Comment gérer les droits d'accès dans une application ?

Dans une application, chaque utilisateur devrait pouvoir faire ce dont il a besoin, et rien d'autre. Des droits trop larges exposent des données confidentielles et multiplient les erreurs ; des droits trop étroits poussent à partager des comptes. La méthode la plus sûre consiste à raisonner par rôles, à appliquer le principe du moindre privilège et à contrôler chaque action côté serveur.

Authentification et autorisation : quelle différence ?

• L'authentification vérifie qui vous êtes : mot de passe, double authentification, compte d'entreprise.
• L'autorisation détermine ce que vous avez le droit de faire une fois connecté.
• Une permission est un droit élémentaire : consulter un dossier, le modifier, le valider, l'exporter.
• Un rôle est un ensemble de permissions attribué à un profil d'utilisateur.

Pourquoi raisonner par rôles ?

Attribuer les permissions une par une à chaque personne devient vite ingérable. Le contrôle d'accès par rôles consiste à définir quelques profils types, puis à rattacher chaque utilisateur à un ou plusieurs de ces profils.

• Un nouvel arrivant reçoit un rôle, pas une liste de droits à recomposer.
• Une modification de politique s'applique d'un coup à tous les titulaires du rôle.
• Les droits de chacun se lisent et se vérifient facilement.

Étape 1 : construire la matrice des droits

Listez les actions possibles dans l'application, puis indiquez pour chaque rôle s'il peut les réaliser.

Remarquez que l'administrateur, dans cet exemple, ne valide pas les dossiers : séparer l'administration technique des décisions métier limite les abus comme les erreurs.

Étape 2 : appliquer le principe du moindre privilège

Le principe du moindre privilège consiste à n'accorder que les droits strictement nécessaires à une mission. Les guides de la CNIL et de l'ANSSI recommandent de limiter ainsi les accès aux données. En pratique :

• le rôle par défaut d'un nouveau compte est le plus restreint ;
• les droits d'administration sont réservés à quelques personnes nommément désignées ;
• un droit temporaire, pour un remplacement par exemple, a une date de fin.

Étape 3 : ajouter la notion de périmètre

Un rôle dit ce que l'on peut faire ; le périmètre dit sur quoi. Un validateur de l'agence de Lyon ne doit pas forcément valider les dossiers de l'agence de Lille. On combine alors le rôle avec un périmètre : une agence, un service, un client, un projet.

Étape 4 : contrôler chaque droit côté serveur

Masquer un bouton ne suffit pas. Si le serveur ne vérifie pas le droit, un utilisateur peut appeler directement l'action ou modifier l'identifiant d'un dossier dans l'adresse pour accéder à celui d'un autre. Chaque requête doit donc vérifier, sur le serveur, que la personne connectée possède la permission et que la donnée demandée entre dans son périmètre.

Étape 5 : tracer, revoir et retirer

1. Journaliser les actions sensibles : connexions, exports, validations, changements de droits.
2. Revoir régulièrement la liste des comptes et de leurs rôles avec les responsables métier.
3. Relier les droits au cycle de vie des collaborateurs : arrivée, changement de poste, départ.
4. Centraliser les comptes quand c'est possible, grâce à l'authentification unique (SSO) : désactiver le compte central coupe l'accès à toutes les applications reliées.
5. Protéger les comptes à privilèges par la double authentification.

Les erreurs les plus fréquentes

• Un compte administrateur partagé entre plusieurs personnes.
• Des droits qui s'accumulent au fil des changements de poste, sans jamais être retirés.
• Une multitude de rôles créés pour des cas individuels, que plus personne ne comprend.
• Des comptes de test oubliés dans l'application en production.
• Des exports de données ouverts à tous par défaut.

NexSecure conçoit la gestion des rôles et des droits dès la première version des applications qu'elle développe, dans le cadre du développement web sur mesure.