Dernière mise à jour:

Microsoft Purview eDiscovery

Portail
purview.microsoft.com
Documentation
Microsoft Learn
Je l'utilise pour
Collecter des boîtes aux lettres de Microsoft 365, sur place avec un huissier de justice.

Si le courrier d’une entreprise tourne dans Microsoft 365, les boîtes aux lettres se trouvent dans le nuage et non sur les ordinateurs sur place. Avec Purview eDiscovery, vous les récupérez directement là-bas : vous placez une mise en suspens (hold), vous cherchez et vous exportez, sans toucher à un appareil de la personne concernée. Mentionnez-le au rapport. Cela explique pourquoi vous passez par l’administrateur de l’environnement d’autrui au lieu de copier un disque. J’ai posé cette question moi-même sur Microsoft Q&A (en anglais). La réponse de la communauté : l’administrateur peut récupérer le courrier d’un employé licencié avec eDiscovery, tant qu’il se trouve dans le délai de conservation et que les droits sont là. C’est une réponse de forum, pas une déclaration officielle de Microsoft.

À vérifier au préalable

Savoir si une entreprise utilise Microsoft 365 se voit dans le DNS public. Si l’enregistrement MX se termine par mail.protection.outlook.com, le courrier tourne sur Exchange Online et la mission peut se faire à distance. Il vous faut alors quelqu’un qui administre l’environnement et vous donne accès.

Accès

Même un administrateur ne peut pas exporter d’office : les droits eDiscovery doivent être attribués séparément. Réglez-le autant que possible à l’avance. Si vous ne pouvez pas en être sûr, assurez-vous au moins d’avoir une ligne directe avec la personne qui gère finalement l’environnement, au cas où quelque chose tournerait mal sur place. Dans une mission sur requête unilatérale, vous ne pouvez rien préparer, et vous dépendez alors de la collaboration de celui qui gère sur place. Vérifiez dès la connexion que vous pouvez lancer un export. Quel groupe de rôles peut faire quoi figure sur Microsoft Learn : Assign permissions in eDiscovery (en anglais).

Voici comment je travaille :

  • Un compte temporaire à mon nom, créé par l’administrateur, avec le mot de passe transmis par un lien à usage unique. Jamais les mots de passe des utilisateurs et jamais un compte partagé, pour que le journal d’audit montre qui a fait quoi.
  • Une fenêtre InPrivate, et un dossier de téléchargement vide qui ne se synchronise pas avec le nuage.
  • Après le téléchargement, je demande par écrit à l’administrateur de supprimer le compte, avec confirmation de l’heure. L’ouverture et la clôture de l’accès figurent toutes deux au rapport.

Travaillez dans purview.microsoft.com. Le portail Azure web.purview.azure.com porte le même nom, mais sert à autre chose et donne un message d’erreur.

eDiscovery (Standard) suffit pour la mise en suspens, la recherche et l’export. Vous n’avez pas besoin de Premium. Ne lancez pas non plus de version d’essai dans l’environnement d’autrui.

Les étapes

  1. Créez un nouveau case, nommé d’après votre propre référence de dossier. Laissez les cases existants tranquilles.
  2. Créez une recherche avec les boîtes aux lettres de la mission pour source.
  3. Depuis cette recherche, placez une mise en suspens sur les boîtes complètes, et attendez que le statut soit On.
  4. Réglez la date, consultez les statistiques et lancez l’export.
  5. Téléchargez, calculez les hachages et contrôlez.
  6. Désactivez la mise en suspens et faites supprimer le compte.

D’abord la mise en suspens

Dans Exchange Online, le courrier supprimé reste récupérable quatorze jours par défaut. Ensuite, il est perdu, sauf si une mise en suspens ou une politique de rétention est active. Placez donc la mise en suspens dès le premier accès, avant même de chercher. Notez au rapport le temps écoulé entre la signification et la mise en suspens : ce qui a été effacé durant cette période ne peut plus être établi.

