avec d’anciennes versions de Power BI Desktop peuvent ne pas fonctionner avec les protections d’étiquettes récentes, ce qui provoque des erreurs d’importation ou d’accès.
Erreurs d’enregistrement et de publication pour le stockage local : si un fichier PBIX est enregistré sur un stockage local ou un emplacement non cloud, les protections des étiquettes de confidentialité ne suivent pas le fichier, ce qui provoque des échecs d’accès sur d’autres appareils ou dans le service Power BI.
Incohérences de configuration du locataire : les écarts entre les paramètres de Microsoft Purview et ceux du locataire Power BI peuvent bloquer la synchronisation des étiquettes, générant des erreurs « fonctionnalité manquante » ou des échecs d’accès aux fichiers protégés.
Échecs de la sécurité au niveau des lignes et de la liaison avec la source de données : lorsque la sécurité au niveau des lignes est combinée à des fichiers protégés, l’exportation et l’accès échouent, sauf si les rôles et les stratégies d’étiquettes correspondent parfaitement. Pour les bonnes pratiques en la matière, consultez la mise en œuvre de la sécurité au niveau des lignes dans Power BI.

Problèmes d’héritage en aval et de propagation des étiquettes

Dans un monde idéal, une fois qu’une étiquette de confidentialité est appliquée à un jeu de données ou à un rapport, chaque fichier enfant ou élément exporté devrait porter ce même « badge » de sécurité, où qu’il aille. La réalité ? L’héritage en aval n’est pas aussi infaillible que beaucoup le pensent, en particulier lors des exportations, pour les rapports paginés et lorsque le contenu est remanié dans Power BI ou dans d’autres applications.

Nous posons ici le contexte dans lequel la propagation des étiquettes atteint généralement ses limites. Certaines défaillances sont techniques (par exemple, des types de fichiers non pris en charge), tandis que d’autres relèvent purement de la stratégie (par exemple, un héritage non configuré ou écrasé par des options d’exportation). C’est un jeu complexe de suivi en cascade : dès que l’héritage est rompu, vos contenus sensibles ne bénéficient plus de la protection attendue.

Les sous-sections suivantes expliquent précisément pourquoi certaines feuilles Excel exportées ou certains rapports Power BI perdent leur étiquette de confidentialité, alors qu’il s’agit de « contenus en aval ». Nous abordons également l’univers particulier des rapports paginés et l’héritage des étiquettes basé sur les modèles, afin que vous sachiez à quoi être attentif et où concentrer vos efforts de dépannage pour obtenir l’amélioration globale la plus significative.

Pourquoi les contenus en aval n’héritent pas des étiquettes de confidentialité

Formats d’exportation non pris en charge : de nombreux exports en aval, comme les fichiers CSV ou PDF issus de Power BI, ne conservent pas les étiquettes de confidentialité d’origine, car le format ne prend pas en charge les métadonnées d’étiquette.
Héritage non activé pour tous les types de contenu : même lorsque l’option « héritage en aval » est activée dans vos paramètres Purview, seuls les types de fichiers et les flux de données pris en charge y participent. Les rapports paginés et certains rapports hybrides rompent souvent cette chaîne.
Contournements manuels lors de l’exportation : si les utilisateurs choisissent « Télécharger sans étiquette » ou utilisent des outils tiers, les étiquettes héritées ne sont pas conservées.
Erreurs de configuration des stratégies : des lacunes dans le périmètre d’application des stratégies d’étiquettes ou dans la configuration du locataire permettent à certains fichiers ou exports de passer entre les mailles et d’échapper aux règles de propagation des étiquettes.
Délai de synchronisation côté application cliente : si les données d’étiquettes n’ont pas été actualisées dans l’application, les étiquettes nouvellement créées ou héritées peuvent ne pas s’afficher avant la prochaine propagation de la stratégie.

