M6 — Les accès, les mots de passe et les comptes

Point de départ : à qui appartiennent vos comptes ?

Votre activité vit sur des dizaines de comptes : la banque en ligne, le site internet, le nom de domaine, la messagerie, la page sur les réseaux sociaux, la fiche sur les cartes en ligne, l’espace des impôts, le compte chez les fournisseurs, le logiciel de facturation, la plateforme de réservation, le terminal de paiement.

Qui les a ouverts ? Avec quelle adresse e-mail ? Qui connaît les mots de passe ? Que se passerait-il si cette personne partait ? Dans beaucoup de petites structures, personne ne peut répondre à ces questions pour tous les comptes.

Ce module ne traite pas des pirates ni des virus. Il traite d’une question d’organisation : savoir qui a accès à quoi, et pouvoir le reprendre si besoin.

Si vous n’avez que 10 minutes aujourd’hui : cherchez à quelle adresse e-mail est rattaché le compte de votre nom de domaine ou de votre site internet. Si vous ne savez pas où chercher, c’est déjà une réponse.

À la fin de ce module, ce que vous saurez faire

• Faire l’inventaire des comptes de votre activité.
• Vérifier que chaque compte est rattaché à l’entreprise et pas à une personne.
• Partager un accès sans envoyer le mot de passe par SMS.
• Suivre une liste simple à l’arrivée et au départ d’une personne.
• Protéger les comptes sensibles par une double vérification.

Repères de travail : chaque compte a un propriétaire

1. L’inventaire des comptes

Faites la liste de tous les comptes en ligne de votre activité. Pour chacun, notez :

• le service : banque, site, messagerie, réseau social, fournisseur… ;
• l’adresse e-mail de rattachement : celle qui reçoit les messages de sécurité et permet de récupérer le mot de passe ;
• le titulaire : au nom de l’entreprise ou d’une personne ;
• qui y a accès aujourd’hui ;
• ce qui se passe s’il est perdu : gênant, grave ou bloquant.

Une vingtaine de comptes pour une petite entreprise, c’est courant. Vous en découvrirez probablement que vous aviez oubliés : un ancien logiciel encore payé chaque mois, une page créée par un stagiaire.

2. Les comptes à l’adresse de l’entreprise

L’adresse e-mail de rattachement est la clé de tout : c’est elle qui permet de changer le mot de passe et qui reçoit les alertes (renouvellement, paiement refusé, connexion suspecte).

La règle : tout compte de l’entreprise est rattaché à une adresse de l’entreprise, si possible une adresse générique (`contact@`, `admin@`, `compta@`) plutôt que nominative (`julie@`). Une adresse générique survit au départ d’une personne.

Les comptes ouverts avec une adresse personnelle (celle d’un salarié, d’un ancien associé, du prestataire qui a fait le site) sont à transférer en priorité, tant que la personne est joignable et de bonne volonté.

3. Partager un accès sans envoyer le mot de passe

Envoyer un mot de passe par SMS ou par e-mail, l’écrire sur un post-it collé à l’écran ou dans un fichier « mots de passe » sur le bureau : ces habitudes sont très répandues et fragiles. Le mot de passe se retrouve dans des endroits que personne ne maîtrise.

Deux solutions simples :

• un compte par personne quand le service le permet (beaucoup de logiciels, de banques et de plateformes proposent plusieurs utilisateurs). Chacun a son propre accès, qu’on peut retirer sans changer celui des autres ;
• un gestionnaire de mots de passe : un logiciel qui range les mots de passe de façon chiffrée et permet d’en partager certains avec certaines personnes, sans les afficher en clair. Il en existe de gratuits et de payants, à choisir selon vos besoins.

À défaut, pour une très petite structure, une enveloppe fermée rangée dans un coffre ou un tiroir fermé à clé vaut mieux qu’un fichier sur le bureau de l’ordinateur.

4. L’arrivée et le départ d’une personne

Les problèmes d’accès naissent presque toujours à ces deux moments. Une liste courte, toujours la même, évite les oublis.

