FAQ — Sécurité applicative
Les questions que les agences — et surtout leurs clients exigeants — posent sur la sécurité de l'outil. Nous répondons en distinguant systématiquement ce qui organise l'affichage de ce qui est réellement opposé par le serveur : c'est la distinction que peu d'éditeurs font.
La distinction
Affichage organisé et garde opposée.
Un filtrage applicatif masque des éléments à l'écran. C'est utile — un agent n'a pas à voir la gestion de l'agence — mais cela s'annonce précisément : on dit « vous contrôlez ce que chaque agent voit », jamais « ce à quoi il a accès ».
Un contrôle opposé par le serveur refuse la donnée elle-même, indépendamment de l'écran. C'est ce qui protège réellement, et c'est ce que nous réservons aux périmètres sensibles : rémunération, dossier du personnel, motifs de santé, facturation.
Un éditeur qui ne fait pas cette distinction promet une protection qu'il ne tient pas. La poser est le meilleur test d'honnêteté d'une présentation commerciale.
Le point faible
Ce par quoi les incidents commencent réellement.
Rarement une attaque sophistiquée. Plutôt : un planning envoyé dans un groupe de messagerie et qui vit ensuite sur trente téléphones privés ; un compte partagé dont le mot de passe circule depuis des années ; un collaborateur parti dont l'accès n'a jamais été fermé ; un classeur de consignes laissé sur site.
Aucun de ces incidents n'a besoin d'un attaquant : ils se produisent d'eux-mêmes, dans des agences honnêtes, par facilité. C'est ce qui les rend probables — et c'est pourquoi le cloisonnement des accès et la liste de contrôle de sortie protègent davantage que n'importe quel équipement.
La méthode
La revue trimestrielle des accès.
Une demi-heure par trimestre, avec deux listes côte à côte : les comptes actifs et les collaborateurs en poste. Les écarts qu'elle révèle sont toujours les mêmes — comptes de personnes parties, comptes de test jamais fermés, comptes créés « pour dépanner » — et ils se corrigent en dix minutes une fois vus.
Ajoutez-y une question par accès sensible : cette personne en a-t-elle encore besoin dans sa fonction actuelle ? Un responsable qui change de poste garde souvent des droits que plus personne n'examine, et c'est la situation qu'un audit relève en premier.
Cette revue produit un document daté. Sa valeur n'est pas seulement interne : c'est une pièce que vos clients exigeants apprécieront de voir exister, et elle se demande de plus en plus souvent dans les appels d'offres.
Le détail du cloisonnement, de la traçabilité et des engagements contractuels se consulte depuis le site de ShieldOne, documents publiés à l'appui.
Questions fréquentes
Vos questions sur la sécurité.
La double authentification est-elle obligatoire ?
Elle l'est pour les comptes qui administrent et pour le propriétaire de la société ; elle peut être exigée des responsables si la société le décide ; elle n'est pas demandée aux agents de terrain, dont le compte n'ouvre aucun périmètre sensible. Sur les périmètres sensibles, le second facteur est en outre revalidé pour l'action en cours : une session ouverte le matin ne suffit pas l'après-midi.
Peut-on dire que l'accès est impossible sans second facteur ?
Non, et nous ne l'écrivons jamais. La couverture est ciblée : le second facteur protège l'ouverture de session et l'accès aux périmètres sensibles, pas chaque lecture de données. Une promesse trop large se retourne au premier examen, et elle expose l'agence qui l'aurait répétée à son client. Nous préférons une phrase exacte à une formule rassurante.
Un responsable peut-il se connecter à la place d'un agent ?
Non, et c'est délibéré : un responsable ne pose ni ne change le mot de passe d'un agent. Le compte est créé avec un aléa posé par le serveur, et l'agent reçoit une invitation. Si ce n'était pas le cas, tout ce que le produit impute à l'agent — pointage, accusé de lecture d'une consigne, rapport d'intervention — deviendrait contestable, précisément le jour où l'on en aurait besoin.
Que reste-t-il comme trace d'une consultation sensible ?
Les consultations de pièces du dossier du personnel sont journalisées, et la lecture directe des fichiers est fermée : la consultation passe par un chemin serveur qui écrit la trace puis rend les octets. Une règle de base de données sait refuser une forme ; elle ne sait pas écrire une ligne de journal — d'où ce choix de construction.
Que se passe-t-il au départ d'un collaborateur ?
Son compte se ferme et ses sessions se révoquent. Un point d'honnêteté : un jeton déjà émis peut vivre un temps limité sur un appareil déjà connecté ; la fermeture n'est pas instantanée partout. Écrivez une liste de contrôle de sortie — compte, sessions, équipements, badges physiques, accès aux sites — et appliquez-la le jour même plutôt que « quand on aura le temps ».
Les comptes partagés sont-ils acceptables ?
Non, il n'y a aucune bonne raison d'en avoir. Un compte partagé rend inutilisable toute trace, survit à tous les départs, et retire sa valeur à tout ce que le système impute à une personne. C'est le point faible le plus courant et le plus facile à supprimer : un compte nominatif par personne, sans exception.
Comment savoir si une garde est réelle ou décorative ?
Posez trois questions à tout éditeur. Est-ce refusé par le serveur ou seulement masqué à l'écran ? Que reste-t-il comme trace ? Que se passe-t-il si l'écran est contourné ? Une réponse qui reste sur le terrain de l'interface décrit une organisation de l'affichage, ce qui est utile mais n'est pas une protection.
Démonstration
Voyez ShieldOne sur vos cas réels, en 30 minutes.
Nous vous montrons la plateforme sur des situations de votre quotidien : un trou de couverture à combler, une ronde à contrôler, une fin de mois à facturer. Choisissez l'un des créneaux proposés dans le formulaire, ou indiquez vos disponibilités : nous vous rappelons pour le confirmer.
Vous préférez un contact direct ? Écrivez-nous sur WhatsApp ou appelez-nous — nous répondons pendant les heures de bureau.