La stratégie de groupe (GPO) est l'outil historique des administrateurs Active Directory pour imposer une configuration à un parc Windows. Beaucoup l'utilisent pour déployer une signature Outlook : un script copie des fichiers de signature dans le profil de l'utilisateur et écrit quelques valeurs de registre. La méthode fonctionne — sur un périmètre précis. Ce guide en détaille les étapes, la mécanique du registre Outlook, puis les limites qui poussent la plupart des organisations vers une approche infonuagique.
%APPDATA%\Microsoft\Signatures et en écrivant les valeurs NewSignature et ReplySignature dans le registre. La méthode ne vise que les postes Windows joints au domaine avec Outlook classique : elle ignore Outlook sur le web, Mac, le mobile et le nouvel Outlook, et ne gère que des signatures statiques.
- Signature Outlook par GPO : de quoi parle-t-on ?
- Où Outlook stocke la signature (registre et fichiers)
- Comment déployer une signature par GPO, étape par étape
- Quelles sont les limites de la méthode GPO ?
- GPO ou solution infonuagique : comparatif
- Quand la GPO suffit, quand passer au nuage
- Questions fréquentes
Signature Outlook par GPO : de quoi parle-t-on ?
Outlook pour Windows (version bureau classique) stocke chaque signature sous forme de trois fichiers — .htm, .rtf et .txt — dans le dossier %APPDATA%\Microsoft\Signatures de l'utilisateur. Le choix de la signature par défaut, lui, est inscrit dans le registre Windows, propre à chaque compte (ruche HKEY_CURRENT_USER).
Déployer une signature par GPO revient donc à automatiser deux gestes : déposer les bons fichiers dans le profil de chaque utilisateur, puis pointer le registre vers la signature à utiliser. On y parvient avec un script d'ouverture de session lié à un objet de stratégie de groupe, ou avec une préférence de stratégie de groupe (GPP) pour la partie registre. C'est une approche « poste Windows joint au domaine », héritée d'un monde antérieur au nuage.
Où Outlook stocke la signature (registre et fichiers)
Deux emplacements travaillent de concert :
- Les fichiers de signature :
%APPDATA%\Microsoft\Signaturescontient un trio de fichiers par signature, nommés d'après le nom affiché dans Outlook (par exempleEntreprise.htm). - Le registre : sous
HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\MailSettings, la valeurNewSignatureindique la signature des nouveaux messages etReplySignaturecelle des réponses et transferts. On y inscrit le nom du fichier sans extension.
Le 16.0 correspond aux versions récentes d'Outlook (Microsoft 365, 2016, 2019, 2021). Écrire ces valeurs sans que les fichiers correspondants existent dans le profil laisse Outlook sans signature à charger — les deux étapes sont indissociables.
Comment déployer une signature par GPO, étape par étape
La marche à suivre combine un partage réseau, un script et une GPO liée à une unité d'organisation :
- Créez la signature de référence dans Outlook, puis récupérez les fichiers générés (
.htm,.rtf,.txt) dans%APPDATA%\Microsoft\Signatures. - Déposez ces fichiers sur un partage réseau accessible en lecture par les utilisateurs ciblés.
- Rédigez un script de connexion (batch ou PowerShell) qui copie les fichiers du partage vers le dossier
Signaturesdu profil local. - Faites écrire par ce même script les valeurs
NewSignatureetReplySignaturesousHKCU\...\Common\MailSettings. - Créez un objet de stratégie de groupe et liez-y le script d'ouverture de session, ou utilisez une préférence de registre (GPP) pour la partie clés.
- Liez la GPO à l'unité d'organisation visée, forcez une mise à jour (
gpupdate /force) et testez sur un poste Windows joint au domaine.
Certaines organisations verrouillent ensuite la modification de la signature par l'utilisateur, mais ce verrouillage n'est ni complet ni portable d'une version d'Outlook à l'autre.
Quelles sont les limites de la méthode GPO ?
La GPO reste un instrument de parc Windows. Appliquée aux signatures, elle bute sur plusieurs murs :
- Windows et domaine uniquement. Il faut un poste joint à Active Directory. Les appareils en Entra join pur, hors domaine ou personnels échappent à la GPO.
- Aucune couverture web, Mac ou mobile. Outlook sur le web, Outlook pour Mac et les applications mobiles n'utilisent pas le registre Windows : ils n'afficheront jamais la signature poussée par GPO.
- Le nouvel Outlook. Le nouvel Outlook pour Windows repose sur le moteur web (OWA) et ne lit pas ces clés de registre — la méthode y devient inopérante.
- Signature statique. Le fichier déployé est le même pour tous. Personnaliser le nom, le titre ou le téléphone par employé exige un script qui interroge Active Directory et génère un fichier par utilisateur.
