---
title: "Comment gérer les autorisations du personnel : principe du moindre privilège, matrice des rôles et des droits, processus d'arrivée et de départ, outil d'évaluation du risque et liste de contrôle d'audit des droits"
description: "Comment gérer les droits d'accès du personnel ? Principe du moindre privilège, matrice des rôles et des droits, processus d'arrivée et de départ, revue des accès et erreurs fréquentes."
url: https://www.faprika.com/fr/blog/comment-gerer-les-autorisations-du-personnel
language: fr
site: Faprika
---

# Comment gérer les autorisations du personnel : principe du moindre privilège, matrice des rôles et des droits, processus d'arrivée et de départ, outil d'évaluation du risque et liste de contrôle d'audit des droits

> Comment gérer les droits d'accès du personnel ? Principe du moindre privilège, matrice des rôles et des droits, processus d'arrivée et de départ, revue des accès et erreurs fréquentes.

Le e-commerce grandit, et le nombre de personnes qui accèdent au panneau aussi. Au début, vous travaillez seul ; puis arrivent un employé d'entrepôt, un conseiller du service client, un spécialiste marketing, un comptable. Au départ, donner le même mot de passe à tous ou faire de chacun un administrateur semble pratique. Quelques mois plus tard, le prix d'un produit a changé du jour au lendemain, on ne sait plus qui a annulé une commande et le compte d'une personne partie est toujours ouvert.

Dans ce guide **droits d'accès du personnel** sont traités de A à Z : pourquoi ils sont nécessaires, ce que dit le principe du moindre privilège, e-commerce de quels domaines les rôles typiques de votre équipe ont besoin, comment gérer l'arrivée, le changement de rôle et le départ, à quelle fréquence revoir les droits et quelles sont les erreurs les plus fréquentes. Un indicateur estime aussi votre risque lié aux droits d'accès, et une liste de contrôle vous permet de tester votre propre organisation. Pour la double authentification, qui protège le compte lui-même, consultez [2FA (İki Faktörlü Doğrulama) Nasıl Kullanılır?](https://www.faprika.com/blog/2fa-iki-faktorlu-dogrulama-nasil-kullanilir) l'article, et pour les couches de sécurité générales du site, [E-Ticaret Sitesi Güvenlik Sistemleri](https://www.faprika.com/blog/e-ticaret-sitesi-guvenlik-sistemleri) article ; ici, nous nous concentrons sur la conception des droits d’accès de l’équipe et la sécurité au quotidien.

Idée clé

« La sécurité est souvent compromise non par une attaque extérieure, mais par la mauvaise personne qui accède au mauvais endroit en interne. Tout ouvrir à tout le monde semble rapide ; ne donner à chacun que ce qui suffit à son travail réduit les erreurs et rend chaque action traçable. »

## Qu’est-ce que la gestion des droits d’accès du personnel ?

La gestion des droits d’accès du personnel consiste à donner à chaque membre de l’équipe qui utilise le panneau d’administration e-commerce l’accès aux seuls écrans et actions dont son travail a besoin, et à fermer le reste. Un droit définit ce qu’une personne peut voir et ce qu’elle peut modifier.

Tout revient à répondre à trois questions : **Qui** peut se connecter au panneau ? **À quoi** peut-il accéder (commandes, produits, clients, prix, paramètres) ? **Que peut-il faire** (consulter uniquement, ou modifier et supprimer) ? Dès que ces trois questions ont une réponse claire pour chaque membre et chaque rôle, les droits d’accès sont en place.

| Concept | Que signifie-t-il ? | Exemple |
| --- | --- | --- |
| Vérification d'identité | Prouver qu’une personne est bien celle qu’elle prétend être | Identifiant, mot de passe, double vérification |
| Autorisation | Déterminer à quoi la personne authentifiée peut accéder | Un employé d’entrepôt voit les commandes, mais pas les prix |
| Rôle (groupe d’utilisateurs) | Un ensemble de droits attribué en bloc aux personnes qui font le même travail | Entrepôt, service client, comptabilité |
| Revue des droits d’accès | Revérifier régulièrement les droits déjà attribués | Une liste trimestrielle de qui accède à quoi |

Confondre les deux est une erreur fréquente : un mot de passe robuste ou une double vérification protège l’identité d’une personne, mais si cette personne dispose de plus de droits que nécessaire, même un utilisateur authentifié peut causer de gros dégâts. Les deux se combinent, l’un ne remplace pas l’autre.