Défaillances de l’héritage des rapports paginés et des étiquettes basé sur les modèles

Les rapports paginés ne disposent pas de mécanismes d’héritage appropriés : lorsqu’un rapport paginé est basé sur un jeu de données étiqueté, l’héritage n’est pas toujours automatique, en particulier si la connexion est indirecte ou si les sources de données ne tiennent pas compte des étiquettes.
Les contenus exportés à partir de rapports paginés perdent leurs étiquettes : les exports PDF, CSV ou Excel issus de rapports paginés ne conservent souvent pas du tout les étiquettes de confidentialité, en raison des limites du processus d’exportation.
Isolement des sources de données et des modèles : si le modèle de votre rapport s’appuie sur plusieurs sources, étiquetées et non étiquetées, les règles d’héritage deviennent floues, ce qui conduit à un repli sur une autre étiquette, voire à l’absence totale d’étiquette.
Problèmes liés aux connecteurs personnalisés : les rapports utilisant des connecteurs personnalisés ou des API externes peuvent ne pas transmettre les métadonnées d’étiquette, ce qui interrompt la propagation automatique.
Lacunes de stratégie pour les sources hybrides : les environnements hybrides (combinant on-premise et cloud) ou l’utilisation de plusieurs locataires se traduisent souvent par des incohérences de stratégie, où l’héritage n’est tout simplement ni appliqué ni pris en charge.
Solution de contournement recommandée : passez régulièrement en revue vos stratégies Purview et vos paramètres d’exportation Power BI. Incitez les utilisateurs à appliquer manuellement une étiquette au modèle et à tous les rapports dérivés lorsque c’est possible, et surveillez les exports non étiquetés : ne vous fiez jamais uniquement à l’héritage automatique, car cela reste risqué. Pour une vision approfondie de la gouvernance, consultez cette ressource sur la gouvernance de Microsoft Fabric.

Sécurité, protection et intégration avec Defender for Cloud Apps

Les étiquettes de confidentialité ne se limitent pas à apposer une simple étiquette sur un fichier : elles apportent une réelle puissance en matière de sécurité avancée, notamment le chiffrement et l’application automatique de la protection sur les appareils et les services cloud. Mais plus ces paramètres de protection gagnent en puissance, plus la complexité augmente pour les équipes informatiques chargées de faire en sorte que l’ensemble fonctionne de concert.

Cette section examine comment les paramètres de protection et de chiffrement associés aux étiquettes de confidentialité influencent les contenus dans Microsoft 365, Power BI et les outils intégrés tels que Microsoft Defender for Cloud Apps. Lorsqu’une étiquette ajoute un chiffrement à un fichier, elle modifie qui peut accéder à un document, le modifier, et même le voir, ce qui peut parfois entraîner de nouvelles difficultés de dépannage si les éléments ne sont pas parfaitement alignés.

Nous verrons également comment surveiller la conformité des contenus étiquetés, auditer les accès ou déclencher des alertes en cas d’activité suspecte, à l’aide des outils disponibles dans Defender for Cloud Apps et Purview. Considérez-le comme une boîte à outils pour une gestion proactive des risques et une meilleure visibilité. Si vous souhaitez en savoir plus sur la prévention de la dérive de conformité et l’intégration des rapports, consultez comment surveiller la conformité avec Defender for Cloud.

Comment les paramètres de protection et le chiffrement influencent le comportement des étiquettes

Lorsque vous attribuez une étiquette de confidentialité avec chiffrement, vous appliquez un nouveau jeu de règles qui accompagne le contenu, quel que soit l’endroit où il se trouve. Pour les documents et les e-mails, le chiffrement contrôle qui peut ouvrir, imprimer ou transférer les fichiers, en appliquant des limitations d’accès y compris en dehors de votre organisation.

Ces protections peuvent bloquer la modification ou l’accès si un utilisateur n’est pas couvert par la stratégie de l’étiquette. Pour les fichiers Power BI PBIX, le chiffrement peut empêcher les utilisateurs de publier ou d’enregistrer du contenu, sauf s’ils font partie du groupe autorisé. Dans les situations de collaboration, comme le partage externe ou les partenariats B2B, les étiquettes à protection élevée peuvent même bloquer des utilisateurs pourtant privilégiés.

Certains paramètres d’étiquette peuvent également désactiver des fonctionnalités d’application. Par exemple, si un fichier a été chiffré, vous pourriez perdre la possibilité de le prévisualiser dans SharePoint ou Teams. Et dans Power BI, la sécurité au niveau des lignes et les étiquettes de confidentialité doivent fonctionner ensemble, faute de quoi des dysfonctionnements peuvent survenir, en particulier pour l’accès sur mobile ou dans les scénarios intégrés.

