Tarification Microsoft Sentinel pour PME : ce qui est vraiment gratuit

Votre facture Azure affiche Microsoft Sentinel, le montant a quatre chiffres, et quelqu'un à la direction veut savoir pourquoi. La réponse tient presque toujours au même malentendu, répété à partir de deux faits de licence sans rapport entre eux.

Ces deux faits se retrouvent compressés en une seule phrase : « Sentinel est gratuit avec E5 ». Il existe bel et bien un octroi de données Sentinel rattaché à Microsoft 365 E5. Il existe aussi un palier tarifaire de 50 Go par jour dont on parle beaucoup. Les deux n'ont rien à voir, et les confondre est le chemin le plus rapide vers un budget SIEM qui se trompe d'un ordre de grandeur.

Points clés à retenir

• L'octroi Sentinel de Microsoft 365 E5 est de 5 Mo par utilisateur par jour, pas 50 Go.
• Le palier de 50 Go par jour est un palier d'engagement payant, en préversion publique.
• Sa fenêtre d'inscription promotionnelle court jusqu'au 31 décembre 2026.
• Inscrivez-vous dans cette fenêtre et le prix promotionnel tient jusqu'au 31 mars 2027.
• Sentinel quitte le portail Azure après le 31 mars 2027, planifiez le passage au portail Defender.

Ce que l'octroi Microsoft 365 E5 vous donne réellement

L'offre d'avantage E5 de Microsoft octroie jusqu'à 5 Mo par utilisateur par jour de données Microsoft 365 ingérées dans Sentinel (Microsoft Azure). Des mégaoctets, pas des gigaoctets.

Faites le calcul pour une entreprise de 100 postes. Cent utilisateurs à 5 Mo chacun, cela fait 500 Mo par jour, soit environ un demi-gigaoctet. Cela vaut la peine d'être réclamé, c'est réellement gratuit, et c'est loin de financer un SIEM à soi seul.

L'admissibilité est aussi plus étroite que la plupart des gens le croient. Il vous faut Microsoft 365 E7, E5, A5, F5 ou G5, ou les SKU Security correspondants, détenus sous une entente Enterprise Agreement, Enterprise Subscription ou fournisseur de solutions infonuagiques.

L'octroi s'applique ensuite à quatre types de données seulement :

• Journaux de connexion et d'audit Microsoft Entra ID
• Journaux de découverte d'informatique fantôme de Microsoft Defender for Cloud Apps
• Journaux Microsoft Purview Information Protection
• Données de repérage avancé Microsoft 365

Le syslog de votre pare-feu ne compte pas. La télémétrie d'un appareil tiers non plus.

Les sources qui ne coûtent absolument rien

Indépendamment de l'octroi, un ensemble de connecteurs ne comporte aucuns frais d'ingestion (Microsoft Learn) :

• Journaux Azure Activity
• Microsoft Sentinel Health
• Journaux d'audit Office 365, incluant l'activité SharePoint, Exchange admin et Teams
• Alertes de sécurité de Defender XDR, Defender for Endpoint, Defender for Identity, Defender for Office 365, Defender for Cloud Apps et Defender for Cloud

Une nuance piège à peu près tout le monde. Les alertes sont gratuites, mais les journaux bruts sous-jacents de plusieurs de ces mêmes produits sont facturables. « Defender for Endpoint est gratuit dans Sentinel » est vrai pour l'alerte. Ce n'est pas vrai pour la télémétrie des appareils qui se trouve derrière.

Il n'y a aucune date d'expiration sur l'octroi E5

La page d'offre de Microsoft n'indique aucune date de fin. Si on vous a dit que votre avantage Sentinel expire à une date précise, on vous décrit presque certainement la promotion sur le palier d'engagement ci-dessous, qui est autre chose, avec une autre échéance.

Le palier de 50 Go est un rabais, pas un cadeau

Les paliers d'engagement vous permettent de réserver un volume d'ingestion quotidien en échange d'un taux effectif inférieur au paiement à l'utilisation. Microsoft annonce des économies allant jusqu'à 52 pour cent par rapport au paiement à l'utilisation sur l'ensemble des paliers.

Historiquement, le plus petit palier d'engagement était de 100 Go par jour, bien plus que ce qu'une petite entreprise produit. Le palier de 50 Go par jour, actuellement en préversion publique, réduit ce point d'entrée de moitié. Le mot important est engagement. Vous payez le volume réservé que vous le remplissiez ou non, et tout dépassement se facture au même taux effectif.

Les conditions promotionnelles sont précises (tarification Microsoft Sentinel) :

• La fenêtre d'inscription court du 1er octobre 2025 au 31 décembre 2026
• Le prix promotionnel tient jusqu'au 31 mars 2027 pour les clients inscrits dans cette fenêtre
• Le prix promotionnel varie selon la région et peut changer

La date qui compte est donc décembre 2026, pas juin 2026. Et ce que vous obtenez est un taux réduit, pas de la capacité gratuite.

Le palier de 50 Go par jour vous convient-il?

Pour la plupart des entreprises québécoises sous environ 200 postes, non. S'engager à 50 Go par jour alors que vous en ingérez 12 revient à payer 38 Go de vide, tous les jours. Le paiement à l'utilisation combiné à une hiérarchisation disciplinée des tables coûte généralement moins cher.