Okumanızı öneririz

2FA (İki Faktörlü Doğrulama) Nasıl Kullanılır?

## Pourquoi la gestion des droits d’accès du personnel est-elle importante ?

La gestion des droits d’accès du personnel est importante, car elle limite l’impact des erreurs, rend les responsabilités visibles et évite que des données sensibles circulent inutilement. Même dans une petite équipe, elle apporte quatre bénéfices concrets.

- **La surface d’erreur se réduit :** un employé du service client sans accès à l’écran des prix ne peut pas modifier un prix par accident. Laisser tous les écrans ouverts, c’est laisser chaque étourderie se propager à toute la boutique.
- **La responsabilité devient traçable :** quand chacun a son propre compte, on peut savoir qui a effectué une modification. Une action faite avec un mot de passe partagé n’appartient à personne.
- **Les données restent protégées :** l’adresse, le téléphone et l’historique de commandes d’un client sont des données personnelles. Limiter leur accès à ceux dont le travail l’exige compte autant pour la confiance des clients que pour les obligations légales. Pour l’aspect juridique, consultez le guide [Comment assurer la conformité KVKK d’un site e-commerce](https://www.faprika.com/fr/blog/conformite-kvkk).
- **Les départs se passent en sécurité :** avec une organisation par rôles, on sait quels accès fermer au départ d’une personne ; aucun droit n’est oublié parce qu’il n’existait que dans la mémoire de quelqu’un.

La plupart de ces bénéfices protègent contre l’erreur humaine ordinaire, pas contre un acte malveillant. La plupart des incidents sur le panneau commencent par une personne de bonne foi qui clique au mauvais endroit. Les droits d’accès font en sorte que ce clic soit bloqué avant de causer des dégâts.

Astuce

Les droits d’accès relèvent de l’organisation, pas de la confiance

Vous ne limitez pas les droits parce que vous n’avez pas confiance en votre équipe, mais pour rendre le travail de chacun moins source de distraction et moins risqué. Expliquez-le ainsi à l’équipe ; si la restriction est perçue comme une décision personnelle, la résistance apparaît.

## Qu’est-ce que le principe du moindre privilège ?

Le principe du moindre privilège consiste à donner à une personne le plus petit ensemble de droits nécessaire pour faire son travail ; tout le reste n’est ajouté qu’en cas de besoin et pour la durée nécessaire. L’état par défaut est « fermé », et chaque droit ouvert a une raison.

En pratique, ce principe s’applique au moyen de quatre règles :

1. **Commencer fermé :** un nouveau membre de l’équipe démarre sans aucun droit ; les domaines requis par son rôle sont ouverts un par un.
2. **Séparer la consultation de la modification :** voir un écran est un droit distinct de celui de modifier les données qui s’y trouvent. Le comptable doit voir une commande, pas l’annuler.
3. **Garder les droits temporaires temporaires :** un droit supplémentaire accordé pour une semaine de campagne est retiré à la fin de la semaine. Dire « on l’enlèvera plus tard » signifie souvent « on ne l’enlèvera jamais ».
4. **Limiter les administrateurs :** le nombre de comptes ayant accès à tout reste aussi bas que possible. Chaque compte administrateur élargit la surface d’attaque et d’erreur.

Dans l’entreprise, le principe est simple : si la réponse à « que se passerait-il si cette personne ne pouvait pas faire cela ? » est « rien », ce droit ne doit pas être accordé. Ajouter un droit plus tard prend une minute ; réparer les dégâts d’un droit accordé à tort est bien plus difficile.

## Quels sont les rôles et droits typiques d’une équipe e-commerce ?

Dans les équipes e-commerce, les rôles se répartissent généralement entre commandes et entrepôt, service client, marketing, comptabilité et administrateur ; chaque rôle a besoin d’une partie différente du panneau d’administration. La matrice ci-dessous est une base de départ ; adaptez-la à votre organisation.