- Maintenance lourde. Chaque changement de logo, de mention légale ou de campagne oblige à régénérer les fichiers, à mettre à jour le partage et à attendre la prochaine ouverture de session de chacun.
- Contrôle laissé à l'utilisateur. Une fois les fichiers dans le profil, rien n'empêche l'employé de modifier ou de supprimer la signature entre deux connexions.
La GPO n'insère rien à l'envoi : elle prépare une signature que l'utilisateur peut toujours retirer. Elle ne garantit donc pas qu'une mention légale ou un avis de confidentialité figure réellement sur chaque courriel sortant.
GPO ou solution infonuagique : comparatif
Une solution moderne comme ATOM Signatures applique la signature par un complément Outlook côté client, indépendant du domaine et du registre. Le contraste est net :
| Critère | GPO (registre) | Solution infonuagique (complément) |
|---|---|---|
| Postes couverts | Windows joints au domaine seulement | Tout appareil connecté à Microsoft 365 |
| Outlook web / Mac / mobile | Non couvert | Couvert |
| Nouvel Outlook | Non pris en charge | Pris en charge |
| Champs dynamiques (titre, téléphone) | Script AD à maintenir | Tirés en temps réel via Microsoft Graph |
| Ciblage | Par unité d'organisation AD | Par groupe Microsoft 365 |
| Mise à jour | Régénérer fichiers + prochaine connexion | Instantanée, centralisée |
| Édition par l'utilisateur | Possible (dérive) | Contrôlée par l'administrateur |
Pour déployer une signature uniforme à toute une organisation, quel que soit l'appareil, l'approche infonuagique lève d'un coup les contraintes de la GPO. Voir le guide déployer une signature Outlook pour toute l'organisation.
Quand la GPO suffit, quand passer au nuage
La GPO peut convenir à une organisation entièrement Windows, tout le monde sur Outlook classique de bureau, joint à un domaine Active Directory, avec une signature simple et rarement modifiée, et une équipe TI à l'aise avec le scriptage. Dans ce cadre étroit, elle évite un abonnement.
Il faut passer à une solution infonuagique dès qu'un de ces éléments apparaît : des Mac ou des mobiles, Outlook sur le web, le nouvel Outlook, des appareils hors domaine ou en télétravail, des champs qui varient d'un employé à l'autre, des mises à jour fréquentes, ou l'exigence qu'une mention légale figure sur chaque envoi. C'est la réalité de la plupart des parcs Microsoft 365 aujourd'hui. Pour le contexte plus large, voir le guide des signatures Microsoft 365.
Questions fréquentes
Peut-on déployer une signature Outlook uniquement avec une GPO ?
Oui, mais seulement sur des postes Windows joints au domaine, avec Outlook classique (bureau). La GPO copie des fichiers de signature et écrit des valeurs de registre sous HKCU. Elle ne couvre ni Outlook sur le web, ni Mac, ni mobile, ni le nouvel Outlook, où le registre Windows n'existe pas ou n'est pas lu.
Quelle clé de registre Outlook contrôle la signature ?
Sous HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\MailSettings, les valeurs NewSignature et ReplySignature indiquent le nom du fichier de signature (sans extension) à utiliser pour les nouveaux messages et les réponses. Les fichiers eux-mêmes résident dans %APPDATA%\Microsoft\Signatures.
La GPO peut-elle insérer des champs dynamiques comme le titre ou le téléphone ?
Pas nativement. La GPO déploie un fichier statique. Pour personnaliser par employé, il faut un script qui lit Active Directory et génère un fichier par utilisateur, ce qui alourdit fortement la maintenance. Une solution infonuagique tire ces champs en temps réel via Microsoft Graph.
Un utilisateur peut-il modifier ou supprimer la signature poussée par GPO ?
Oui. Une fois les fichiers copiés dans son profil, l'utilisateur garde le contrôle dans Outlook et peut éditer ou supprimer la signature. Le script se ré-applique à la prochaine ouverture de session, mais rien n'empêche une divergence entre deux connexions.
Une signature sur tous les Outlook, sans GPO ni script. ATOM Signatures applique la signature de votre organisation côté client — Windows, Mac, web et mobile — avec des champs à jour via Microsoft Graph et un hébergement 100 % canadien.
Pour aller plus loin : déployer une signature pour toute l'organisation et le guide complet des signatures Microsoft 365.
Sources
- Microsoft Learn — configuration des signatures Outlook et emplacement des fichiers : learn.microsoft.com
- Documentation Microsoft sur la stratégie de groupe (Group Policy) et les scripts d'ouverture de session.