Module 7 · 7.1
Français
Droits et gestion minimale
Module 7: Accès, fournisseurs et cloud · Temps de lecture : 10 minutes
Objectif pédagogique : Après cette leçon, vous saurez organiser les droits d'accès selon le principe du « strict minimum » : un compte propre à chaque personne, des droits d'administration séparés, des accès externes temporaires et limités, et une méthode fixe pour les arrivées, les changements de poste et les départs.
Notions clés : moindre privilège (least privilege), compte personnel, compte partagé, compte administrateur, séparation des tâches, arrivée, mobilité interne et départ, tableau de suivi des accès
Le principe : le strict minimum
Le moindre privilège (en anglais : least privilege) signifie que chaque personne reçoit exactement l'accès nécessaire à son travail, et pas plus. Le NIST le décrit comme un principe selon lequel les utilisateurs ne disposent que des droits strictement nécessaires à l'exécution de leurs tâches.
Pourquoi est-ce important ? Parce que tout compte peut tôt ou tard être compromis : par phishing (module 3), par un mot de passe divulgué (leçon 1.4) ou par un ordinateur portable infecté. Ce qu'un attaquant peut alors faire dépend entièrement des droits de ce compte. Le compte d'un stagiaire qui ne gère que les réseaux sociaux donne peu de pouvoir. Le compte de quelqu'un qui est administrateur de tout « par commodité » donne accès à tout : la messagerie, les paiements, le site web, les sauvegardes.
Des droits minimaux ne réduisent donc pas le risque d'intrusion, mais ils réduisent les dégâts. C'est le même principe que pour les clés d'un bâtiment : la personne chargée du ménage a une clé de la porte d'entrée, pas du coffre-fort.
Un compte propre à chaque personne
Un compte partagé est un compte sur lequel plusieurs personnes se connectent avec le même mot de passe : « nous utilisons tous info@example.com pour nous connecter au logiciel de comptabilité ». Cela semble pratique, mais cela présente quatre inconvénients majeurs :
- Vous ne savez pas qui a fait quoi. Le journal d'activité n'indique que « info ». Si un paiement est modifié, vous ne pouvez pas savoir par qui.
- Vous ne pouvez couper l'accès à personne individuellement. Si quelqu'un part, vous devez changer le mot de passe pour tout le monde, ce qui, en pratique, n'est souvent pas fait.
- L'authentification à deux facteurs fonctionne mal. Le code arrive sur un seul téléphone, donc la 2FA est désactivée ou le code est transmis à tout le monde.
- Le mot de passe circule par WhatsApp, sur des bouts de papier et par e-mail, et n'est donc plus secret.
Un compte personnel résout tous ces problèmes : identifiants propres, 2FA propre, journal d'activité propre, et possibilité de le fermer individuellement. Presque tous les services professionnels prennent en charge plusieurs utilisateurs avec des droits propres. Une adresse partagée comme info@ peut tout à fait continuer d'exister en tant qu'adresse ; donnez alors aux personnes qui la consultent un accès via leur propre compte, si votre système de messagerie le permet.
Des droits d'administration séparés
Un compte administrateur peut créer des utilisateurs, modifier des droits, changer des paramètres et souvent aussi supprimer des données. C'est précisément pour cela que vous devez l'utiliser le moins possible.
- Travaillez au quotidien avec un compte ordinaire et ne vous connectez en tant qu'administrateur que lorsque vous devez effectuer une tâche d'administration. Cela vaut aussi pour votre ordinateur portable (leçon 5.2).
- Assurez-vous d'avoir au moins deux personnes disposant de droits d'administration sur les services les plus importants, ou un compte d'urgence bien conservé. Si le seul administrateur est malade ou absent, vous êtes bloqué.
- Mais aussi pas plus que nécessaire. Cinq administrateurs dans une entreprise de huit personnes, c'est quatre de trop.