Les paramètres de protection sont également étroitement liés à d’autres fonctionnalités de sécurité, comme l’accès conditionnel, Microsoft Defender ou les règles DLP. Ces intégrations permettent à un fichier marqué comme sensible de déclencher des alertes, de bloquer les comportements à risque ou, si nécessaire, de verrouiller entièrement le contenu. Pour en savoir plus sur la manière dont tous ces éléments s’associent pour sécuriser votre espace de travail sans gêner vos utilisateurs, consultez cette analyse approfondie de la sécurité Microsoft 365.

Surveiller les étiquettes de confidentialité avec Defender for Cloud Apps

Audit des activités liées aux étiquettes : Defender for Cloud Apps et Microsoft Purview suivent les actions liées aux étiquettes, ce qui permet de repérer rapidement les suppressions non autorisées ou les échecs d’attribution d’étiquettes.
Configuration des stratégies et des alertes : Configurez des alertes pour informer les équipes de sécurité chaque fois que des informations sensibles sont consultées, téléchargées ou partagées en dehors des limites définies par les stratégies.
Découverte de contenu à grande échelle : Utilisez la découverte automatisée pour identifier les contenus non protégés ou vérifier la conformité aux stratégies d’étiquettes sur l’ensemble de votre environnement cloud.
Suivi continu de la conformité : Surveillez les dérives de conformité et bénéficiez d’options de remédiation automatisées, comme le détaille en profondeur ce guide sur la conformité avec Defender for Cloud.

Scénarios avancés et limites propres à chaque environnement

La plupart des organisations utilisent les étiquettes de confidentialité dans des configurations Microsoft 365 classiques. Mais si vous vous aventurez dans les clouds souverains, le partage inter-locataires (B2B) ou l’automatisation des actions sur les étiquettes via des API ou des comptes de service, vous entrez dans un tout autre univers. Ces scénarios avancés introduisent leurs propres limites, parfois techniques, parfois liées aux stratégies, qui peuvent mettre à mal vos meilleures intentions en matière d’étiquettes de confidentialité.

Cette section présente ce qu’il faut anticiper dans les environnements spécialisés. Vous découvrirez les cas où l’étiquetage ne fonctionne tout simplement pas (ou nécessite une configuration supplémentaire importante), notamment pour les locataires des clouds US Government ou allemand, la collaboration avec des utilisateurs B2B externes et les scripts d’automatisation utilisant des principaux de service. Ces situations peuvent vous laisser perplexe, à vous demander pourquoi les fonctionnalités d’étiquetage disparaissent ou échouent silencieusement.

Chaque sous-thème signale des restrictions spécifiques et recommande des stratégies pour contourner ou réduire ces obstacles. C’est particulièrement pertinent si vous évoluez dans des secteurs réglementés ou si vous gérez plusieurs locataires, et si vous devez combler les failles tout en restant prêts pour un audit. Vous vous demandez quels sont les risques de conformité liés aux comptes invités non gérés ? Consultez cette analyse sur la gestion du cycle de vie des comptes invités.

Étiquettes de confidentialité dans les clouds souverains et la collaboration B2B

Restrictions des clouds souverains : les versions de Microsoft 365 destinées au gouvernement américain et au cloud allemand ne disposent souvent pas de l’intégralité de l’étiquetage de confidentialité, ou ne prennent en charge qu’un sous-ensemble limité de fonctionnalités par rapport aux locataires mondiaux.
Lacunes pour les utilisateurs externes et B2B : les invités B2B ne peuvent souvent ni voir ni appliquer les étiquettes, même avec des droits de modification, sauf si la stratégie d’étiquetage les inclut explicitement ou si le locataire active l’accès inter-locataires.
Dérive des stratégies en environnement collaboratif : les stratégies définies dans un locataire ne suivent pas forcément les fichiers qui franchissent les frontières entre locataires, ce qui entraîne la perte des étiquettes ou l’application de paramètres peu sécurisés par défaut.
Solutions de contournement : appliquez les étiquettes manuellement, formez les collaborateurs externes et revoyez le ciblage de vos stratégies afin de couvrir plus complètement les utilisateurs invités et partenaires.