À l’arrivée :

• quels comptes la personne doit-elle utiliser ?
• lui créer ses propres accès, avec une adresse de l’entreprise ;
• noter dans l’inventaire ce qu’on lui a ouvert.

Au départ :

• reprendre la liste de ce qu’on lui avait ouvert ;
• retirer ses accès ou changer les mots de passe partagés qu’elle connaissait ;
• transférer les comptes rattachés à son adresse ;
• récupérer les clés, badges et appareils.

Le départ se prépare pendant le préavis, pas après. Une fois la personne partie, même de bonne volonté, tout devient plus long.

5. La double vérification sur les comptes sensibles

Pour les comptes les plus sensibles (banque, messagerie principale, nom de domaine, administration), activez la double vérification quand elle est proposée : en plus du mot de passe, un code envoyé sur un téléphone ou affiché par une application est demandé à la connexion.

Une précaution d’organisation : le téléphone qui reçoit le code devient lui-même une clé. Si c’est le téléphone personnel d’une seule personne, la dépendance revient par une autre porte. Prévoyez une solution de secours (un deuxième appareil, des codes de secours rangés à l’abri, un deuxième utilisateur).

Situations de métier : qui peut reprendre la main ?

Cas 1 — Peintre en bâtiment : le site au nom du prestataire

*Exemple d’un domaine voisin du vôtre, pour illustrer la démarche.*

La situation. Votre site a été créé il y a six ans par un neveu qui s’y connaissait. Le nom de domaine et l’hébergement sont à son nom, avec son adresse e-mail.

Ce qui se passe. Il a changé de vie et ne répond plus. Le site affiche encore vos anciens tarifs, et vous ne pouvez rien modifier.

Le problème d’accès. Un compte essentiel dont le titulaire n’est pas l’entreprise.

Ce que vous pouvez faire. Tant que la personne est joignable, demander le transfert du nom de domaine et de l’hébergement à votre nom. Si elle ne l’est plus, contacter l’hébergeur, qui a des procédures de récupération, souvent longues : d’où l’intérêt d’agir avant.

Cas 2 — Traiteur : le logiciel de facturation

*Exemple d’un domaine voisin du vôtre, pour illustrer la démarche.*

La situation. L’abonnement au logiciel de facturation est payé avec la carte de l’ancien associé, qui a quitté l’entreprise.

Ce qui se passe. Sa carte expire. L’abonnement est suspendu au moment de faire les factures de fin de mois.

Le problème d’accès. Un moyen de paiement personnel rattaché à un outil de l’entreprise.

Ce que vous pouvez faire. Vérifier dans l’inventaire, pour chaque abonnement, le moyen de paiement utilisé, et passer ceux de l’entreprise sur un moyen de paiement de l’entreprise.

Un cas pour votre métier ou votre fonction

Commencez votre inventaire avec les cinq comptes les plus importants de votre activité. Pour chacun, notez sur une feuille :

1. l’adresse e-mail de rattachement ;
2. le titulaire (entreprise ou personne) ;
3. qui y a accès ;
4. si la double vérification est activée, et sur quel appareil.

Ce que vous faites ensuite. Repérez le compte rattaché à une adresse personnelle ou à une personne partie. C’est celui à traiter en premier.

Votre bilan : savez-vous qui a accès à quoi ?

• Vous savez faire l’inventaire des comptes de l’activité, avec leur adresse de rattachement et leur titulaire.
• Vous savez que les comptes de l’entreprise doivent être rattachés à une adresse de l’entreprise, surveillée.
• Vous partagez les accès par des comptes individuels ou un gestionnaire de mots de passe, pas par SMS.
• Vous suivez une liste à l’arrivée et au départ de chaque personne.
• Vous activez la double vérification sur les comptes sensibles, avec une solution de secours.

Avant de retourner à votre travail

Cette semaine, vérifiez à quelle adresse est rattaché votre nom de domaine (ou votre site), et quand il expire. Notez la date dans votre agenda, un mois avant l’échéance.