Comment vérifier les autorisations SharePoint

Netwrix Auditor pour SharePoint

• Exécutez Netwrix Auditor → Allez dans la section « Rapports » → Développez la section « SharePoint » → Accédez à « SharePoint – État dans le temps » → Sélectionnez « Permissions des comptes dans SharePoint » → Cliquez sur « Afficher ».
• Par défaut, vous verrez les permissions de Contrôle total sur tous les objets dans la collection de sites spécifiée. Cependant, vous pouvez utiliser des filtres pour limiter le rapport à des types de permissions spécifiques et à tout objet sécurisable, tel qu'une liste, une bibliothèque ou un élément particulier, au sein de la collection de sites.

• Pour exporter le rapport au format CSV ou un autre format, cliquez sur le bouton « Exporter » → Sélectionnez un format dans le menu déroulant → Cliquez sur "Enregistrer"

En savoir plus sur Netwrix Auditor for SharePoint

Audit Natif

1. Ouvrez les paramètres de votre site SharePoint → Cliquez sur « Autorisations du site ».
2. Cliquez sur « Vérifier les autorisations » → Entrez le nom d'utilisateur de l'utilisateur dont vous souhaitez vérifier les permissions -> Cliquez sur « Vérifier maintenant ».
3. Examinez les résultats :

Rationalisez la révision régulière des autorisations pour tout compte d'utilisateur

L'audit des permissions SharePoint est essentiel pour protéger le contenu de vos sites web SharePoint. Des permissions piratées ou accordées par accident permettent aux utilisateurs d'ajouter, de voir, de copier, d'éditer ou de supprimer des informations auxquelles ils ne devraient pas avoir accès. Par conséquent, un audit régulier des permissions des utilisateurs, y compris les permissions uniques, est crucial pour minimiser le risque de fuites de documents et de violations de conformité. Vous pouvez vérifier les permissions actuelles pour vos collections de sites SharePoint en utilisant les paramètres de site SharePoint, mais le résultat n'est pas convivial et ne peut pas être facilement filtré ou exporté. Il existe une meilleure manière de vérifier les permissions sur un site SharePoint.

Netwrix Auditor for SharePoint rapporte sur l'état des permissions de SharePoint ; liste les objets avec une hérédité rompue ; et audite les changements de permissions, niveaux de permission, héritage de permission, appartenance à des groupes et politiques de sécurité. Il fournit tous les détails dont les administrateurs IT ont besoin, y compris qui a effectué chaque changement, quand et où il a été fait, quel groupe ou utilisateur SharePoint a été affecté, et les valeurs avant et après. Netwrix Auditor for SharePoint offre également une visibilité complète sur les changements de configuration de votre ferme SharePoint, ainsi que les tentatives de modification ou de lecture des données sur votre serveur Microsoft SharePoint. Vous pouvez faire livrer automatiquement tout rapport par courriel pour faciliter la révision régulière et assurer que les droits d'accès sont attribués correctement, y compris l'accès limité. De plus, vous pouvez utiliser des alertes prédéfinies et personnalisées pour être notifié immédiatement des changements critiques ou des tentatives d'accès suspectes.

Les niveaux d’autorisation regroupent les permissions individuelles pour les utilisateurs et groupes, tandis que l’héritage transmet ces affectations à travers les sites, bibliothèques, dossiers et éléments.

Des autorisations erronées, une héritage cassée et des liens partagés peuvent permettre aux utilisateurs d’ajouter, voir, copier, modifier ou supprimer des informations auxquelles ils n’étaient pas censés accéder. Ce type de prolifération peut commencer par une chaîne d’héritage cassée ou un lien partagé.

Niveaux d’autorisation SharePoint par défaut et ce que chacun accorde

La page d’accueil d’un site affiche les groupes qui y siègent, pas les liens de partage, l’héritage cassé ou l’imbrication des groupes de sécurité qui déterminent également qui peut réellement accéder. Les permissions excessives et le manque de visibilité sur qui a accès sont les deux principales causes d’exposition des données sensibles signalées par les organisations, à 35 % et 37 % respectivement, selon l’enquête à l’origine du Netwrix 2026 Data and Identity Security Report. Vérifier de manière fiable les permissions SharePoint signifie tracer chaque chemin au-delà de la page d’accueil.