Automatiser les étiquettes de confidentialité avec les API REST et les principaux de service

Limites des points de terminaison d’API : certains points de terminaison de l’API REST ne permettent pas encore de lire ou d’écrire les métadonnées des étiquettes, en particulier dans Power BI ou SharePoint.
Problèmes d’autorisations et de RBAC : les principaux de service ont besoin à la fois du bon rôle Azure et des autorisations déléguées pour gérer les étiquettes, ce qui complique la configuration.
Automatisation de l’hygiène des étiquettes : utilisez PowerShell ou l’API Graph pour les attributions (ou suppressions) d’étiquettes en masse, mais testez toujours les particularités dans votre environnement, car les comptes de service ne peuvent pas reproduire toutes les actions manuelles des utilisateurs.
Messages d’erreur non documentés : les échecs inexpliqués sont fréquents avec l’automatisation ; journalisez donc tout et consultez régulièrement la documentation de l’API ainsi que les mises à jour récentes. Les bonnes pratiques d’automatisation pour la gouvernance de Microsoft 365 évoluent, comme le montrent ces éléments sur l’automatisation PowerShell (si disponibles).

Limites liées au contexte de l’utilisateur et de l’appareil qui affectent l’application des étiquettes de confidentialité

Il arrive que les étiquettes de confidentialité échouent non pas parce que votre licence ou votre configuration d’administration est incorrecte, mais à cause du contexte dans lequel l’utilisateur travaille. La conformité de l’appareil, l’accès conditionnel et l’état de connexion peuvent bloquer les fonctionnalités d’étiquetage sans le moindre avertissement ni message d’erreur visible.

Cette section traite des problèmes que l’on ne découvre qu’en lisant les petits caractères : par exemple un utilisateur qui se connecte depuis un ordinateur portable non géré, ou un invité qui ne voit tout simplement pas les options d’étiquetage, quelle que soit la configuration de ses autorisations. Ces blocages sont souvent contrôlés par Intune (pour la conformité des appareils) et par les stratégies d’accès conditionnel Azure, qui peuvent appliquer des contrôles plus stricts aux invités, aux appareils non conformes ou aux scénarios de partage externe.

Nous détaillerons les stratégies qui désactivent silencieusement les étiquettes, ainsi que la manière de diagnostiquer la situation lorsque toutes vos configurations apparentes semblent correctes. Il ne s’agit pas seulement de documents : cela concerne Power BI, Teams, Outlook et tous les endroits où les étiquettes devraient apparaître sans le faire. Si vous souhaitez revoir les détails de l’intégration de la confiance dans vos stratégies d’accès conditionnel, consultez ce guide sur les stratégies d’accès conditionnel axées sur la confiance.

Accès conditionnel, conformité des appareils et disponibilité des étiquettes

Application de la conformité des appareils : l’accès conditionnel et Intune peuvent exiger que les appareils soient conformes (gérés, chiffrés ou inscrits) avant d’autoriser toute action sur les étiquettes dans les applications Office ou Power BI.
Blocage pour les appareils non gérés : si un utilisateur se connecte depuis un appareil qui n’est pas contrôlé par Intune ou Microsoft Entra ID, l’option d’application des étiquettes de confidentialité peut disparaître ou apparaître grisée, sans message d’erreur explicite.
Contexte d’authentification personnalisé : les stratégies d’accès conditionnel qui exigent l’authentification multifacteur ou des règles basées sur la localisation peuvent limiter l’étiquetage à certains scénarios seulement : l’étiquetage échoue si la session n’est pas entièrement approuvée.
Diagnostic : les administrateurs doivent examiner les affectations des stratégies d’accès conditionnel ainsi que les journaux de connexion. Si les actions sur les étiquettes échouent uniquement pour certains utilisateurs, la cause probable est un défaut de conformité des appareils ou des stratégies trop restrictives. Pour les scénarios les plus complexes, une boucle de contrôle de la dérive des stratégies de sécurité d’identité peut s’avérer indispensable ; consultez les bonnes pratiques dans cet épisode consacré à la sécurité de Microsoft Entra ID.

