Chaque salarié ou intérimaire qui entre dans votre structure a besoin d’accès à certains outils : email, logiciel de caisse, réseau Wi-Fi. Chaque salarié qui part doit perdre ces accès immédiatement. La gestion des accès est l’une des mesures de sécurité les plus négligées en TPE — et l’une des sources d’incidents les plus courantes.
Pourquoi les accès non révoqués sont dangereux
Un salarié qui part en mauvais termes et conserve un accès à votre logiciel de caisse ou à votre messagerie peut causer des dommages significatifs. Mais même sans intention malveillante, un accès non révoqué est un risque : si le compte email d’un ancien salarié est compromis (son mot de passe figure dans une fuite de données d’un autre service), l’attaquant accède à votre infrastructure avec les droits de cet ancien compte.
La règle est simple : le jour du départ, tous les accès sont coupés. Pas le lendemain, pas “quand on aura le temps” — le jour même.
Créer les accès correctement dès l’arrivée
Un compte nominatif par personne
Ne créez jamais un compte générique partagé (“caisse@boutique.fr” utilisé par tous). Chaque salarié a son propre compte avec ses propres identifiants. Les raisons :
- Traçabilité : en cas de problème, vous savez qui était connecté quand
- Révocation individuelle : vous pouvez couper l’accès d’une personne sans changer le mot de passe que tout le monde utilise
- Responsabilité : chaque personne est responsable de son compte et de son utilisation
Le principe du moindre privilège
Donnez à chaque salarié uniquement les accès nécessaires à son travail. Un vendeur en boutique n’a pas besoin d’accéder aux rapports financiers ni aux paramètres du logiciel de caisse. Un intérimaire remplaçant une semaine n’a pas besoin d’accès admin. Restreignez par défaut, accordez sur demande justifiée.
Inventaire des accès à créer
Pour chaque nouvel arrivant, parcourez la liste de vos systèmes :
- Email professionnel (Google Workspace, Microsoft 365, ou hébergeur)
- Logiciel de caisse / ERP
- Logiciel de gestion des stocks
- Réseau Wi-Fi professionnel (si la personne en a besoin)
- Accès au site web / backoffice si applicable
- Outils de communication (Slack, Teams, etc.)
- Logiciels spécifiques à votre activité
La liste de révocation pour le départ
Préparez cette liste maintenant, avant d’en avoir besoin :
- Désactivez ou supprimez le compte email professionnel — et transférez ses emails entrants vers votre propre boîte ou un collègue pendant la période de transition
- Désactivez le compte dans le logiciel de caisse et le logiciel de gestion
- Changez le mot de passe Wi-Fi professionnel si la personne l’avait
- Révoquez les accès aux outils cloud partagés (Google Drive partagé, Dropbox, etc.)
- Déconnectez les appareils professionnels éventuellement prêtés (récupérez le matériel)
- Supprimez les accès au site web et aux outils de communication
- Notez dans votre registre d’accès que ces droits ont été révoqués avec la date
Le registre d’accès
Tenez un registre simple de qui a accès à quoi. Un tableau avec les colonnes : Prénom/Nom, Poste, Email pro, Logiciel de caisse (Oui/Non + rôle), Wi-Fi pro (Oui/Non), Autres accès, Date d’arrivée, Date de départ, Accès révoqués (O/N).
Ce document prend 5 minutes à créer et vous fait gagner des heures lors des départs — vous avez une liste complète de ce qu’il faut révoquer, sans rien oublier.
Cas particulier : les prestataires et intérimaires
Les prestataires externes (comptable, webmaster, réparateur) et les intérimaires méritent une attention particulière : ils ont souvent accès à des données sensibles pendant une période limitée, et leurs accès sont encore plus souvent oubliés après la fin de leur mission.
Appliquez les mêmes règles : compte nominatif, accès limité au nécessaire, révocation à la fin de la mission. Ajoutez une note dans votre agenda avec la date de fin de mission prévue pour vous rappeler de révoquer les accès.
Pour la checklist complète de sécurité, voir le Guide cyber pour commerçants et la checklist ouverture/fermeture.