Panne Outlook dans 74 pays et territoires : qui paie la dépendance à Microsoft 365 ?

Sans attaque revendiquée ni cause connue, la panne d'Outlook montre que, lorsqu'une suite porte tout, son incident interne devient celui de tous ses clients.

Le jeudi 12 novembre 2026, une panne d'Exchange Online, le service de messagerie en ligne de Microsoft, prive des utilisateurs d'Outlook de leurs courriels. Microsoft enquête d'abord sur des problèmes de connexion aux boîtes aux lettres dans les Amériques, puis confirme que des utilisateurs de toute région peuvent être touchés. Selon l'éditeur, l'incident Microsoft 365, suivi sous la référence MO1550821, a commencé à 13h26, heure de l'Est des États-Unis, soit 18h26 UTC. Cet avis couvre Exchange Online, Teams, SharePoint Online, Microsoft 365 Copilot et Defender XDR. Selon Downdetector, des dysfonctionnements sont signalés dans 74 pays et territoires, et plus de 130 000 signalements concernant Outlook sont enregistrés aux États-Unis au plus fort de la panne. Microsoft admet ensuite que ses efforts de rétablissement n'apportent pas le soulagement attendu. Près de 11 heures après le début des perturbations, aucun rétablissement durable n'était confirmé.

Une panne d'infrastructure, pas une intrusion, à ce stade

Microsoft a d'abord évoqué une charge élevée sur son infrastructure, puis précisé que cette charge ne venait pas d'une hausse du trafic : un certain nombre de serveurs sont devenus indisponibles de façon inattendue, ce qui a surchargé ceux qui restaient. Selon Le Monde Informatique, un processus chargé d'établir les connexions sécurisées, c'est-à-dire chiffrées, était saturé sur les serveurs concernés. Microsoft a suspendu tous ses déploiements, redistribué les connexions sur son infrastructure mondiale, redémarré les serveurs et étudié un retour arrière sur quelques mises à jour de configuration récentes. Plusieurs serveurs redevenaient pourtant indisponibles après leur remise en service. Les modifications appliquées « pour améliorer la maintenabilité du service » n'ont pas eu l'effet escompté, et l'entreprise cherche d'autres pistes face à des « déséquilibres persistants dans la gestion du trafic ».

Cette distinction compte. Une cyberattaque pose une question de confidentialité : qui a accédé à quoi. Ici, l'enjeu est la disponibilité : les courriels n'arrivent pas, mais rien n'indique qu'ils aient fui. Microsoft affirme ne disposer d'aucun indice d'une activité malveillante. C'est toutefois sa seule parole, en l'absence de rapport post-incident public. Surtout, l'élément déclencheur n'était pas identifié à la date de cet article : l'hypothèse d'un retour arrière sur des configurations récentes est une piste de rétablissement, pas la preuve d'une cause. Un autre incident, sur Teams, avait touché les Amériques le matin même, attribué à une contention de ressources, sans que Microsoft dise si les deux sont liés. Un détail mérite l'attention : Defender XDR, la console de détection des menaces, figure parmi les services listés. Une panne de disponibilité peut donc aussi réduire la vigilance.

Qui perd : les clients, puis les clients des clients

La liste des organisations touchées dépasse la bureautique. Aux États-Unis, la Chambre des représentants a rencontré des difficultés informatiques, et plusieurs administrations australiennes ont signalé des perturbations de leurs communications. Selon Le Temps, la Nouvelle-Zélande a diffusé un avis indiquant que sa capacité à recevoir des courriels était affectée, y compris pour ses ambassades et consulats dans le monde. L'entreprise américaine Workhorse Group a reporté du 12 au 16 novembre la présentation de ses résultats du troisième trimestre. La chaîne de dépendance s'allonge avec l'IA : Copilot a été affecté, et les connecteurs Microsoft 365 des assistants d'OpenAI et d'Anthropic ont connu des dysfonctionnements perturbant l'accès aux courriels et aux calendriers.