- Activez l'authentification à deux facteurs sur chaque compte administrateur, de préférence une méthode résistante au phishing (leçon 2.4).
La séparation des tâches va encore plus loin : une seule personne ne doit pas pouvoir réaliser seule une opération sensible de bout en bout. L'exemple le plus connu figurait dans la leçon 1.2 : la personne qui saisit un nouvel IBAN de fournisseur ne doit pas être celle qui valide également le paiement. Dans une petite entreprise, cela peut se faire simplement : l'une prépare le paiement, l'autre le valide dans l'application bancaire.
Les partenaires externes : accès temporaire et limité
Les créateurs de sites web, comptables, prestataires informatiques et freelances ont souvent besoin d'un accès. L'erreur classique consiste à leur donner votre propre mot de passe. Ils peuvent alors tout faire comme vous, et vous ne savez plus, après coup, qui a encore accès.
Il vaut mieux :
- Donner un compte propre avec uniquement les droits nécessaires. Un comptable a besoin des factures, un créateur de site web des fichiers d'un seul site.
- Donner un accès avec une date de fin s'il s'agit d'une mission ponctuelle. De nombreux systèmes permettent de faire expirer automatiquement un compte ou une clé.
- Limiter, dans la mesure du possible, depuis quel réseau une personne peut se connecter.
- Consigner qui dispose de quel accès externe, et pourquoi.
Arrivée, mobilité interne et départ
Les droits s'accumulent naturellement. Quelqu'un commence au service commercial, aide quelques mois à l'administration, puis passe à la production. Si personne n'y prête attention, cette personne dispose, au bout de deux ans, des droits des trois fonctions. C'est pourquoi vous devez gérer les droits à trois moments :
| Moment | Ce que vous faites |
|---|---|
| Arrivée (nouveau collaborateur) | Créer des comptes propres avec les droits liés à la fonction, configurer la 2FA immédiatement, expliquer où se trouve quoi |
| Mobilité interne (changement de poste) | Ajouter les nouveaux droits ET retirer les anciens |
| Départ | Le dernier jour de travail : désactiver les comptes, révoquer les sessions sur les appareils, changer les mots de passe partagés, transférer les fichiers |
Lors d'un départ, l'ordre des opérations est important. D'abord transférer, ensuite désactiver, et supprimer seulement plus tard. Si vous supprimez un compte immédiatement, les fichiers, agendas et e-mails de cette personne disparaissent aussi chez de nombreux services. Chez certains services cloud, cela devient définitif après un court délai : Microsoft 365 conserve, selon sa propre documentation, le OneDrive d'un utilisateur supprimé pendant 30 jours par défaut. La désactivation, elle, conserve les données et ferme l'accès.
N'oubliez pas, lors d'un départ : les règles de transfert automatique que la personne a configurées (leçon 2.5), les mots de passe d'application, l'accès à l'application bancaire, aux réseaux sociaux et au bureau d'enregistrement de votre domaine, ainsi que les clés ou badges du bâtiment.
Le tableau de suivi des accès
Un tableau de suivi des accès est un simple tableau indiquant, pour chaque service, qui a accès, avec quels droits, et s'il s'agit d'un compte propre ou externe. Relisez cette liste au moins deux fois par an, et systématiquement après un départ. Pour chaque ligne, posez-vous une question : cette personne a-t-elle encore besoin de cet accès aujourd'hui ?
En pratique : voici à quoi cela ressemble
Dans l'environnement d'exemple Mon WebOké, vous invitez un collègue, un comptable ou un créateur de site web en tant qu'utilisateur. Cette personne se connecte avec ses propres identifiants, et vous cochez, pour chaque autorisation, ce qu'elle peut faire, par exemple uniquement Factures pour le comptable. Seul le propriétaire du compte peut inviter des utilisateurs et modifier les droits, et un seul bouton permet de révoquer l'accès. Dans DirectAdmin, vous pouvez donner à un créateur de site web son propre compte FTP limité à un seul dossier, ou une clé de connexion avec une date d'expiration, des commandes limitées et un accès autorisé uniquement depuis certaines adresses IP.
