Le 14 octobre 2025, Microsoft a mis fin au support d’Exchange Server 2016 et 2019. Les entreprises prêtes à payer recevaient encore des mises à jour de sécurité via le programme Extended Security Updates (ESU). Ce programme se termine lui aussi le 31 octobre 2026, et Microsoft a annoncé qu’il ne serait pas prolongé. À partir de novembre, plus aucune mise à jour ne paraîtra pour ces versions, même contre paiement.
Pourtant, de nombreuses PME ont encore un tel serveur dans leur local technique. Il tourne, les e-mails arrivent, et à première vue rien ne pousse à changer.
Pourquoi un Exchange sans correctifs est risqué
Un serveur Exchange est directement accessible depuis internet, sinon Outlook en télétravail et les e-mails sur smartphone ne fonctionnent pas. C’est précisément ce qui en fait une cible privilégiée. En 2021, les failles connues sous le nom de ProxyLogon ont permis de compromettre des dizaines de milliers de serveurs dans le monde en quelques jours. Les attaquants recherchent ces systèmes de manière automatisée, et celui qui contrôle le serveur de messagerie trouve en général aussi un chemin vers l’Active Directory.
Si une nouvelle faille est découverte après fin octobre, elle restera ouverte sur Exchange 2016 et 2019. S’y ajoute la protection des données : la loi exige une sécurité des données appropriée, et un serveur sans mises à jour de sécurité est difficile à justifier. Plus de détails dans l’article sur les mesures informatiques selon la nLPD.
Option 1 : Exchange Server Subscription Edition
Exchange Server SE est disponible depuis le 1er juillet 2025 et succède directement à Exchange 2019. Techniquement, la première version correspond largement à Exchange 2019 CU15. La nouveauté, c’est le modèle de licence : en plus des licences serveur et des licences d’accès (CAL), il faut une Software Assurance active ou des licences par abonnement pour tous les utilisateurs. Le serveur reste dans vos locaux, les coûts de licence reviennent chaque année.
La transition la plus simple part d’Exchange 2019 CU15 sur Windows Server 2022 ou 2025, où une mise à niveau sur place est possible. Exchange 2016 ne peut pas être mis à niveau directement. Il faut un nouveau serveur vers lequel les boîtes aux lettres sont déplacées.
Point important pour la planification : la deuxième mise à jour cumulative (CU2) d’Exchange SE ne s’installe que si aucun ancien serveur Exchange n’est encore enregistré dans l’organisation. Les anciens serveurs doivent donc être désinstallés proprement, les éteindre ne suffit pas.
Option 2 : Microsoft 365
Avec Exchange Online, Microsoft se charge de l’exploitation et des mises à jour. Cela convient aux entreprises qui travaillent déjà avec Teams, OneDrive ou SharePoint. La migration passe généralement par une configuration hybride : les boîtes aux lettres sont déplacées progressivement et les utilisateurs ne remarquent presque rien. Si un serveur Exchange reste ensuite sur place pour l’administration, Microsoft fournit une licence hybride gratuite.
Il faut toutefois tenir compte de l’emplacement des données. Elles sont hébergées par un fournisseur américain, même si Microsoft exploite des centres de données en Suisse. Que cela convienne à votre entreprise dépend de votre secteur et de votre clientèle. Le contexte est expliqué dans l’article sur la souveraineté numérique.
Option 3 : Zimbra
Zimbra est une plateforme de messagerie, d’agenda et de contacts qui fonctionne sur vos propres serveurs Linux ou chez un hébergeur suisse. Il existe une édition open source et la Network Edition payante, avec support de l’éditeur. La Network Edition inclut un connecteur qui synchronise e-mails, agendas et contacts avec Outlook. Pour les collaborateurs, Outlook reste donc le programme habituel.
Pour les PME qui veulent garder leurs données en Suisse sans abonnements Microsoft, Zimbra est une alternative éprouvée. La migration demande un peu plus de planification qu’avec Microsoft 365, car les boîtes aux lettres, les agendas et les partages doivent être transférés.
Comment procéder
- Faire l’inventaire. Quelle version d’Exchange et quel CU tournent sur quel Windows Server ? Combien de boîtes aux lettres, quel volume, et quels appareils ou logiciels envoient des e-mails via le serveur, par exemple les scanners ou l’ERP ?
- Décider. L’emplacement des données, le budget et les licences Microsoft existantes donnent généralement la direction.
- Faire la transition. D’ici la migration, installer les dernières mises à jour disponibles et ne rendre Outlook sur le web accessible que par VPN.
- Migrer et faire le ménage. Après le transfert, désinstaller l’ancien serveur et vérifier les enregistrements DNS pour SPF, DKIM et DMARC.
Nous planifions la migration avec vous
Nous gérons des environnements Exchange, Microsoft 365 et Zimbra et connaissons les écueils de chacune de ces trois voies. Ensemble, nous déterminons la solution adaptée à votre entreprise et migrons les boîtes aux lettres en dehors des heures de bureau. Plus d’informations sous sécurité e-mail et serveurs et virtualisation. Si vous exploitez encore d’anciens serveurs Windows, consultez l’article sur la fin du support de Windows Server 2016.
Questions fréquentes
Notre Exchange fonctionne-t-il encore après la fin du support ?
Oui. Le serveur continue de tourner et les e-mails sont distribués. Mais aucune mise à jour de sécurité ne paraît plus, les nouvelles failles restent ouvertes.
Peut-on encore acheter les Extended Security Updates ?
Non. Le programme se termine le 31 octobre 2026 et, selon Microsoft, ne sera pas prolongé.
Exchange SE vaut-il la peine pour une petite entreprise ?
Rarement pour les très petites structures, car licences, serveur et exploitation coûtent généralement plus qu’un service hébergé. Exchange SE a du sens lorsque les données doivent rester sur place et que des licences Microsoft avec Software Assurance existent déjà.
Combien de temps dure une migration ?
Pour une PME de 10 à 50 boîtes aux lettres, il faut en général quelques jours de préparation et un week-end pour la bascule. La durée dépend surtout du volume de données.