Lire aussi Frigos de supermarchés piratés : ce que l'attribution française à l'Iran ne règle pas

Microsoft perd aussi. Deux incidents distincts le même jour, des correctifs qui ne tiennent pas et l'absence d'heure de retour à la normale pèsent sur la promesse de fiabilité d'un service vendu comme infrastructure critique. Les crédits de service prévus par l'engagement de disponibilité, s'il y en a, restent à connaître.

Qui gagne, et ce qu'on ne sait pas chiffrer

Les concurrents et les fournisseurs européens qui plaident pour la diversification ou la souveraineté y trouvent un argument. Aucun départ de client n'est mesuré pour autant. Quitter une suite, c'est migrer des identités, des archives et des habitudes de travail, et une panne seule déclenche rarement une migration.

Le coût, lui, n'est pas chiffré : aucune estimation ne figure dans les sources consultées à la date de cet article, la panne étant encore en cours. Un signalement n'est pas un utilisateur : Downdetector compte des déclarations spontanées. La méthode, en revanche, est claire : heures de travail dépendantes de la messagerie, multipliées par la durée de la panne, auxquelles s'ajoutent les opérations reportées. La concentration multiplie ce coût, car le risque devient corrélé. À l'époque où chaque entreprise faisait tourner ses propres serveurs Exchange, une panne restait locale et le partenaire pouvait encore recevoir un courriel. Aujourd'hui, l'entreprise, son fournisseur et son client tombent en même temps.

NIS2, DORA, Data Act : une question ouverte avant la prochaine panne

Reste à savoir ce que le cadre européen exige face à une panne de ce type. Trois textes reviennent dans le débat : la directive NIS2, le règlement DORA et le Data Act. Les sources consultées pour cet article ne détaillent ni leur champ ni leurs obligations ; nous n'en proposons donc aucune lecture juridique, et la question reste ouverte. Elle mérite d'être posée textes en main, avec un juriste, par toute organisation européenne qui se pense concernée : la panne d'un fournisseur unique est-elle, pour elle, un aléa ou un scénario qu'elle doit documenter ? La réponse conditionne la manière de traiter l'épisode de novembre : simple incident subi, ou cas d'école à intégrer dans un plan de continuité. Une chose ne dépend d'aucun texte : une suite collaborative ne se résume pas à du stockage, et identités, archives et usages ne se transfèrent pas comme des fichiers.

Ce que cela change concrètement

Pour une direction informatique, la leçon est opérationnelle. Il faut d'abord cartographier ce qui dépend d'Exchange Online : alertes de sécurité, calendriers, flux automatisés, connecteurs d'IA. Il faut ensuite prévoir un canal de crise hors de la suite. Cette fois, la messagerie instantanée et la visioconférence de Teams ont globalement tenu, mais calendriers et programmation des réunions ont été touchés, et rien ne garantit que la prochaine panne épargnera le reste. Les procédures manuelles doivent être documentées avant la panne, et non improvisées pendant. Enfin, il faut exiger le rapport post-incident, seule pièce qui permettra d'établir la cause.

Microsoft rétablira son service. La vraie question est ailleurs : combien d'organisations ont accepté un risque corrélé sans jamais le chiffrer ? Pour celles qui relèvent de NIS2 ou de DORA, reste à savoir si le rapport de Microsoft deviendra une pièce de leur propre dossier de conformité, et non une simple explication.

Sources

• Massive Microsoft 365 outage disrupts Outlook, Teams, Copilot worldwide (BleepingComputer – 12 novembre 2026)
• Une panne mondiale touche Outlook de Microsoft, privant des dizaines de milliers d'utilisateurs d'emails (Le Temps – 13 novembre 2026)
• Panne mondiale de Microsoft 365 : Outlook perturbé pendant des heures (Le Monde Informatique – 13 novembre 2026)

Pour aller plus loin sur moovie

• OpenAI à 1 250 Md$, Anthropic vise le Nasdaq : la souveraineté se joue sur le calcul