Page mise à jour le
Ce que l'API permet
Ce que Microsoft 365 expose réellement
Repris de la documentation publique de l'éditeur, pas d'une plaquette commerciale. Le lien vers cette documentation est en bas de page.
Microsoft Graph : une porte, plusieurs ressources
Un même point d'entrée, graph.microsoft.com, sert le mail, le calendrier, OneDrive, SharePoint, les utilisateurs, les groupes, Teams selon les permissions accordées. La version v1.0 est celle de production ; la beta n'a pas vocation à y aller. On lit, on crée, on met à jour, on supprime, avec des droits distincts pour chaque verbe. Un droit de lecture sur sa propre boîte n'ouvre pas celle du voisin. Les écritures ont une taille maximale documentée de 4 Mo par requête, parfois moins pour une pièce jointe.
Deux familles de permissions, deux consentements
Déléguées : l'appli agit au nom de l'utilisateur, dans la limite de ce qu'il peut déjà faire. Applicatives : l'appli agit sans utilisateur, sur tout ce que le droit couvre — par exemple toutes les boîtes si on a demandé Mail.ReadWrite sur l'organisation. Seuls un administrateur général ou un administrateur de rôle privilégié consentent aux permissions applicatives. Les politiques du tenant peuvent aussi bloquer le consentement utilisateur sur les déléguées. Moins on demande, plus l'admin a une raison d'accepter.
Le rythme est limité, et le Retry-After fait foi
Graph coupe quand un tenant, ou une application, envoie trop. Les plafonds varient selon la ressource (mail, fichiers, annuaire). La réponse 429 (ou équivalent) porte un délai Retry-After : on attend ce délai, on ne relance pas plus vite. Un agent qui ignore cet en-tête se fait couper plus longtemps. Microsoft le documente comme le comportement attendu, pas comme un incident.
Boîtes, fichiers, agenda : le moindre privilège
Lire ma boîte n'est pas lire toutes les boîtes. Écrire dans un site SharePoint n'est pas écrire dans tous les sites. Graph expose des permissions granulaires, et Microsoft recommande explicitement de ne demander que celles du geste. Une appli « Directory.ReadWrite.All parce que ça ira plus vite » est un refus d'admin en puissance, et une surface d'attaque réelle. On liste les gestes, on en déduit trois droits, pas trente.
Utiliser l'API Microsoft Graph (nouvel onglet) — Entrée officielle Graph : méthodes, versions v1.0/beta, taille d'écriture 4 Mo, Retry-After. Consultée le 21-08-2026.
Trois automatisations concrètes
Ce qu'on met en place avec
Trois situations réelles, décrites comme du travail plutôt que comme de la technique.
Ranger la pièce reçue dans le bon site
Un e-mail de fournisseur avec PDF : l'agent dépose le fichier dans la bibliothèque SharePoint ou le dossier OneDrive du dossier, pose une catégorie Outlook « classé ». Il ne paie pas la facture. Les pièces ambiguës restent dans la boîte, avec une tâche interne. Le salarié en congés n'emporte plus la seule copie.
Créer l'événement dans l'agenda de qui s'y rend
Un rendez-vous confirmé ailleurs crée l'événement Outlook, avec les participants prévus. Un report le met à jour. On n'invite pas tout le tenant. Teams peut porter la visio si c'est la règle d'équipe, pas par défaut universel. Un agenda que l'agent remplit sans règle de durée et de salle devient un bruit que les gens ferment.
Préparer le mail de relance, l'envoyer depuis la boîte d'équipe
L'agent rédige depuis facturation@ ou contact@, jamais depuis la boîte personnelle d'un commercial, sauf demande explicite. Vous validez le premier palier tant que la confiance n'y est pas. Graph envoie. Le statut de paiement se lit dans la compta, pas dans Outlook. Une relance partie, le fil reste dans la boîte d'équipe, lisible quand la personne change.
Limites
Ce que cette intégration ne fera pas
Les contraintes qu'on rencontre pour de vrai. Les découvrir maintenant coûte une lecture ; les découvrir en cours de projet coûte le projet.
Sans consentement d'admin, l'application ne tourne pas la nuit
Un agent sans utilisateur devant l'écran a besoin de permissions applicatives. Celles-ci n'existent qu'après le clic d'un administrateur général ou d'un administrateur de rôle privilégié, dans le centre d'admin Entra. Un utilisateur lambda ne peut pas les accorder. Si votre organisation n'a pas d'admin identifié, le projet s'arrête là : ce n'est pas un blocage technique, c'est la gouvernance du tenant. On prépare la liste des droits, en français, avant la réunion d'admin.
Les politiques conditionnelles et de consentement s'appliquent
Un tenant peut interdire le consentement utilisateur, exiger un fournisseur approuvé, poser un accès conditionnel. Graph le rappelle : les applications doivent gérer ces cas, pas les ignorer. « Ça marchait sur le tenant de démo » ne dit rien du vôtre. Le diagnostic commence par : qui a le droit d'accepter une application ici ?
Beta n'est pas la production, 4 Mo n'est pas un disque
Les API beta peuvent casser. On ne les met pas dans un flux réel. Une écriture de plus de 4 Mo est refusée ; une pièce jointe de calendrier encore plus tôt. Un PDF lourd passe par OneDrive, pas par le corps d'un mail Graph. Ces plafonds sont documentés, ils ne se négocient pas par ticket.
Ce que brancher Microsoft 365 demande vraiment
Enregistrer l'application dans le tenant, rédiger la liste courte des permissions, obtenir le consentement admin, tester sur une boîte dédiée. Premier flux : dépôt d'un fichier, ou lecture d'une boîte d'équipe. On n'ouvre pas l'annuaire entier. Le temps long du projet, c'est souvent la réunion d'admin, pas l'écriture de l'appel Graph. On le place en tête de planning, pas en fin.
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- Vue d'ensemble des permissions Microsoft Graph (nouvel onglet)
Permissions déléguées vs applicatives ; consentement admin (administrateur général / rôle privilégié).
Vos questions
Pourquoi l'administrateur doit-il cliquer ?
Parce qu'une permission applicative donne à un programme, sans personne devant l'écran, un accès potentiellement large — par exemple lire le mail de toute l'organisation. Microsoft réserve ce clic à l'administrateur général ou à l'administrateur de rôle privilégié. C'est une décision de sécurité, pas une formalité. On lui présente les trois droits demandés, le flux concret, et ce qui n'est pas demandé. Un admin qui refuse un droit trop large a raison ; on réduit la demande, on ne cherche pas un contournement.
Peut-on se limiter à la boîte d'une équipe ?
Oui, et c'est presque toujours mieux. Graph et les politiques d'accès aux boîtes permettent de restreindre une application à certaines boîtes, même si le droit applicatif a un nom « .All ». Pour une relance, facturation@ suffit. Pour un classement de pièces, une bibliothèque SharePoint suffit. Demander l'annuaire et toutes les boîtes « pour plus tard » est le meilleur moyen d'essuyer un refus, et d'élargir la surface d'incident.
Graph remplace-t-il Teams, Outlook et SharePoint ?
Non. Graph est le moyen d'y accéder par programme. Les gens continuent de lire leur mail dans Outlook, de discuter dans Teams, de ranger dans SharePoint. L'agent écrit dans ces endroits pour que le travail humain retrouve l'information. Une intégration qui « remplace Outlook » n'existe pas ; une intégration qui prépare le mail et classe la pièce, si. On le dit clairement à l'équipe, pour qu'elle n'attende pas la disparition de ses outils.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.