Restrictions applicables aux invités et aux utilisateurs externes avec les étiquettes de confidentialité

Pas de prise en charge des étiquettes par défaut : les collaborateurs B2B et externes ne peuvent souvent ni appliquer ni même voir les étiquettes, sauf si les stratégies d’étiquetage incluent explicitement leurs identités ou leurs domaines externes.
Lacunes en matière de stratégies et d’autorisations : même avec des droits de modification, les invités peuvent ne pas disposer de la prise en charge des étiquettes, en raison de paramètres par défaut restrictifs du locataire ou d’une absence d’attribution de licence.
Risques de sécurité liés aux comptes invités inactifs : les comptes invités obsolètes ou non gérés peuvent contourner les stratégies ou perdre totalement l’application des étiquettes ; auditez et restreignez le cycle de vie des invités comme décrit dans cet avertissement sur les comptes invités.
Recommandations de configuration : examinez régulièrement le ciblage des étiquettes, limitez dans le temps l’accès des invités et veillez à inclure les invités lorsque c’est nécessaire, tout en maintenant des revues d’accès rigoureuses pour la conformité.

Échecs d’application des étiquettes dus à la mise en cache des applications et aux délais de synchronisation des stratégies

Voici un point que de nombreux guides passent sous silence : les problèmes côté application liés à la mise en cache des étiquettes ou à une synchronisation lente des stratégies peuvent empêcher les étiquettes de confidentialité d’apparaître ou de se mettre à jour, quelle que soit la justesse apparente de votre configuration d’administration. Ces problèmes sont particulièrement fréquents dans les applications de bureau Office et dans Power BI Desktop, où les métadonnées locales ou les fichiers de cache deviennent « obsolètes » après une modification de stratégie.

Lorsqu’une mise à jour de stratégie n’a pas atteint votre application, vous pouvez constater que les nouvelles étiquettes de confidentialité n’apparaissent pas, que les anciennes restent bloquées ou que d’anciennes règles d’étiquetage automatique continuent de s’appliquer. Les utilisateurs peuvent alors se retrouver dans l’impasse, en pensant « c’est seulement moi », alors qu’il s’agit en réalité d’un problème généralisé de synchronisation des stratégies ou de cache.

Cette section présente la manière de traiter ces problèmes techniques internes, comme la purge du cache des étiquettes et la compréhension des délais de propagation des stratégies entre appareils et plateformes. Si vous (ou vos utilisateurs) constatez des anomalies d’étiquettes après une modification de stratégie par un administrateur, c’est la première chose à vérifier avant de solliciter le support.

Vider le cache des étiquettes de confidentialité dans les applications de bureau Office

Fermez toutes les applications Office, notamment Word, Excel et Outlook. Ouvrez le Gestionnaire des tâches et vérifiez qu’aucun processus Office ne fonctionne encore.
Accédez à l’emplacement du cache des étiquettes : rendez-vous dans %localappdata%\Microsoft\MSIP et/ou %localappdata%\Microsoft\Office\16.0\LabeledDocuments (pour les versions Office 365).
Supprimez ou renommez les dossiers de cache, y compris les sous-dossiers « Policy » ou « Labels », selon le cas. Cela purge les métadonnées d’étiquettes obsolètes ou corrompues pour les applications Office.
Redémarrez votre application Office. Elle récupérera automatiquement les stratégies d’étiquetage depuis le cloud et intégrera immédiatement les étiquettes de confidentialité nouvelles ou mises à jour.
Scénarios d’utilisation : cette procédure est indispensable après une modification des stratégies d’étiquetage, lors de la mise à jour des catalogues d’étiquettes, ou si de nouvelles étiquettes n’apparaissent pas dans le sélecteur d’étiquettes. C’est une solution rapide à tenter avant d’approfondir les vérifications techniques.

Comprendre les délais de propagation des stratégies selon les clients

Applications de bureau Office : comptez jusqu’à 24 heures pour que les nouvelles stratégies ou étiquettes se propagent, en particulier après des modifications importantes dans le portail Purview.
Applications web (Office Online, Power BI Service) : les mises à jour de stratégie s’appliquent plus rapidement, souvent en 1 à 2 heures, mais le cache résiduel du navigateur peut retarder leur affichage.
Clients mobiles et hybrides : les applications mobiles peuvent mettre en cache les données de stratégie plus longtemps. Forcer une déconnexion puis une reconnexion peut accélérer l’actualisation.
Comment vérifier : comparez les listes d’étiquettes dans Office de bureau, sur le web et dans Power BI pour repérer les retards de synchronisation. Si les délais persistent, faites remonter le problème à votre administrateur informatique afin qu’il examine l’état de la synchronisation du locataire.