Automatique

Accès restreint à une liste, bibliothèque, dossier ou élément spécifique ainsi qu’aux ressources partagées dont il dépend. SharePoint attribue cela automatiquement lorsqu’une personne obtient l’accès à un objet enfant mais pas à son parent.

Les sites de publication ajoutent Approuver (modifier et approuver les pages, les éléments de liste et les documents) et Gérer la hiérarchie (créer des sites et modifier les pages, les éléments de liste et les documents).

Les niveaux d'autorisation par défaut sur un site d'équipe standard de SharePoint sont Full Control, Design, Edit, Contribute, Read, View Only et Limited Access, et les sites de publication en ajoutent davantage. Chaque niveau est un ensemble fixe d'autorisations individuelles, et les niveaux vont du plus grand au plus petit accès.

Contribute et Edit sont faciles à confondre, et la différence entre eux est structurelle. Un utilisateur Contribute peut télécharger, modifier et supprimer des documents dans une bibliothèque, mais il ne peut pas ajouter une colonne, modifier une vue ou créer une nouvelle liste.

La lecture mérite la même attention car elle inclut le téléchargement. Toute personne ayant le droit de lecture sur une bibliothèque peut télécharger une copie de chaque fichier qu’elle contient, c’est pourquoi l’option Vue seule existe pour le contenu que vous souhaitez que les utilisateurs consultent uniquement dans le navigateur.

Autorisations de site, liste et personnelles à chaque niveau

Les autorisations du site régissent le site lui-même :

Vous pouvez modifier la plupart des niveaux par défaut depuis la page Permission Levels, sauf Full Control et Limited Access, mais modifier un niveau intégré change sa signification partout où il est utilisé. Copiez le niveau le plus proche et modifiez la copie à la place.

• Gérer les autorisations

SharePoint assemble chaque niveau d’autorisation à partir des autorisations individuelles classées en catégories site, liste et personnelle. Lorsque vous ouvrez la page de modification d’un niveau d’autorisation, vous voyez ces cases à cocher

• Gérer le site Web
• Créer des sous-sites
• Voir les pages
• Énumérer les autorisations

Les autorisations de liste régissent le contenu :

Gérer les permissions et Énumérer les permissions sont les deux à surveiller à tout niveau personnalisé, car ensemble ils permettent à un utilisateur de voir et de modifier qui a accès.

• Remplacer les comportements de liste
• Gérer les listes
• Modifier les éléments
• Ajouter des éléments
• Supprimer les éléments
• Approuver les éléments
• Voir les éléments
• Voir les versions
• Éléments ouverts
• Supprimer les versions
• Créer des alertes
• Voir les pages de l'application

Autorisations dépendantes

Mode de confinement

Override List Behaviors couvre le rejet ou l’enregistrement de documents qu’un autre utilisateur a extraits. Des autorisations distinctes liées à l’approbation gèrent l’approbation du contenu. Les autorisations personnelles contrôlent la vue d’un utilisateur sur une page, y compris la gestion des vues personnelles et l’ajout, la suppression ou la mise à jour des composants Web personnels. Elles modifient uniquement ce que l’individu voit, elles affectent donc rarement la gouvernance.

Groupes SharePoint et leur correspondance avec les niveaux d’autorisation

Activez-le, et les utilisateurs anonymes et avec Limited Access ne pourront pas ouvrir les formulaires ni les pages d’application. Cela vaut la peine de le faire sur tout site publié où vous ne souhaitez pas que des visiteurs occasionnels parcourent les structures de listes.

Les utilisateurs avec accès limité peuvent normalement accéder aux pages d’application telles que les formulaires de liste car ce niveau leur permet d’ouvrir l’unique élément qu’un propriétaire leur a accordé. Microsoft propose une fonctionnalité pour les collections de sites à cet effet : le mode de verrouillage des autorisations pour utilisateurs à accès limité.

• Les membres disposent de l’autorisation Modifier, qui couvre la création et la suppression de listes ainsi que les modifications au niveau des éléments.

