Centraliser les accès, c’est tenir un registre : pour chaque site, quelle porte existe, quel compte l’ouvre, qui dans l’agence a le droit de l’ouvrir, et comment on retire ce droit. Un mot de passe collé dans un ancien e-mail n’est pas un registre. Le jour où quelqu’un quitte l’équipe, vous ne savez pas quoi couper, et le site du client reste ouvert avec son ancien accès.
Les portes d’un même site
Un site a presque toujours plusieurs portes qui ne s’ouvrent pas avec le même identifiant. Les mélanger dans une seule ligne accès client est la raison pour laquelle, six mois plus tard, personne ne retrouve le registrar.
| Porte | Ce qu’elle permet | Compte typique |
|---|---|---|
| Registrar | Renouveler le domaine, obtenir le code de transfert, poser un verrou | Compte au nom du client ou de l’agence, selon le contrat |
| DNS | Modifier les enregistrements A, AAAA, CNAME, MX, TXT | Parfois un autre prestataire que le registrar |
| Hébergement | Fichiers, base, certificat, tâches planifiées, sauvegardes | Panneau, souvent avec un utilisateur par technicien |
| SFTP ou SSH | Déposer des fichiers sans passer par l’admin | Clé par personne, pas un mot de passe FTP unique affiché dans le devis |
| WordPress | Extensions, comptes, contenus | Un utilisateur par personne, rôle adapté |
| Search Console | Indexation, sitemap, inspection d’URL | Invitation Gmail, rôle Complet ou Restreint |
| Boîte d’envoi des formulaires | SMTP, mot de passe d’application | Identifiant du service d’e-mail, distinct de WordPress |
Si le DNS est chez un tiers et le registrar chez un autre, le registre a deux lignes. Renouveler le domaine ne met pas à jour une zone DNS hébergée ailleurs. L’oubli inverse existe aussi : le client croit que vous tenez le domaine parce que vous tenez l’hébergement.
Le coffre, et seulement le coffre
Choisissez un coffre-fort d’équipe et créez un coffre (ou un dossier de coffre) par client. Chaque secret y a un nom stable : Hébergement — panneau , WordPress — compte de secours admin , SMTP formulaires. Le compte de secours WordPress, s’il existe, est nominatif ou clairement étiqueté secours agence , avec double facteur, et il ne sert pas au quotidien.
Interdisez par écrit, dans la procédure interne, d’envoyer un mot de passe par e-mail, par SMS ou dans un chat. Quand un client vous le transmet ainsi, vous le rangez dans le coffre et vous lui demandez de le changer. Le message d’origine ne doit pas rester la copie de travail.
Le double facteur est obligatoire sur le registrar, l’hébergeur, le coffre et les comptes Google qui détiennent Search Console. Une clé de secours ou des codes à usage unique se rangent dans le coffre, pas dans le tiroir d’une seule personne. Les règles d’équipe sur les mots de passe sont détaillées dans politique de mots de passe. Le durcissement du compte d’hébergement est dans sécuriser le compte hébergeur.
Comptes nominatifs
Dans WordPress, créez un utilisateur par salarié. Le rôle Éditeur suffit pour publier. Administrateur est réservé à ceux qui gèrent extensions et comptes. Le rôle du compte se relit : un ancien stagiaire encore Administrateur est une ligne du registre à corriger, pas une anecdote. La relecture des rôles est le sujet de auditer les rôles WordPress.
Pour Search Console, invitez l’adresse Google professionnelle de la personne. Le retrait se fait dans Paramètres, puis Utilisateurs et autorisations. Ne déposez pas une balise de vérification au nom d’un prestataire si une invitation suffit : la balise survit au contrat. Le pas à pas est dans donner accès à Search Console.
Le jour où quelqu’un part
- Listez, depuis le registre, toutes les lignes où son nom apparaît.
- Retirez-le des utilisateurs WordPress, du panneau d’hébergement, du SFTP, de Search Console et du coffre.
- Révoquez ses clés SSH. Changer le mot de passe partagé ne sert à rien s’il n’y a plus de mot de passe partagé : c’est l’intérêt des comptes nominatifs.
- Si un secret a quand même été commun (vieux FTP, compte admin unique), changez-le et mettez la nouvelle valeur dans le coffre.
- Notez la date du retrait sur le registre. Sans date, vous referez le doute au prochain départ.
Le livrable est le registre, tenu à jour, pas une archive de bienvenue. Une revue trimestrielle consiste à ouvrir le coffre, l’admin WordPress et les utilisateurs de l’hébergeur, et à cocher que chaque personne encore listée est encore dans l’équipe. Quinze minutes par client, calendrier à la même date, suffisent. Un registre que personne ne rouvre est un ancien e-mail mieux rangé.