Échecs silencieux et journalisation des tentatives d’application des étiquettes de confidentialité

Parfois, les problèmes d’étiquettes de confidentialité les plus délicats sont ceux que vous ne voyez jamais : aucun message d’erreur, mais l’étiquette ne s’applique pas ou ne reste pas en place. Ces « échecs silencieux » peuvent exaspérer aussi bien les utilisateurs que les administrateurs, en particulier dans un secteur réglementé ou lorsqu’un audit externe doit être passé.

Cette section explique où chercher lorsque l’application d’une étiquette ne fonctionne pas, sans échec apparent. Il s’agit d’examiner les journaux d’audit de Microsoft 365, les journaux locaux présents sur les postes utilisateurs (issus du client MIP ou des applications Office), et d’interpréter les traces d’erreur. C’est un terrain de dépannage avancé, mais c’est là que se trouve la pièce manquante lorsque tout le reste semble correct.

Nous allons voir comment accéder aux journaux d’audit unifiés de Microsoft Purview et les exploiter pour retrouver les attributions d’étiquettes échouées ou incomplètes. Vous trouverez également des repères pour interpréter les journaux de MIP et des applications Office lorsque l’interface affiche « réussi » alors que vous savez que le résultat n’est pas le bon. Si vous voulez vraiment comprendre ce qui se passe en coulisses, plongez dans l’univers de l’audit et du suivi forensique avec l’audit de l’activité des utilisateurs avec Purview.

Utiliser les journaux d’audit pour suivre les échecs d’étiquettes de confidentialité

Accéder aux journaux d’audit de Microsoft 365 : Rendez-vous dans le portail de conformité Purview, puis ouvrez la section Audit. Vous devez disposer des autorisations nécessaires pour consulter les journaux d’audit.
Filtrer les actions liées aux étiquettes de confidentialité : Recherchez des événements tels que « Étiquette de confidentialité appliquée », « Étiquette modifiée » ou « Étiquette supprimée ». Repérez les entrées dont le « statut » est échoué ou incomplet.
Examiner l’historique par utilisateur et par fichier : Analysez en détail les événements en échec et notez le compte utilisateur, l’appareil, le fichier concerné et l’erreur éventuelle.
Isoler les causes racines : Vérifiez s’il existe des tendances : les échecs concernent-ils toujours certains utilisateurs, un type de fichier précis, ou surviennent-ils après une modification de stratégie ? Cela permet d’identifier les problèmes liés à la stratégie, aux licences ou au client.
Bonnes pratiques : Si la conformité est en jeu, passez à Purview Audit Premium pour disposer de signaux plus riches et d’une conservation plus longue. Pour en savoir plus sur le suivi forensique, consultez ce tutoriel pas à pas sur l’audit.

Analyser les journaux du client MIP et des applications Office pour détecter les erreurs silencieuses

Activer la journalisation détaillée : Dans MIP et les applications Office, activez les modes de journalisation détaillée ou de débogage via les paramètres de registre ou les commutateurs de ligne de commande.
Localiser les journaux locaux : Les fichiers clés se trouvent dans %localappdata%\Microsoft\MSIP\Logs pour le client MIP, et dans les sous-dossiers \Logs d’Office.
Rechercher les erreurs après une action sur une étiquette : Recherchez les codes d’erreur tels que 0x80070005 (accès refusé) ou « échec de l’application de l’étiquette » juste après l’action de l’utilisateur.
Transmettre les informations au support : Partagez les journaux et les horodatages avec le support Microsoft pour un diagnostic avancé lorsque le dépannage côté utilisateur atteint ses limites.

Vérifications finales, retours et ressources recommandées

Vous avez parcouru les principales étapes de dépannage des problèmes d’étiquettes de confidentialité dans Microsoft 365 et Power BI. Avant d’abandonner ou d’ouvrir un ticket auprès du support, prenez le temps de revoir vos paramètres de configuration et vos stratégies à l’aide d’une liste de contrôle méthodique. Bien souvent, c’est le dernier paramètre oublié ou l’autorisation manquante qui résout le problème, sans qu’il soit nécessaire d’aller plus loin.

Cette section récapitule les vérifications incontournables avant toute escalade : ciblage des stratégies, publication des étiquettes, attributions de licences et paramètres d’application. Vous trouverez aussi des liens vers les canaux de retour d’expérience, les options de support et les ressources officielles de bonnes pratiques pour continuer à vous former.

Considérez cette section comme un arrêt technique avant de reprendre la route, mais aussi comme un pont vers une aide plus poussée. Des liens vers les forums communautaires de référence, les articles recommandés et la documentation officielle de Microsoft sont fournis pour les cas complexes où il faut creuser davantage ou signaler un nouveau problème. Pour plus de conseils sur la gestion documentaire prête pour l’audit, consultez les solutions Purview et SharePoint contre le chaos documentaire.

Liste de contrôle pour vérifier les paramètres des étiquettes de confidentialité et les exigences de licence

Valider les paramètres du locataire : Assurez-vous que la fonctionnalité d’étiquetage de confidentialité est activée et gérée de manière centralisée via Microsoft Purview. Vérifiez à nouveau l’étendue du locataire et les options de la fonctionnalité.
Examiner les attributions des stratégies d’étiquettes : Vérifiez que les stratégies d’étiquettes incluent tous les utilisateurs, groupes ou comptes invités prévus. Les problèmes de ciblage des stratégies sont l’une des principales causes d’étiquettes qui n’apparaissent pas là où elles devraient.
Confirmer les attributions de licences : Vérifiez que chaque utilisateur et chaque administrateur dispose d’une licence Purview Information Protection, Power BI Pro/Premium ou d’un abonnement équivalent permettant d’utiliser les étiquettes.
Vérifier la propagation et la synchronisation des stratégies : Contrôlez que les modifications récentes des étiquettes ou des stratégies ont bien été propagées à tous les clients et sont visibles dans le sélecteur de sensibilité des applications clés.
Application obligatoire et par défaut des étiquettes : Vérifiez que les paramètres d’application par défaut et obligatoire sont actifs, en particulier dans Power BI et SharePoint, afin d’empêcher la création de contenus sans étiquette.
Couverture des invités et B2B : Examinez si et comment les collaborateurs externes sont inclus dans les stratégies d’étiquettes. Supprimez les comptes invités inutilisés ; vous trouverez davantage d’informations à ce sujet dans the hidden danger of M365 guest accounts.
Examinez les journaux d’audit et d’activité : Recherchez dans les journaux d’audit Microsoft 365 les attributions d’étiquettes échouées ou incomplètes. Cette étape est essentielle pour les entités réglementées et pour une surveillance informatique proactive.
Videz le cache des étiquettes si nécessaire : Utilisez la méthode « clear cache » après avoir modifié les stratégies, afin d’éviter que les utilisateurs conservent d’anciennes étiquettes et rencontrent des problèmes liés à celles-ci.
Testez tous les scénarios : Validez l’application des étiquettes sur les appareils gérés et non gérés, pour les utilisateurs invités, et sur les plateformes web, bureau et mobile lorsque c’est nécessaire.

Comment envoyer des commentaires et accéder aux articles recommandés

Canaux de commentaires Microsoft : Utilisez l’outil de commentaires du Centre d’administration Microsoft 365 ou consultez les forums communautaires pour signaler les nouveaux problèmes et contribuer à la feuille de route des fonctionnalités.
Escalade vers le support : Ouvrez des tickets de support via le portail d’administration Microsoft 365 pour les problèmes non résolus ou critiques liés aux étiquettes de confidentialité, et tenez-vous prêt à partager les journaux et les étapes détaillées.
Ressources et articles de bonnes pratiques : Découvrez des analyses approfondies et des discussions animées par des experts, comme ce guide sur l’audit de l’activité des utilisateurs avec Purview, ou une approche structurée, guidée par une liste de contrôle, pour construire votre bouclier Purview.
Apprentissage communautaire : Restez à jour sur l’évolution des stratégies d’étiquetage et des astuces de dépannage en ajoutant à vos favoris les pages Microsoft Learn recommandées et les forums de référence.