Après l’export et le contrôle, désactivez la mise en suspens avec Turn off. Ne la supprimez pas, pour qu’elle reste visible dans le case. Microsoft maintient ensuite encore trente jours un delay hold. Laisser une mise en suspens sans date de fin va le plus souvent plus loin que ce que demande la décision.

D'abord la mise en suspens Chronologie : entre la signification et la mise en suspens, des courriels peuvent disparaître définitivement. Ensuite : suspension activée, recherche et export, contrôle, suspension levée, compte supprimé. suppression encore possible signification suspension activée premier accès recherche, export téléchargement, hachage, contrôle suspension levée Turn off, ne pas supprimer compte supprimé La partie rouge figure au rapport comme limite : ce qui a été effacé alors ne peut plus être établi.

La date : Purview calcule en UTC

Purview calcule en UTC, et une plage comme (Date=2025-03-31..2025-12-31) compte les deux jours-limites. Une période belge qui commence à minuit commence en UTC dès la veille au soir. Faites donc commencer la recherche un jour plus tôt, et retirez ce jour supplémentaire après coup sur la base de l’heure belge. À la fin, pour la même raison, une heure ou deux du jour suivant se glissent dans l’export.

Période belge face à la requête en UTC La période imposée, en heure belge, commence à minuit. En UTC, c'est la veille. La requête commence donc un jour plus tôt ; le jour de marge et la dernière heure sont retirés après coup. Période imposée Heure belge 1er avril 00:00 31 décembre 24:00 Requête dans Purview Date=2025-03-31..2025-12-31, UTC couvre toute la période jour de marge ± 1 u Rouge : figure dans l'export brut, est retiré après coup de l'ensemble délimité, sur la base de l'heure belge.

Cela fait aussi bouger les nombres :

  • Purview ajoute des éléments partiellement indexés, indépendamment de votre recherche. Parmi eux peuvent se trouver des courriels très éloignés de la période.
  • Les statistiques préalables sont une estimation et peuvent s’écarter de quelques éléments. Comptez sur l’export et le rapport.
  • Pour les éléments de calendrier, le champ Date est la date de début du rendez-vous, pas la réception. Une invitation reçue dans la période pour un rendez-vous ultérieur en fait donc partie.

Notez chaque écart et son explication. Ce qui sort de la période, vous le laissez hors de l’ensemble délimité. Dans l’export brut, cela reste, avec une mention.

Réglages d’export

  • Un PST par boîte aux lettres, pour que l’origine figure dans le nom du fichier.
  • Conservez l’arborescence des dossiers. Sinon, vous ne voyez les dossiers d’origine que dans le rapport.
  • Éléments indexés et partiellement indexés.
  • Pas de déduplication. Chaque boîte doit être complète, même si le même courriel se trouve dans deux boîtes.
  • La taille de paquet par défaut (PST 5 Go, ZIP 10 Go). Une grosse boîte se retrouve alors dans plusieurs PST. Calculez un hachage distinct pour chaque PST.

Combien de temps cela prend

Dans mes missions, un export a duré d’une demi-heure pour quelques milliers d’éléments à près de trois heures pour une boîte complète. Si c’est court, je reste sur place jusqu’à ce que le téléchargement et le contrôle soient terminés. Si c’est long, je fais les dernières étapes depuis mon bureau.

Contrôle après le téléchargement

Calculez d’abord le hachage du ZIP et laissez ensuite ce fichier intact. Extrayez dans un dossier distinct et calculez le hachage de chaque PST.

Faites ensuite un test de fumée, en fait un sondage. Le ZIP s’ouvre-t-il ? Un courriel se charge-t-il quand vous l’ouvrez à la main, et le texte est-il lisible ? Ouvrez-en un ou deux, choisis au hasard, et consignez comment vous les avez choisis. Ne lisez pas plus que nécessaire, surtout s’il s’agit de correspondance privée. De tous les contrôles ci-dessous, c’est le plus important.