*Görsel: Matrice des rôles et des droits du personnel : accès des rôles entrepôt, service client, marketing, comptabilité et direction aux commandes, produits, clients, prix et paramètres (Exemple de matrice des rôles et des droits)*

| Rôle | Commande | Produits et stock | Données clients | Prix et promotions | Paramètres et paiement |
| --- | --- | --- | --- | --- | --- |
| Entrepôt et préparation des commandes | Complet | Complet (stock) | Non | Non | Non |
| Service client | Complet (annulation, retour, notes) | Consultation | Complet | Non | Non |
| Marketing | Non | Consultation | Consultation | Complet | Non |
| Comptabilité | Consultation | Non | Consultation | Non | Consultation (rapports de paiement) |
| Responsable | Complet | Complet | Complet | Complet | Complet |

Le tableau est un point de départ, pas un modèle. Dans une petite entreprise où une même personne gère le service client et la comptabilité, il faut combiner les deux rôles ; dans une grande équipe, l’entrepôt peut se scinder en « préparateurs » et « responsables d’inventaire ». L’essentiel est que le rôle découle de la description de poste, pas du titre ni de l’ancienneté de la personne.

### 1. Rôle entrepôt et préparation des commandes

L’employé d’entrepôt consulte, prépare et emballe les commandes, les remet au transporteur et effectue l’inventaire. Les prix, les campagnes, les informations de paiement du client et les paramètres de la boutique ne relèvent pas de ce rôle. Des données client, seule la partie nécessaire à la livraison est requise.

### 2. Rôle service client

Le service client doit voir l’état des commandes, gérer le flux des retours et annulations et accéder aux notes clients. Consulter les produits et les prix suffit ; les modifier n’est pas nécessaire. Ce rôle obtient l’accès le plus large aux données clients ; des droits puissants comme l’export en masse doivent donc lui être accordés de façon réfléchie.

### 3. Rôle marketing

L’équipe marketing travaille avec les paramètres de prix, de remises et de campagnes ; la modification des descriptions de produits et des visuels fait souvent aussi partie de ce rôle. Elle n’a pas besoin des détails de commande ni de paiement ; voir les données clients de façon synthétique suffit généralement.

### 4. Rôle comptabilité

La comptabilité consulte les commandes, les factures et les rapports de paiement, et accède aux rapports nécessaires à la clôture des comptes. Elle n’a pas besoin de modifier les commandes ni les produits. Pour les processus de facturation, pensez au flux décrit sur la page [e-facture](https://www.faprika.com/fr/e-facture) en tenant compte des besoins d’écrans de ce rôle.

### 5. Rôle administrateur

L’administrateur accède à tous les domaines, définit les droits et modifie les paramètres. Ce rôle doit avoir le moins de titulaires possible ; dans la plupart des entreprises, le propriétaire de la boutique et un administrateur suppléant suffisent. Utiliser un compte administrateur pour le travail quotidien est l’erreur de raccourci la plus courante.

Lecture recommandée

Gestion des commandes

e-commerce

: guide pas à pas de la commande à la livraison

## Comment concevoir les droits d’accès étape par étape ?

La conception des droits d’accès consiste à lister d’abord les tâches, puis à les regrouper en rôles, à définir les droits nécessaires à chaque rôle et enfin à affecter les personnes aux rôles. Inverser l’ordre et partir des personnes conduit à des exceptions compliquées, compte par compte.

### 1. Listez les tâches effectuées dans le panneau

Notez ce que l’équipe fait dans le panneau au fil de la journée : valider des commandes, saisir des codes d’expédition, mettre à jour des prix, approuver des retours, télécharger des rapports, ajouter des produits, créer des campagnes. La liste est la matière première pour savoir qui fait quoi.

### 2. Regroupez les tâches en rôles

Rassemblez les tâches réalisées par les mêmes personnes et donnez un nom à chaque groupe. Commencer avec deux ou trois rôles suffit ; multiplier les rôles multiplie la maintenance. Si un rôle n’a qu’une seule personne, il est peut-être possible de le fusionner avec un autre.

