Le départ d’un salarié ne se résume pas à désactiver son adresse e-mail. Au fil du temps, une personne reçoit des droits dans le CRM, le cloud, WordPress, l’hébergement, des outils spécialisés et parfois des comptes créés sans inventaire central. Un retrait précipité peut couper une automatisation ou faire perdre des informations ; un retrait tardif laisse des accès sans justification. La bonne approche consiste à préparer le départ avec les responsables métier et informatique, à conserver ce qui appartient à l’entreprise, puis à révoquer les droits de manière vérifiable.
Préparer la liste avant la date de départ
Partez du rôle réel, des projets et des appareils utilisés. Interrogez le responsable hiérarchique et, si possible, la personne concernée : messagerie, suite bureautique, CRM, comptabilité, stockage, gestion de projet, réseaux sociaux, site, hébergement, outils de développement et services achetés avec une carte professionnelle. Examinez les groupes, délégations et comptes techniques, pas seulement les comptes nominatifs. Attribuez un responsable et une date à chaque action.
Cette préparation applique un principe clair : les autorisations doivent correspondre aux missions. La CNIL recommande de supprimer les permissions dès qu’un utilisateur n’est plus habilité, notamment à la fin de son contrat, et d’intégrer arrivée, changement d’affectation et départ dans une politique documentée. Le calendrier doit être coordonné avec les obligations sociales et les décisions de l’employeur.
Sécuriser la messagerie et les documents
Identifiez les messages et dossiers professionnels nécessaires à la continuité, puis organisez leur transmission selon les règles internes et le cadre applicable. Ne transformez pas automatiquement la boîte personnelle professionnelle en archive accessible à toute l’équipe. Décidez qui doit recevoir les nouveaux messages, pendant combien de temps et avec quel message d’information. Retirez les délégations, sessions mobiles et règles de transfert inconnues. Vérifiez également les listes de diffusion et boîtes partagées.
Dans le cloud, transférez la propriété des documents, dossiers, calendriers, formulaires et tableaux de bord utiles. Un lien partagé peut survivre à la désactivation du compte, tandis qu’un document appartenant au compte supprimé peut devenir inaccessible. Contrôlez les partages externes et les fichiers synchronisés sur l’ordinateur. Conservez seulement les données professionnelles nécessaires, avec les accès appropriés.
Retirer les accès aux logiciels et à WordPress
Traitez les applications par rôle : CRM, facturation, banque, paie, support, signature, gestion de projet et outils métier. Suspendez ou supprimez le compte selon la politique de conservation, retirez les groupes et réattribuez les dossiers en cours. Pour les fonctions sensibles, vérifiez les validations en attente, moyens de récupération et appareils reconnus. Un compte désactivé ne doit plus pouvoir agir via une session déjà ouverte.
Pour WordPress, retirez l’utilisateur, ses sessions et les accès liés à l’hébergement, au domaine, au CDN, aux sauvegardes et aux services d’envoi. Préservez l’attribution des contenus si elle est utile. Profitez du contrôle pour vérifier les autres administrateurs. Une maintenance WordPress structurée doit tenir un inventaire des accès et éviter les comptes administrateurs partagés.
Changer les mots de passe et secrets réellement exposés
Avec des comptes nominatifs, la révocation ciblée est préférable à un changement général qui risque de casser des services. En revanche, renouvelez les secrets connus de la personne : mot de passe partagé, clé d’API, accès SFTP ou SSH, code d’alarme, jeton de déploiement et phrase de récupération. Recherchez où ces secrets sont utilisés avant de les remplacer. Une clé intégrée à un script peut interrompre un transfert ou l’envoi de messages.
Le guide d’hygiène informatique de l’ANSSI présente la gestion des comptes, des droits et des accès parmi les mesures essentielles d’un système d’information. Pour une petite entreprise, l’application pratique consiste à privilégier des comptes nominatifs, limiter les privilèges et conserver les secrets dans un gestionnaire prévu à cet effet, plutôt que dans un document ou un message.
Contrôler les API, automatisations et comptes techniques
Les accès les plus faciles à oublier ne possèdent pas toujours une interface visible. Inventoriez les clés utilisées par les formulaires, connecteurs, scripts, robots, outils de sauvegarde et tâches planifiées. Identifiez leur propriétaire technique, les droits accordés et le service qui dépend de chaque clé. Si un jeton a été créé depuis le compte du salarié, migrez-le vers un compte de service géré par l’entreprise lorsque le fournisseur le permet.
Ne supprimez pas une clé à l’aveugle. Préparez son remplacement, testez le nouveau secret, mettez à jour les systèmes dépendants, puis révoquez l’ancien et surveillez les erreurs. Documentez l’opération sans copier le secret dans le compte rendu. Cette méthode réduit le risque de conserver un accès tout en évitant une coupure silencieuse.
Récupérer et vérifier les appareils
Recensez ordinateur, téléphone, tablette, clé de sécurité, carte d’accès et supports de stockage. Vérifiez leur restitution, l’état du chiffrement et la présence de données professionnelles synchronisées. Retirez l’appareil des outils de gestion et des listes d’équipements approuvés. Pour un appareil personnel autorisé, appliquez la procédure prévue afin de retirer les données et comptes professionnels sans effacer les contenus privés hors périmètre.
Conservez les éléments nécessaires à une enquête ou à une obligation interne avant de réinitialiser un appareil. En cas de départ conflictuel ou d’incident suspect, ne demandez pas à une personne non qualifiée de fouiller les fichiers : préservez l’état, limitez l’accès et sollicitez les conseils appropriés. La sécurité ne dispense pas de respecter les droits des personnes.
Vérifier après le départ et améliorer l’inventaire
À la date prévue, confirmez chaque révocation avec une preuve adaptée : statut du compte, retrait des groupes, invalidation des sessions et rotation des secrets. Quelques jours plus tard, contrôlez les alertes, échecs d’automatisation, demandes adressées à l’ancien compte et connexions inattendues. Réattribuez les licences inutilisées et les responsabilités encore orphelines. Faites valider la clôture par le responsable désigné.
Chaque départ révèle les faiblesses de l’inventaire. Mettez à jour la checklist d’arrivée pour que tout nouvel accès ait un propriétaire, une justification et une procédure de retrait. La rubrique Sécurité permet aussi de replacer cette revue dans une démarche plus large. Si votre entreprise ne sait pas quels comptes dépendent de son site ou de ses automatisations, AdnProg peut vous aider à cartographier ce périmètre avant la prochaine échéance.