L’export s’accompagne d’un rapport en fichiers CSV : les éléments, les emplacements, les réglages utilisés et une synthèse. C’est sur cela que vous basez le décompte. Dans les réglages, vous voyez après coup quelles options d’export étaient activées.

  • Comptez les éléments de chaque PST par dossier, sans modifier le PST, et comparez avec le rapport.
  • Ne reprenez pas de nombres d’Outlook. Le chiffre à côté d’un dossier est parfois le nombre d’éléments non lus.
  • Outlook écrit dans un PST dès que vous l’ouvrez. Ouvrez toujours une copie.
  • Regardez quels dossiers existent. Les conversations de Teams et de Skype sont dans la boîte et viennent avec, même si la mission ne porte que sur le courriel. Les éléments supprimés encore récupérables se trouvent dans un dossier distinct.

Si la mission ne demande pas d’analyse du contenu, le contrôle s’arrête ici : élément le plus ancien et le plus récent, dossiers et nombres. Écrivez au rapport que vous n’êtes pas allé plus loin.

Deux ensembles : A et B

Un export de boîte complète contient presque toujours plus que ce que demande la mission. Ce qu’une partie peut voir, c’est le juge qui le décide. C’est pourquoi je fais deux ensembles :

  • A : l’export brut, complet et inchangé, avec valeurs de hachage. Je le conserve sous protection.
  • B : l’ensemble délimité, avec ce qui relève sans conteste de la mission. C’est celui que je remets.

Les deux sont décrits au rapport.

La scission A/B L'export par personne se scinde en catégorie A, le matériel source conservé sous protection, et catégorie B, la production qui est remise. Le juge décide de la portée, pas l'expert. Export par personne Catégorie A matériel source, valeurs de hachage conservé sous protection, non remis Catégorie B ensemble délimité : sans conteste dans la mission, est remis C'est le juge, pas l'expert, qui décide qui voit la catégorie B.

Remise aux avocats

Avec un simple PST, un avocat ne peut pas faire grand-chose. Je remets donc un dossier contenant :

  • les PST bruts, inchangés. Qui n’a pas Outlook peut les consulter dans le GoldFynch PST Viewer gratuit, qui lit le fichier dans le navigateur sans le charger ;
  • chaque courriel en fichier .eml distinct, avec un numéro d’ordre dans le nom. Cela s’ouvre d’un double clic, avec les pièces jointes ;
  • une liste Excel avec, par courriel, le numéro, le dossier, la date en heure belge, l’expéditeur, les destinataires, l’objet, les pièces jointes et un lien vers le fichier ;
  • un LISEZMOI.txt qui explique ce qui se trouve où et ce qui est sorti de la période ;
  • un manifeste avec le SHA-256 de chaque fichier.

Je ne fais pas de PDF à l’avance. L’avocat les fait lui-même à partir des courriels qu’il veut utiliser comme pièces, car la conversion fait perdre des métadonnées.

Un .eml issu d’un PST est une reconstruction. Pour le courrier reçu, les en-têtes d’origine sont conservés ; pour le courrier envoyé, les brouillons et les éléments de calendrier, ils sont reconstitués. Le PST brut reste donc la référence. Mentionnez-le au rapport.

Testez l’extraction comme le fait le destinataire : avec la fonction d’extraction de Windows, dans un dossier au chemin long, par exemple sous OneDrive. Les objets de courriels donnent vite des chemins de plus de 260 caractères, et les émojis dans un objet donnent des noms de fichiers qui ne s’ouvrent pas partout. Raccourcissez donc l’objet dans le nom du fichier, avec des caractères ordinaires seulement, et conservez le numéro et la date. Consignez les anciens et les nouveaux noms dans un fichier distinct. Le contenu du .eml ne change pas pour autant.

La manière dont j’envoie le dossier : Boomerang et transmission par deux canaux.

Sources

Purview change régulièrement le nom de ses écrans. En cas de doute, suivez la documentation (en anglais) :