### 3. Écrivez les droits nécessaires à chaque rôle

Pour chaque rôle, définissez les domaines qu’il « peut consulter », « peut modifier » et « ne peut pas voir du tout », et reportez-les dans un tableau d’une page. Ce tableau devient la trace écrite utilisée pour la mise en œuvre comme pour la revue ; une conception des droits gardée en tête est vite oubliée.

### 4. Isolez les droits critiques

La modification groupée des prix, la suppression de commandes, l’export de la liste clients, les paramètres de paiement et de boutique, et l’attribution de droits à d’autres utilisateurs sont des droits critiques. Ne les donnez qu’aux rares personnes qui en ont vraiment besoin et, si possible, faites-les utiliser avec une seconde vérification.

### 5. Affectez les personnes aux rôles et testez

Au lieu d’accorder des droits personne par personne, affectez les personnes à des rôles (groupes d’utilisateurs) ; quand les droits d’un rôle changent, tous ses membres sont mis à jour ensemble. Après l’affectation, vérifiez qu’un employé peut faire son travail, avec son compte ou à ses côtés : un droit manquant ralentit le travail, un droit en trop crée un risque.

Astuce

Le premier jour, un droit de moins vaut mieux qu’un de trop

À la première mise en place, si un écran manque, la personne vous dira « je n’y ai pas accès », ce qui se corrige facilement. Un droit en trop, en revanche, devient permanent, car personne ne s’en plaint. Laissez fermé tout droit dont vous n’êtes pas sûr.

## Comment gérer les droits d’accès du personnel dans Faprika ?

Dans le panneau d’administration Faprika, les droits du personnel se gèrent en attribuant des droits à des groupes d’utilisateurs, et la fonction « Droits utilisateurs / personnel » est présente dans toutes les offres. Vous pouvez voir les différences entre les offres sur la page [offres e-commerce](https://www.faprika.com/fr/tarifs).

D’après la formation à l’utilisation du panneau, l’onglet « Droits » du menu Configuration permet de définir dans quelle mesure les groupes d’utilisateurs accèdent au panneau de contrôle. La méthode décrite par la formation est la suivante : vous créez un nouveau groupe d’utilisateurs et n’attribuez à ses membres que certains droits. L’exemple de la formation est un groupe de personnel qui n’accède qu’à la gestion des commandes et des produits et ne peut pas toucher aux autres paramètres. Pour un pas-à-pas, consultez la page de formation [Groupes d’utilisateurs](https://www.faprika.com/fr/tutoriels/groupes-utilisateurs).

*Görsel: Illustration de l'écran des droits du personnel : liste des groupes d'équipe et interrupteurs de droits du groupe sélectionné (Groupes d’équipe et interrupteurs de droits (illustration d’exemple))*

Les noms d’écran et les valeurs de l’illustration ne servent qu’à l’explication ; pour les étapes de l’écran réel, référez-vous à la page de formation. La logique est la même partout : d’abord le groupe, puis les domaines que ce groupe peut voir et sur lesquels il peut agir.

Les fonctions opérationnelles comme la préparation des commandes fonctionnent selon la même logique de groupes. La formation sur la vérification des commandes explique que le personnel de préparation est défini via un groupe d’utilisateurs précis et que, par exemple, le groupe « Entrepôt » peut être sélectionné ; ainsi le travail et les droits de l’équipe d’entrepôt sont réunis dans le même groupe. Pour le détail de la fonction, consultez la page [Vérification des commandes](https://www.faprika.com/fr/modules/verification-des-commandes).

Le panneau facile à utiliser de Faprika retire toute complexité à la gestion des droits : comme le panneau d’administration est conçu selon le principe de « simplicité d’usage », vous et votre équipe pouvez le gérer après une très courte formation. Aucune longue préparation n’est donc nécessaire pour chaque nouvelle personne ; le vrai travail consiste à décider quels droits donner à quel rôle.