La plupart des accès passent par des attributions basées sur des groupes plutôt que des attributions directes à des individus. Les groupes SharePoint contiennent des utilisateurs et des Active Directory or Microsoft Entra ID security groups, et le niveau d’autorisation est attaché au groupe SharePoint.

Un tableau de dépendances régit la manière dont les permissions personnalisées interagissent. Manage Lists dépend des permissions qui permettent à un utilisateur de voir et d’ouvrir le contenu de la liste, donc cocher cette option sur la page d’édition coche aussi celles-ci. Supprimer une dépendance supprime les permissions qui en dépendent. Cela façonne tout niveau personnalisé que vous créez. Vous ne pouvez pas créer un ensemble de permissions « supprimer mais pas voir », et un niveau qui semble minimal sur le papier peut en réalité inclure plus que prévu une fois les dépendances résolues.

Pour le travail quotidien de création, modification et audit de ces groupes, consultez comment gérer les groupes de permissions SharePoint. Owners, Members et Visitors sont fournis avec chaque site d’équipe, chacun avec un niveau.

• Visiteurs ont un accès en lecture.

Groupes personnalisés ou niveaux d’autorisation personnalisés ?

Sur un site d’équipe connecté à un groupe Microsoft 365, les groupes Owners et Members proviennent des membres de ce groupe. Ajouter quelqu’un à l’équipe Teams ou au groupe dans Microsoft Entra ID place cette personne dans le groupe SharePoint Members avec des droits de modification.

Décidez de la question de groupe et de la question de niveau séparément. Créez un groupe personnalisé lorsque le même ensemble de personnes a besoin d’un accès cohérent sur plusieurs sites, ou lorsqu’un rôle métier (chef de projet, auditeur, pool de sous-traitants) ne correspond pas à Owners, Members ou Visitors.

Comment fonctionne l’héritage des autorisations et comment le rompre ou le restaurer

Créez un niveau d'autorisation personnalisé lorsqu'aucun niveau par défaut ne convient, par exemple un niveau « Contribuer sans suppression » pour une bibliothèque de documents, ou un niveau Lecture qui permet également de créer des alertes. Construisez le niveau personnalisé en copiant le niveau par défaut le plus proche et en l'ajustant, afin que les dépendances restent intactes et que les niveaux par défaut restent standards.

Pour attribuer à une bibliothèque, un dossier ou un élément sa propre liste d’accès, vous devez rompre l’héritage du parent avant de pouvoir attribuer des autorisations uniques. L’objet commence avec une copie des autorisations du parent, puis suit son propre chemin.

Une nouvelle liste, bibliothèque, dossier ou élément hérite des autorisations de son parent, et le site hérite de la racine de la collection de sites. Modifiez le groupe Members en haut, et la modification s’appliquera à tous les objets héritant en dessous.

• Les modifications ultérieures au niveau parent n’atteignent plus l’objet. Supprimez un contractant parti du groupe Membres du site, et vous devez toujours vérifier les bibliothèques ayant rompu l’héritage car les modifications des autorisations au niveau parent n’affectent pas les bibliothèques avec des autorisations uniques.
• Accordez à quelqu'un un accès en dessous du seuil, et des entrées d'Accès Limité apparaîtront pour lui sur chaque parent jusqu'à la racine du site, ce qui explique pourquoi ces entrées s'accumulent sur la page des Permissions d'un site au fil du temps.

Partager un seul document avec un collègue donne à cet élément son propre périmètre d’autorisation, de sorte qu’une bibliothèque où les utilisateurs partagent librement peut finir avec des centaines de périmètres d’autorisation uniques sans que personne n’ouvre l’interface des autorisations. Restaurer l’héritage annule tout cela.

Sur la page des permissions de l'objet, choisissez Delete unique permissions et l'objet revient à hériter de son parent, supprimant toutes les affectations uniques faites après la coupure. C'est le nettoyage le plus rapide pour une bibliothèque qui a dérivé, tant que les permissions du parent sont celles que vous souhaitez.

Planifier une stratégie de permissions SharePoint durable

Une stratégie de permissions ne tient que lorsque ces décisions sont prises délibérément, et non laissées au comportement par défaut à mesure que les sites et contenus s'accumulent :

La règle qui survit au contact avec un tenant réel est plus restrictive que les directives de planification de Microsoft pour les niveaux d’autorisation et les groupes. Attribuez le niveau le moins permissif qui permet aux gens de faire leur travail, attribuez-le à un groupe plutôt qu’à une personne, et attribuez-le au point le plus élevé de la hiérarchie qui convient encore au public.

• Réservez le Contrôle Total à un petit groupe connu de propriétaires. Le Contrôle Total inclut Manage Permissions, donc chaque propriétaire peut tout accorder à n'importe qui. Passez en revue le groupe Owners de chaque collection de sites pendant votre cycle de révision des accès.
• Concevez la hiérarchie du site autour des permissions avant de le construire. Le contenu destiné à différents publics doit se trouver sur des sites différents ou au moins dans des bibliothèques distinctes, afin que l’héritage fasse le travail. Ajouter des permissions uniques à des dossiers dans une bibliothèque partagée peut créer une prolifération des permissions.
• Évitez les autorisations étendues au niveau des éléments. La fragmentation au niveau des éléments s’accumule silencieusement, car personne ne revient la nettoyer. Lorsqu’un besoin métier impose des autorisations uniques, restaurez l’héritage dès que ce besoin disparaît.

Comment afficher et modifier les niveaux d'autorisation SharePoint dans l'interface moderne

1. Ouvrez la page des Permissions

• Gérez le partage externe et les demandes d'accès au niveau du site. Les paramètres de partage externe déterminent si les utilisateurs peuvent partager avec des invités, et les paramètres des demandes d'accès décident qui approuve la demande d'un visiteur sur les sites contenant des données réglementées, et acheminent les demandes d'accès vers un propriétaire nommé, car une demande d'accès approuvée accorde un niveau d'autorisation identique à une attribution manuelle.

Chaque liste et bibliothèque possède sa propre page Permissions où vous pouvez consulter, modifier ou supprimer l'accès, et les mêmes contrôles existent au niveau du site sous Permissions du site. La page que vous ouvrez détermine la portée de chaque modification que vous y apportez.

2. Modifier le niveau d'autorisation d'un utilisateur ou d'un groupe

3. Supprimer les autorisations d'un utilisateur

• Passez en revue les autorisations selon un calendrier. L'appartenance aux groupes, les liens de partage et l'héritage rompu peuvent changer entre les revues. Le Netwrix 2026 Data and Identity Security Report a révélé que 76 % des organisations ne suppriment pas immédiatement et automatiquement l'accès aux données sensibles lorsqu'il n'est plus nécessaire. Reliez la revue à votre cycle de certification des accès, en utilisant un passage trimestriel comme cadence de départ pratique pour les environnements réglementés.

4. Créez un niveau d’autorisation personnalisé

Sélectionnez l'utilisateur ou le groupe, puis Supprimer les autorisations utilisateur. Cela supprime leur entrée directe uniquement sur cet objet. Si l'utilisateur accède également à l'objet via un groupe SharePoint ou un lien de partage, ce chemin reste ouvert, c'est pourquoi vous devez toujours effectuer une vérification des autorisations après toute suppression.

Cochez la case à côté de l’utilisateur ou du groupe, choisissez Modifier les autorisations utilisateur dans le ruban, cochez le nouveau niveau et décochez l’ancien. Si l’objet hérite toujours, le ruban affiche Arrêter l’héritage des autorisations à la place ; sélectionnez-le d’abord, confirmez, et les contrôles d’édition apparaissent.

1. Ouvrir Vérifier les autorisations

Comment vérifier les autorisations SharePoint pour un utilisateur spécifique

Ouvrez les paramètres de votre site SharePoint et sélectionnez Autorisations du site, puis ouvrez la page complète des paramètres des autorisations.

Pour un site, sélectionnez l'icône d'engrenage, choisissez Site permissions, puis ouvrez la page complète des paramètres d'autorisations. Pour une liste ou une bibliothèque, ouvrez ses paramètres et sélectionnez Permissions for this list ou Permissions for this document library. La page liste chaque utilisateur et groupe ayant accès, le niveau d'autorisation détenu, et une bannière indiquant si l'objet hérite de son parent.

L’outil natif Check Permissions répond à la question « Que peut faire cette personne ici ? » pour un utilisateur ou un groupe sur un site. Il renvoie un niveau d’autorisation (Read, Contribute, Full Control ou un autre niveau) et la manière dont il a été accordé.

2. Lancez la vérification

3. Examinez les résultats

Depuis Site permissions à la racine de la collection de sites, choisissez Permission Levels dans le ruban, puis Add a Permission Level, nommez-le et sélectionnez les autorisations individuelles qu'il doit contenir. Copier un niveau existant depuis sa page d'édition et modifier la copie est plus rapide et préserve les niveaux par défaut.

Sélectionnez Vérifier les autorisations dans le ruban, saisissez le nom de l’utilisateur ou du groupe dont vous souhaitez vérifier l’accès, puis cliquez sur Vérifier maintenant.

La boîte de dialogue liste chaque niveau d'autorisation détenu par l'utilisateur ainsi que le groupe ou l'affectation directe qui le lui accorde, par exemple, « Modifier, accordé via le groupe Marketing Members » ou « Contrôle total, accordé directement ».

Check Permissions fonctionne avec un principal par site à la fois, donc un utilisateur ayant accès à des dizaines de sites doit effectuer une vérification par site. La boîte de dialogue affiche les résultats uniquement à l’écran, donc créer une revue d’accès à partir de celle-ci signifie les retaper.

Pourquoi les équipes tirent un rapport des autorisations SharePoint

PowerShell, un outil de rapport à un instant donné, ou une navigation manuelle dans les pages des Permissions le produit. Le résultat est une exportation aplatie de chaque principal, niveau d'autorisation et portée sur les sites que vous indiquez, dans un fichier que vous pouvez filtrer, trier et conserver pour le prochain cycle de révision.

Check Permissions répond pour une personne sur un site ; dès que la question concerne une bibliothèque entière ou un tenant complet, une exportation est nécessaire. Les équipes en réalisent une avant un audit ou après un incident de partage, lorsqu’il faut prouver par écrit qui peut accéder à une bibliothèque donnée.

Il ne rapporte également que la portée du site ; un document qu'une personne a partagé avec l'utilisateur à trois dossiers de profondeur n'apparaîtra pas à moins que vous n'exécutiez la même vérification depuis la page Permissions de cet objet. Pour une question ponctuelle comme « ce prestataire a-t-il toujours accès au site financier », Check Permissions est l'outil approprié. Pour quelque chose de plus large, un script ou un rapport est nécessaire.

Autorisations de Copilot et SharePoint

Les résultats de Copilot dépendent du contenu auquel l'utilisateur peut accéder, donc chaque autorisation de lecture trop large et chaque lien de partage oublié peuvent élargir ce qu'une invite peut retourner. En pratique, un fichier que personne ne trouverait en naviguant devient récupérable lorsqu'on le demande.

Comment vérifier les autorisations SharePoint avec Netwrix Auditor

Créer cette exportation et comprendre la signification de chaque champ est un processus à part entière. Voir comment obtenir un rapport des permissions SharePoint Online pour les scripts PowerShell pour SharePoint Online et les fermes sur site, la méthode native via le centre d’administration et ce que chaque colonne exportée représente.

Le Netwrix 2026 Data and Identity Security Report a révélé que 79 % des organisations manquent de visibilité complète sur les données sensibles utilisées dans les outils, modèles ou copilotes d’IA.

1. Ouvrez le rapport des autorisations de compte dans SharePoint

Imaginez un site RH avec "Everyone except external users" dans son groupe Visiteurs. C’était un problème latent avant Copilot, et après Copilot, une invite concernant les fourchettes salariales pourrait le révéler. Examiner quels groupes ont des droits de lecture sur des sites avec du contenu sensible, et quelles bibliothèques ont des permissions uniques accordant un large accès, est le travail préalable au déploiement qui détermine ce que Copilot peut atteindre.

