Microsoft Office 365

Soumis au CLOUD Act et au FISA des États-Unis.

Les données sont hébergées sur Azure. Même si la région « France » est choisie, l'infrastructure hyperscaler n'est pas souveraine.

Chiffrement présent au repos et en transit. Cependant, pour un EDR (Endpoint detection and response), l’analyse active nécessite que le moteur (chez l’hébergeur) ait accès aux données en clair (clés gérées par Microsoft pour le service).

Le RGPD impose aux entreprises de garantir un haut niveau de protection des données personnelles, interdisant notamment tout transfert vers un pays tiers sans garanties suffisantes. Or, l’application du CLOUD Act américain vient précisément contredire cette exigence, puisque Microsoft ne peut garantir une pleine souveraineté des données stockées sur le sol français.

Le service est exclusivement opéré par Microsoft. Le service peut être opéré par les équipes de Microsoft situées en Europe (avec notamment sa filiale irlandaise), mais aucune garantie ne peut être donnée de leur part pour que les services ne soient pas aussi opérés depuis les États-Unis même si les données sont stockées en UE.

La société Microsoft est cotée en bourse au NASDAQ.

La feuille de route est publique et des retours de la part des utilisateur•ices est possible mais elle est décidée unilatéralement par l’éditeur.

Le capital de Microsoft est majoritairement détenu par des fonds d'investissement et des institutions financières basés hors de l'Union européenne.

La gouvernance de O365 est opaque et entièrement verticale. Le développement, l'architecture et l'abandon potentiel de certaines fonctionnalités sont pilotés exclusivement par Microsoft. Il n'existe aucune structure communautaire ou de consortium externe ayant un droit de veto ou de co-direction sur le produit.

Microsoft détient un monopole sur le développement de O365. Les mises à jour et le code source propriétaire de l'infrastructure cloud de O365 sont exclusivement produits par Microsoft. Aucune contribution externe au cœur du service n'est possible.

Les fichiers sont stockés sous un format OOXML, dont l'évolution n'est pas complètement ouverte et dépend quasi entièrement de Microsoft. Les documents bureautiques générés ne suivent aussi pas pleinement la norme OOXML rendant difficile leur lecture et édition avec d'autres logiciels. L'import depuis un format ouvert ODF est aisé mais l'export en format ouvert peut induire une perte dans la forme du contenu. En somme, les données restent stockées dans un format spécifique au schéma de Microsoft.

L'API Microsoft Graph, qui est une API REST, est robuste et bien documentée. Elle couvre l'intégralité des besoins de gestion des utilisateurs, des groupes, des applications et des métadonnées de sécurité, permettant une intégration et une extraction industrielles des données.

Microsoft Office 365 fonctionne nativement sur une majorité de systèmes d'exploitation à l'exception de Linux. Le service reste accessible via une interface web même si l'expérience en est alors dégradée par une limitation des fonctionnalités.

La migration des fichiers est aisément réalisable par leur simple déplacement. Le format OOXML ou le chiffrement avec Microsoft Purview crée des limitations pour leur réutilisation qui nécessitent certains ajustements manuels pour récupérer l'entièreté des fichiers et de leur contenu.

Les fichiers sont exportables dans des formats ouverts type ODF. Mais l'export devra être scripté et reste pauvre car les fichiers perdent souvent leur mise en forme et leurs macros.

Le développement de macros VBA permet d'étendre et d'automatiser certaines tâches des logiciels de la suite bureautique.

Le code source de O365 est fermé et propriété de Microsoft.

Propriétaire et fermé. L'usage, la modification et la redistribution sont interdits. L'organisation est totalement dépendante du bon vouloir de l'éditeur pour la survie du produit.

Code fermé. L'audit est impossible ou strictement réservé à des tiers choisis et rémunérés par l'éditeur. Aucun contrôle indépendant n'est permis.

C'est un modèle SaaS basé sur des abonnements par utilisateur·rice. Microsoft a un historique documenté de hausses tarifaires unilatérales. Les frais de sortie de données ne s'appliquent pas directement sur le stockage de fichiers, mais la captivité technique induit des coûts de migration élevés si l'on souhaite quitter l'écosystème.

Si le coût direct des licences est prédictible à court terme via la grille tarifaire, la modélisation autonome du TCO réel à long terme reste complexe. Les coûts indirects rendent l'estimation budgétaire globale sujette à des variations.

Le marché des prestataires (ESN, intégrateurs certifiés Microsoft) est large et concurrentiel. N'importe quelle entreprise peut changer de partenaire pour le déploiement ou le support de niveau 1 et 2. En revanche, pour la maintenance corrective de bas niveau (bugs de la plateforme cloud, pannes d'authentification), l'accès au support officiel de l'éditeur Microsoft reste un passage obligatoire.

Microsoft propose une bonne base documentaire. Elle couvre les architectures, les API et l'administration.

Les compétences sur les produits Microsoft sont répandues. Il existe plusieurs parcours de professionnalisation, et de certifications.

La suite bureautique O365 est l'une des premières à avoir vu le jour et la plus adoptée globalement. Elle sert de référence en terme d'attentes pour l'ergonomie des suites bureautiques.

Le rythme de publication des correctifs de sécurité et des nouvelles fonctionnalités est cyclique. Néanmoins, le projet étant intégralement détenu par Microsoft, le projet ne dispose pas d'une gouvernance décentralisée qui assurerait sa survie si l'éditeur décidait de restructurer son offre.

Le modèle économique repose sur de nombreux clients et entreprises à travers le monde, assurant une stabilité financière. Elle n'obtient pas la note de 5 car le flux financier alimente une seule et unique entité privée (Microsoft) plutôt qu'un écosystème distribué indépendant ou une fondation.

Microsoft s'engage à respecter les standards mondiaux d'accessibilité (WCAG 2.1, EN 301 549) et publie régulièrement des rapports d'accessibilité (VPAT - Voluntary Product Accessibility Templates) pour ses produits.