Okumanızı öneririz

E-Ticaret

Sitesi Güvenlik Sistemleri

## Que faire lorsqu’un membre de l’équipe arrive, change de rôle ou part ?

La gestion des droits n’est pas une configuration ponctuelle, mais un processus qui accompagne tout le parcours d’une personne dans l’entreprise : à l’arrivée, l’accès est ouvert avec le groupe correspondant à son rôle ; lors d’un changement de rôle, les anciens droits sont fermés ; au départ, l’accès est coupé le jour même. Les portes restées ouvertes se trouvent surtout lors des changements de rôle et des départs.

*Görsel: Cycle de vie des droits du personnel : prise de poste, changement de rôle, départ et revue régulière (Le cycle de vie des droits d’un membre de l’équipe)*

| Moment | À faire | Erreur fréquente |
| --- | --- | --- |
| Prise de poste | Créez le compte personnel de la personne, ajoutez-la uniquement au groupe de son rôle et faites-lui configurer la double vérification dès la première connexion | Transmettre le mot de passe d’un compte partagé ou la nommer administrateur « pour l’instant » |
| Changement de rôle | Fermez les droits de l’ancien rôle et déplacez la personne vers le groupe du nouveau rôle | Ajouter le nouveau droit sans retirer l’ancien ; les droits s’accumulent |
| Mission temporaire | Accordez le droit supplémentaire avec une date de fin et inscrivez le retrait au calendrier | Oublier le droit une fois la tâche terminée |
| Départ | Fermez le compte le jour du départ et changez les autres secrets partagés (le cas échéant) | Laisser le compte ouvert « encore quelques jours » |
| Revue régulière | Comparez les membres et les droits de chaque groupe avec le tableau des rôles | Ne jamais regarder ; la liste des droits gonfle au fil des années |

### Arrivée : comment ouvrir l’accès le premier jour ?

Le premier jour, un compte distinct est créé pour la personne et elle n’est ajoutée qu’au groupe de son rôle. La personne qui crée le compte ne doit pas connaître le mot de passe ; l’intéressé définit lui-même son mot de passe à la première connexion. Si quelqu’un d’autre connaît le mot de passe ou les informations de récupération, la responsabilité de chaque action sur ce compte devient floue.

### Changement de rôle : ne laissez pas les droits s’accumuler

Lorsqu’un employé d’entrepôt passe au service client, de nouveaux droits sont ajoutés, mais les anciens ne sont souvent pas fermés. Après quelques changements de rôle, cette personne travaille avec des droits plus étendus que personne ne l’avait prévu. Lors d’un changement de rôle, la seule démarche doit être « d’abord fermer l’ancien, puis ajouter le nouveau ».

### Départ : fermez le jour même

Le compte d’une personne qui part doit être fermé le jour de son départ. Inscrivez-le comme point de contrôle dans le processus de départ, voire dans la liste de départ des RH ou du propriétaire. En plus du panneau, mettez sur la même liste les autres systèmes auxquels la personne accédait (comme la messagerie, le logiciel de comptabilité, les panneaux d’expédition et de places de marché) ; fermer l’accès à un seul endroit ne suffit pas.

Nous vous recommandons de lire

Cybersécurité dans l'

e-commerce

## Pourquoi un mot de passe partagé pose-t-il problème ?

Un mot de passe partagé signifie que plusieurs personnes se connectent au panneau avec le même compte ; c’est l’erreur de droits la plus courante et la plus nuisible, car elle empêche de savoir qui a fait quoi et oblige à changer le mot de passe à chaque départ. Elle semble faire gagner du temps au début, mais le coût se paie plus tard.

- **La trace disparaît :** quand un prix est mal saisi ou qu’une commande est annulée, le responsable est inconnu ; chacun dit « ce n’est pas moi ».
- **Les départs se compliquent :** quand une personne part, le mot de passe doit être changé et le nouveau transmis à tous. La plupart des entreprises passent cette étape.
- **Le mot de passe circule :** un mot de passe partagé vit dans des applications de messagerie, des carnets ou des papiers collés sur l’écran ; plus il y a de personnes qui le connaissent, plus il se trouve d’endroits.
- **La double vérification perd son sens :** une double vérification liée à un seul téléphone signifie que tout le monde a besoin du même téléphone ; en pratique, elle est désactivée.
- **Impossible de distinguer les droits :** comme tout le monde utilise le même compte, la différence entre un employé d’entrepôt et un administrateur disparaît.

La solution est simple : un compte par personne. On pourrait croire que la gestion se complique avec le nombre de comptes ; or la logique des rôles (groupes) allège la tâche. Vous ajoutez une nouvelle personne à son rôle et retirez celle qui part ; vous n’avez jamais à partager un mot de passe.

## Comment mesurer votre risque lié aux droits d’accès ?

Le risque lié aux droits d’accès résulte de la combinaison de deux facteurs : de nombreuses personnes ayant des droits de niveau administrateur, et des droits de personnes qui partent ou changent de rôle fermés trop tard. L’outil ci-dessous évalue les deux ensemble et affiche un niveau de risque approximatif.

Voici comment fonctionne le modèle : le nombre de personnes disposant de droits de niveau administrateur est divisé par la taille de l'équipe pour obtenir la part de personnes habilitées ; le nombre de personnes qui partent ou changent de rôle chaque année est multiplié par le délai de fermeture de leurs accès, ce qui donne les jours-personnes d'accès restés ouverts trop longtemps. La part d'habilités et le délai sont évalués ensemble pour attribuer un niveau faible, moyen ou élevé. Les valeurs sont des hypothèses ; remplacez-les par les chiffres de votre équipe.

Calculateur de risque d'accès

Taille de l'équipe (personnes)

Nombre de personnes disposant de droits équivalents à ceux d'un administrateur

Nombre moyen de collaborateurs qui partent ou changent de rôle par mois

Délai de fermeture des accès après un départ (jours)

Part de personnes habilitées (%)**33,3**

Personnes qui partent ou changent de rôle par an**12**

Comptes restés ouverts en même temps (moyenne)**0,2**

Jours-personnes par an avec accès fermé trop tard**84**

Le risque d'accès semble faible. Le nombre de personnes habilitées est limité par rapport à l'équipe et les accès sont fermés rapidement lors des départs ; poursuivez tout de même les revues régulières.

Le risque d'accès est moyen. Réduire le nombre de comptes de niveau administrateur ou fermer les accès plus vite lors des départs diminuera nettement ce risque.

Le risque d'accès semble élevé. Beaucoup de personnes peuvent tout consulter et les comptes des personnes parties restent ouverts longtemps ; ramenez d'abord la procédure de départ au jour même, puis répartissez les droits par rôles.

Calcul : part d'habilités = personnes disposant de droits de niveau administrateur ÷ équipe (100 % au maximum) ; personnes concernées par an = changements mensuels × 12 ; jours-personnes de fermeture tardive = personnes concernées par an × délai de fermeture (jours) ; comptes ouverts en même temps = changements mensuels × délai ÷ 30. Le niveau est déterminé par des seuils d'exemple : une part d'habilités de 25 % ou moins vaut 0, de 50 % ou moins vaut 1, au-delà 2 points ; un délai de 1 jour ou moins vaut 0, de 7 jours ou moins vaut 1, au-delà 2 points ; un total de 0 à 1 correspond à un niveau faible, 2 à moyen, 3 à 4 à élevé. Ces seuils sont un cadre de départ pour décider, pas une norme ni un résultat de mesure.

Deux points sont à garder en tête pour lire le résultat. D'abord, les deux facteurs se complètent : même avec peu de personnes habilitées, le risque persiste si les comptes restent ouverts des semaines après un départ ; même avec un délai court, si tout le monde est administrateur, une seule erreur peut tout atteindre. Ensuite, l'outil ne produit pas un chiffre à votre place, il ouvre une discussion : il amène votre équipe à parler de l'étendue des droits de chacun et de la personne responsable de la procédure de départ.

## À quelle fréquence faut-il revoir les droits d'accès ?

Les droits d'accès doivent être revus au moins tous les trois mois et après chaque changement important (nouvelle équipe, nouveau canal, nouveau système, saison chargée). La revue consiste à comparer les membres et les droits de chaque groupe avec votre tableau des rôles.

1. **Dressez la liste des membres :** Vérifiez qui fait partie de chaque groupe. Si vous trouvez une personne qui ne travaille plus avec vous ou dont le rôle a changé, fermez son compte immédiatement.
2. **Comparez les droits avec le tableau :** Si les droits réels d'un groupe dépassent le tableau des rôles écrit, interrogez-vous sur cet excédent.
3. **Fermez les droits inutilisés :** Un droit qu'une personne n'a pas utilisé depuis longtemps est un candidat à la suppression.
4. **Comptez les comptes administrateur :** Si leur nombre a augmenté, redemandez la justification de chacun.
5. **Consignez le résultat :** Gardez une courte note de ce qui a été constaté à quelle date et de ce qui a changé ; la prochaine revue partira de cette note.

Cette tâche doit prendre des minutes, pas des heures ; l'objectif n'est pas un grand audit, mais d'éviter que le dispositif se dégrade en silence. Ajouter un rappel récurrent au calendrier est le moyen le plus efficace de s'assurer qu'elle est réellement faite.

## Erreurs fréquentes dans l'attribution des droits aux collaborateurs

Les erreurs de droits d'accès viennent le plus souvent de l'habitude et de la précipitation, rarement de problèmes techniques. Les plus fréquentes sont les suivantes :

- **Utiliser un mot de passe partagé :** La traçabilité disparaît et les départs deviennent plus difficiles à gérer.
- **Faire de tout le monde un administrateur :** Les droits d'administrateur accordés « pour ne pas perdre de temps » deviennent permanents.
- **Construire les rôles autour des personnes :** Créer une combinaison de droits distincte pour chaque personne aboutit vite à un tableau ingérable ; les rôles se construisent autour des tâches, pas des personnes.
- **Laisser les droits s'accumuler :** Ne pas retirer les anciens droits lors d'un changement de rôle.
- **Retarder la fermeture des accès :** Laisser le compte ouvert « encore un peu ».
- **Ne tenir aucun registre écrit :** Si le tableau des rôles et des droits n'est consigné nulle part, personne ne sait qui a pris quelle décision et pourquoi.
- **Négliger la double authentification :** Protéger uniquement par un mot de passe les comptes aux droits les plus étendus.
- **Traiter les intervenants externes autrement :** Une agence, un consultant ou toute personne qui apporte un soutien extérieur a aussi besoin d'un compte distinct, de droits limités et d'une date de fin.

Astuce

La même règle pour les personnes extérieures

Si une agence ou un consultant accède temporairement au panneau, ouvrez-lui un compte distinct et accordez uniquement les droits nécessaires à cette mission. La fermeture du compte à la fin du travail ne doit pas attendre la revue suivante ; inscrivez la date de fin au calendrier dès le départ.

## Liste de contrôle pour l'audit des droits d'accès

La liste ci-dessous vérifie en huit points si votre organisation des droits d'accès est solide. Lorsque chaque point est un « oui », votre dispositif repose sur de bonnes bases. Cochez les points et consultez le résultat.

*Görsel: Liste de contrôle de l'audit des droits du personnel : compte personnel, tableau des rôles écrit, peu d'administrateurs, départ par rôle, fermeture le jour même, revue et double authentification (Huit points pour l'audit des droits)*

Audit des droits d'accès

Chaque membre de l'équipe a son propre compte, aucun mot de passe n'est partagé

Il existe un tableau écrit des droits pour chaque rôle

Le nombre de personnes disposant de droits équivalents à ceux d'un administrateur est réduit au minimum

Les nouveaux collaborateurs démarrent uniquement avec le groupe correspondant à leur rôle

L'accès des collaborateurs qui partent est fermé le jour de leur départ

Les anciens droits sont retirés lors d'un changement de rôle

Les droits sont revus à intervalles réguliers

La double authentification est utilisée sur les comptes aux droits critiques

Points concernés**2 / 8**

Votre organisation des droits d'accès ne semble pas encore stabilisée. Commencez par mettre en place des comptes personnels, le tableau écrit des rôles et la procédure de départ.

Les bases sont posées, mais des lacunes subsistent. Occupez-vous des changements de rôle, des revues régulières et de la double authentification.