Le reporting des permissions SharePoint couvre l'accès actuel, les modifications des permissions et les preuves nécessaires pour des revues répétables. Netwrix Auditor fournit des rapports SharePoint à un instant donné, l'audit des changements de permissions, l'historique des modifications et les preuves de conformité sur une collection de sites. Il répond à la même question d'accès que les outils natifs, mais utilisateur par utilisateur.

2. Entrez dans la collection de sites et appliquez le filtre

En rendant les preuves d'autorisations inter-domaines filtrables, exportables et planifiables, cela comble le vide du reporting natif Microsoft entre une vérification à l'écran pour un principal et une revue d'accès répétable sur une collection de sites. Dans l'arborescence des rapports, SharePoint et SharePoint Online sont présentés comme des emplacements de rapports distincts, et le chemin de navigation en dessous diffère.

3. Exporter les résultats

Planifiez l’envoi des rapports par email afin que la revue trimestrielle se déroule sans que personne ait à s’en souvenir.

Cliquez sur Exporter → Choisissez un format dans le menu déroulant → Cliquez sur Enregistrer.

Dans le volet des filtres du rapport, spécifiez la collection de sites dans le champ Object Path, puis cliquez sur Afficher le rapport. Par défaut, vous verrez les permissions Contrôle total pour tous les objets de la collection de sites spécifiée. Utilisez les filtres pour limiter le rapport à des niveaux de permission spécifiques et à des objets sécurisables, tels qu'une liste, une bibliothèque ou un élément particulier, au sein de la collection de sites.

Au-delà de l’état actuel, Auditor liste les objets avec héritage cassé et audite les modifications des permissions, des niveaux de permission, de l’héritage des permissions, de l’appartenance aux groupes et des politiques de sécurité. Il enregistre qui a effectué chaque changement, quand et où il a eu lieu, quel groupe ou utilisateur SharePoint a été affecté, ainsi que les valeurs avant et après. Auditor suit également les modifications de configuration et les tentatives de lecture ou de modification des données.

Vous pouvez également utiliser des alertes prédéfinies ou personnalisées pour les modifications critiques des autorisations, telles qu’une nouvelle attribution de Full Control ou une chaîne d’héritage rompue, sur les sites que vous signalez. Supprimer les portées d’autorisations uniques errantes et conserver un instantané daté réduit la durée de collecte des preuves pour la préparation de l’audit.

Ouvrez Netwrix Auditor et allez dans Rapports, développez SharePoint (ou SharePoint Online pour un locataire Microsoft 365), ouvrez State-in-Time, sélectionnez Account Permissions in SharePoint et cliquez sur Afficher.

Maintenir la visibilité des autorisations d’accès SharePoint dans tous les environnements

First National Bank and Trust of Beloit, une banque familiale avec 17 agences, a utilisé la suite complète de Netwrix Auditor, y compris sa couverture SharePoint, pour réduire la préparation de l'audit de l'Office of the Comptroller of the Currency (OCC) d'une semaine à une heure.

Les niveaux d’autorisation, les groupes et l’héritage décrivent comment l’accès à SharePoint doit fonctionner. L’écart entre cette conception et ce que les utilisateurs peuvent réellement atteindre grandit à chaque lien de partage, changement de groupe et bibliothèque qui cesse d’hériter dans SharePoint Online, file servers et fermes SharePoint Server.

Netwrix Auditor couvre les rapports d’état dans le temps de SharePoint, l’audit des modifications des permissions et les preuves de conformité. Netwrix Access Analyzer prend en charge une analyse plus large de la gouvernance de l’accès aux données en résolvant l’appartenance aux groupes imbriqués et en affichant l’accès effectif, c’est-à-dire qui peut réellement accéder à quoi, sur les serveurs de fichiers et Active Directory.

Ses plus de 40 modules de collecte de données prennent en charge la découverte, la classification et la gouvernance des accès aux données d'entreprise. Ensemble, ces deux produits relient les preuves d'autorisations SharePoint aux chemins d'identité derrière l'accès.

Demandez une démo pour voir comment Netwrix Auditor et Netwrix Access Analyzer transforment les données de permissions SharePoint en rapports programmés et preuves d’audit.

• Les propriétaires ont le Contrôle Total et gèrent le site, ses autorisations et ses groupes.