Un palier d'engagement devient rentable quand votre ingestion en régime stable se rapproche constamment du palier réservé. Calculez-le à partir de votre propre espace de travail plutôt qu'avec une règle générale. Microsoft publie un estimateur de coûts, et vos données d'utilisation Log Analytics actuelles indiquent déjà votre volume quotidien réel, table par table.

Trois leviers qui pèsent plus que n'importe quelle promotion

Selon nos observations sur le terrain, les plus grandes économies Sentinel viennent de ce que vous ingérez, pas du palier tarifaire où vous vous situez.

Placez les journaux de faible valeur dans un palier moins cher

Sentinel sépare les données du palier analytique, interrogeables et prêtes pour les alertes à plein prix, des données du palier lac, conçues pour le gros volume à faible valeur avec un coût de stockage bien moindre. Les tables à haute fidélité comme les journaux de connexion et les événements de processus des appareils appartiennent à l'analytique. Les journaux bavards de pare-feu et de proxy, généralement non.

Filtrez avant que les données n'arrivent

Azure Monitor prend en charge les transformations au moment de l'ingestion, ce qui vous permet d'écarter ou d'élaguer des événements avant qu'ils n'atteignent l'espace de travail et avant qu'ils ne soient facturés. Si vous absorbez un gros volume de journaux d'audit mais n'alertez que sur une poignée de types d'opérations, une transformation retire le reste sans affaiblir la moindre détection.

Définissez la rétention table par table

Les 90 premiers jours de rétention sont inclus. Au-delà, vous payez, ce qui fait de la rétention une décision par table plutôt qu'à l'échelle de l'espace de travail. Conservez les journaux de connexion assez longtemps pour satisfaire un assureur ou une demande liée à la Loi 25, et laissez les tables opérationnelles bruyantes expirer selon l'échéancier prévu.

L'échéance dont personne ne parle

Dans la documentation de facturation de Microsoft se cache une date qui aura plus d'impact opérationnel que n'importe quelle promotion tarifaire. Après le 31 mars 2027, Sentinel ne sera plus pris en charge dans le portail Azure et fonctionnera uniquement dans le portail Microsoft Defender (Microsoft Learn).

Si vos runbooks, vos captures d'écran et vos formations internes supposent tous le portail Azure, c'est une migration à planifier plutôt qu'à découvrir. Notre équipe de cybersécurité intègre le passage au portail dans tout mandat Sentinel au lieu d'en faire un projet distinct, et nos services TI gérés couvrent le travail d'ajustement qui suit.

Pour le volet architecture, c'est-à-dire comment Sentinel et Defender for Business s'agencent pour une plus petite équipe, consultez notre guide pour bâtir une capacité d'opérations de sécurité en PME.

FAQ

Microsoft Sentinel est-il gratuit si nous avons Microsoft 365 E5?

Pas de la façon dont on le décrit habituellement. E5 inclut un octroi allant jusqu'à 5 Mo par utilisateur par jour couvrant quatre types précis de journaux Microsoft 365, plus un ensemble de connecteurs toujours gratuits. Tout le reste est facturé au tarif normal.

Quelle quantité de données l'octroi de 5 Mo par utilisateur couvre-t-il vraiment?

Pour 100 utilisateurs, cela représente environ 500 Mo par jour. Cela absorbe généralement les journaux de connexion et d'audit Entra ID d'une entreprise de cette taille, et pas grand-chose de plus. La télémétrie des terminaux et les journaux de pare-feu se situent complètement en dehors.

Que se passe-t-il après la fermeture de la fenêtre promotionnelle de 50 Go?

Les clients inscrits avant le 31 décembre 2026 conservent le prix promotionnel jusqu'au 31 mars 2027. Microsoft n'a pas publié de tarification au-delà de cette date, et précise que le taux promotionnel varie selon la région et peut changer.

Une entreprise de 75 personnes devrait-elle choisir un palier d'engagement?

Généralement pas au début. Mesurez votre ingestion quotidienne réelle sur un mois complet, appliquez la hiérarchisation des tables et les filtres d'ingestion, puis comparez. Un palier d'engagement ne devient rentable que lorsque votre volume soutenu avoisine le palier réservé.

Faut-il un partenaire Microsoft pour obtenir ces prix?

Non. Les paliers d'engagement sont offerts via Enterprise Agreement, fournisseur de solutions infonuagiques et abonnements directs. Un partenaire peut aider au dimensionnement et à l'ajustement, mais le statut de partenaire n'est pas une condition du prix.

Sources

• Offre d'avantage Microsoft 365 E5 avec Microsoft Sentinel
• Tarification Microsoft Sentinel
• Planifier les coûts et comprendre la tarification et la facturation de Microsoft Sentinel

Vérifiez deux chiffres cette semaine : si l'octroi E5 est réellement appliqué à votre espace de travail, et à quoi ressemble votre ingestion quotidienne réelle, table par table. Ces deux nombres déterminent tout le reste de votre facture Sentinel. Si vous souhaitez un second regard, réservez une évaluation TI et nous reviendrons avec un plan chiffré.