Votre organisation des droits d'accès est solide. Liez maintenant la revue au calendrier et testez votre délai de fermeture des accès avec le calculateur de risque d'accès.

| Champ | Point à vérifier | Fait ? |
| --- | --- | --- |
| Calcul | Chacun a son propre compte, aucun mot de passe partagé | Oui / Non |
| Trace | Un tableau écrit des droits existe pour chaque rôle | Oui / Non |
| Responsable | Les droits équivalents à ceux d'un administrateur sont réduits au minimum | Oui / Non |
| Début | Les nouveaux collaborateurs démarrent uniquement avec le groupe de leur rôle | Oui / Non |
| Départ | L'accès est fermé le jour du départ | Oui / Non |
| Changement de rôle | Les anciens droits sont retirés | Oui / Non |
| Revue | Les droits sont vérifiés à intervalles réguliers | Oui / Non |
| Vérification | La double authentification est utilisée sur les comptes aux droits critiques | Oui / Non |

À lire aussi

Comment assurer la conformité à la KVKK pour un site d'

e-commerce

?

## Questions fréquentes

**Que sont les droits d'accès du personnel ?**

L'attribution des droits aux collaborateurs dans le panneau d'administration d'un site e-commerce consiste à donner à chaque membre de l'équipe l'accès aux seuls écrans et actions nécessaires à son travail, et à fermer le reste. Elle détermine qui peut voir quoi et qui peut modifier quoi.

**Qu'est-ce que le principe du moindre privilège ?**

Le principe du moindre privilège consiste à donner à une personne le plus petit ensemble de droits nécessaire à son travail. Une nouvelle personne démarre avec tout fermé, les domaines requis sont ouverts un à un et les droits temporaires sont retirés à leur échéance.

**Pourquoi donner le même mot de passe à tout le monde pose-t-il problème ?**

Avec un mot de passe partagé, on ne sait pas qui a effectué une opération, il faut changer le mot de passe et le renvoyer à tous quand quelqu'un part, et il est impossible de séparer les droits. La solution : un compte par personne et l'attribution des droits par rôles.

**Quand faut-il fermer l'accès d'un employé qui part ?**

Le jour du départ. Cette étape doit figurer sur la liste de départ, et non seulement le panneau mais tous les autres systèmes auxquels la personne accédait doivent être fermés le même jour. Les laisser ouverts « encore quelques jours » est la principale cause des comptes oubliés.

**À quelle fréquence faut-il revoir les droits ?**

Au moins tous les trois mois, et à chaque changement important dans l'équipe, les canaux ou les systèmes. La revue consiste à comparer les membres et les droits de chaque groupe avec le tableau des rôles écrit ; les droits inutilisés et les anciens comptes sont fermés.

**Faprika propose-t-il la gestion des droits du personnel ?**

Oui, la « gestion des droits utilisateurs / collaborateurs » est disponible dans le panneau Faprika dans toutes les offres. Selon la page de formation, vous créez un groupe d'utilisateurs, puis vous définissez les zones auxquelles ce groupe peut accéder dans l'onglet « Autorisations » du menu Configuration. Vous trouverez les différences entre les offres sur la page des offres e-commerce.

Gardez le contrôle de votre panneau à mesure que votre équipe grandit

Avec les groupes d'utilisateurs de Faprika, veillez à ce que votre équipe accède uniquement aux zones dont son travail a besoin ; grâce au panneau simple à utiliser, vos nouveaux collègues démarrent rapidement. Planifions ensemble, avec nos experts, l'organisation des droits adaptée à la structure de votre équipe.

Demander une démo

#### Articles qui peuvent vous intéresser

- [**2FA (İki Faktörlü Doğrulama) Nasıl Kullanılır?**](https://www.faprika.com/blog/2fa-iki-faktorlu-dogrulama-nasil-kullanilir)
- [**Cybersécurité dans l'e-commerce**](https://www.faprika.com/fr/blog/cybersecurite-en-e-commerce)
- [**Comment sauvegarder un site e-commerce**](https://www.faprika.com/fr/blog/comment-sauvegarder-un-site-e-commerce)
- [**Gestion des commandes e-commerce : guide pas à pas, de la commande à la livraison**](https://www.faprika.com/fr/blog/gestion-des-commandes)