Dans Nextcloud, lorsqu'un collègue quitte l'entreprise, choisissez d'abord Désactivé : il ne peut plus se connecter, mais les fichiers restent conservés. La documentation est claire : ne supprimez l'utilisateur qu'une fois que tout a été repris, car un utilisateur supprimé disparaît définitivement avec tous ses fichiers. Dans d'autres systèmes, le fonctionnement est comparable, mais les noms et délais diffèrent ; vérifiez-le avant qu'une personne ne parte.
Résumé
- Des droits minimaux limitent les dégâts si un compte est compromis.
- Un compte propre à chaque personne : vous savez alors qui a fait quoi et pouvez couper l'accès à quelqu'un individuellement.
- Les droits d'administration ne s'utilisent que lorsque c'est nécessaire, pour un petit nombre de personnes, avec une 2FA robuste.
- Les partenaires externes reçoivent un compte propre, limité et si possible temporaire, jamais votre mot de passe.
- Organisez les droits lors des arrivées, mobilités internes et départs ; en cas de départ : transférer, désactiver, supprimer plus tard.
Quiz
Exercice
Exercice A7.1: Qui reçoit quel accès ? Vous recevez une série de situations issues d'une petite entreprise (un nouveau comptable, un créateur de site web pour une mission, un collègue qui part, un stagiaire). Pour chaque situation, choisissez la meilleure façon de donner ou de fermer un accès. Le programme vérifie votre choix et vous explique pourquoi.
Exercice D7.1: Votre état des lieux des accès. Créez un tableau de suivi des accès pour vos cinq services les plus importants : qui a accès, avec quels droits, compte propre ou partagé, interne ou externe. Supprimez au moins un droit superflu ou un compte partagé et rédigez votre liste de départ pour la prochaine fois que quelqu'un quittera l'entreprise.
Exercice D7.1: Votre état des lieux des accès
Voici comment procéder : (1) Choisissez vos cinq services les plus importants (par exemple messagerie, comptabilité, banque, panneau d'hébergement, stockage cloud, bureau d'enregistrement de votre domaine). (2) Établissez pour chaque service un état des lieux : qui a accès (rôle, pas besoin de noms), quels droits, compte personnel ou partagé, interne ou externe, authentification à deux facteurs (2FA) activée, date de la dernière connexion si le service l'indique. (3) Consultez dans chaque service la liste des utilisateurs et comparez la à votre état des lieux. Notez les différences. (4) Supprimez au moins un droit superflu, un compte ancien ou un compte partagé, ou remplacez un compte partagé par des comptes personnels. (5) Vérifiez pour chaque service combien d'administrateurs il y a ; visez deux. (6) Rédigez votre liste de départ : que faire le dernier jour de travail de quelqu'un (désactiver les comptes, révoquer les sessions, vérifier les règles de transfert et les mots de passe d'application, modifier les mots de passe partagés, transférer les fichiers, banque, réseaux sociaux, bureau d'enregistrement, clés et badges). (7) Planifiez un rendez vous récurrent (deux fois par an) pour revoir cet état des lieux.
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.
- Guide WebOké 11.3: Inviter des utilisateurs et attribuer des droits
- Guide Nextcloud 14.2: Créer, modifier, désactiver et supprimer des utilisateurs
- Guide Nextcloud 14.7: Droits : qui gère quoi dans votre Nextcloud ?
- Guide Nextcloud 16.7: Un collègue quitte l'entreprise : reprendre en toute sécurité les fichiers, l'agenda et les dossiers partagés
- Guide DirectAdmin 3.5: Clés de connexion : se connecter pour des scripts et des programmes
- Guide DirectAdmin 11.6: Créer et gérer des comptes FTP
- NIST, Glossary: least privilege (en anglais) : https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (en anglais) : https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion