Exchange Server sur site : déployer, sécuriser et dépanner

Cette rubrique couvre la messagerie Exchange installée sur vos propres serveurs : préparer Active Directory, installer le rôle Mailbox, rendre les bases hautement disponibles, exposer le flux SMTP par un serveur en DMZ, diagnostiquer une panne et tenir le tout à jour. Les procédures viennent de Microsoft Learn et du blog de l'équipe Exchange ; les numéros de build, qui changent à chaque publication, sont liés plutôt que recopiés.

Exchange 2016 et 2019 : fin du support, place à SE

D'après les pages de cycle de vie de Microsoft, le support étendu d'Exchange 2016 et d'Exchange 2019 a pris fin le 14 octobre 2025. Depuis, seules les organisations inscrites au programme de mises à jour de sécurité étendues (ESU) reçoivent encore des correctifs pour ces deux versions.

Ce sursis a une date de fin. Dans un billet du 14 août 2026, l'équipe Exchange écrit qu'il n'y aura pas de nouvelle prolongation et qu'une fois octobre 2026 terminé, plus aucune mise à jour ne sera publiée pour Exchange 2016 et 2019, même avec un ESU. Un serveur qui reste dans ces versions au-delà de cette date reste donc définitivement sans correctif.

La version à installer ou à viser est Exchange Server Subscription Edition (SE), disponible depuis le 1er juillet 2025. Microsoft indique qu'elle suit la politique de cycle de vie moderne, et sa page de cycle de vie la donne « In Support », sans date de retrait. Le même billet renvoie, pour Exchange 2019, vers une mise à niveau sur place depuis les CU14 ou CU15 vers SE RTM, que l'équipe Exchange présente comme peu risquée.

L'ordre de lecture

Les cinq tutoriels suivent l'ordre dans lequel une organisation se construit. Chacun indique en tête la version qu'il vise et part d'une topologie de lab, avec des adresses privées.

1. Déployer le premier serveur

Le guide de déploiement d'Exchange Server SE réunit ce qui était autrefois découpé en plusieurs parties : prérequis Windows, extension du schéma et préparation d'Active Directory, installation silencieuse du rôle Mailbox, vérification avec Get-ExchangeServer et question du certificat. C'est la page à lire en premier, même si vous ne faites que préparer une migration : elle liste les conditions qui font échouer le programme d'installation.

2. Rendre les bases hautement disponibles

Un serveur seul est un point de panne. La page sur le groupe de disponibilité de base de données (DAG) explique le quorum, le rôle du serveur témoin et la création du DAG en trois cmdlets. Elle rappelle une règle qui conditionne toute migration : tous les membres d'un DAG doivent exécuter la même version d'Exchange. On ne convertit donc pas un DAG 2016, on en crée un nouveau.

3. Exposer le flux SMTP par la DMZ

Le serveur de transport Edge reçoit le courrier d'Internet sans rejoindre le domaine. La page détaille les ports à ouvrir, l'abonnement Edge à importer dans les 24 heures, puis le contrôle de la synchronisation EdgeSync. Exposé directement à Internet et sans service d'atténuation d'urgence, ce serveur doit recevoir chaque mise à jour au même rythme que les serveurs internes.

4. Diagnostiquer une panne

Le dépannage d'Exchange avec les outils Microsoft donne un ordre de contrôle, du plus général au plus précis : le niveau de mise à jour, les services, le flux de messagerie, les boîtes aux lettres, la réplication du DAG, puis les journaux. Aucune des commandes présentées ne modifie la configuration.

5. Corriger et prouver qu'on a corrigé

La page sur les failles zero-day d'Exchange et leurs correctifs revient sur les vagues d'attaques de 2021 et 2022, avec les CVE, les versions touchées et les alertes du CERT-FR, sans aucun détail d'exploitation. Elle présente aussi le service d'atténuation d'urgence (EEMS), dont la table publiée par Microsoft montre qu'il sert toujours : son atténuation M2 vise une vulnérabilité de 2026.

Le rythme des mises à jour

Toutes les pages convergent vers une règle : un serveur Exchange exposé doit avoir la dernière mise à jour de sécurité, et l'on doit pouvoir le vérifier. L'équipe Exchange recommande d'inventorier les serveurs avec le script Health Checker, d'installer la dernière mise à jour cumulative puis la mise à jour de sécurité, de redémarrer et de vérifier que tous les services ont démarré. Un service resté désactivé signale une installation interrompue.

Appliquez chaque mise à jour d'abord sur un serveur de test ou sur un membre de DAG dont les bases actives ont été basculées ailleurs, après une sauvegarde.

Par où commencer

• Vous montez un lab ou une nouvelle organisation : le déploiement, puis le DAG.
• Vous avez encore Exchange 2016 ou 2019 : la section ci-dessus sur SE, puis le déploiement pour les prérequis.
• Le courrier est bloqué ou Outlook se déconnecte : le dépannage.
• Une alerte de sécurité vient de tomber : la page sur les failles et les correctifs.
• Vous ajoutez un relais en DMZ : le serveur Edge.