Un collaborateur quitte votre entreprise, que ce soit un départ en bons termes, une fin de contrat ou un stage qui se termine. Le contrat de travail se clôt en quelques signatures, mais ses accès numériques, eux, restent ouverts tant que personne ne les ferme. Compte WordPress, messagerie, hébergement, réseaux sociaux : voici une méthode simple pour reprendre la main sans bloquer l’activité ni perdre de contenu.

Pourquoi les accès oubliés sont un vrai risque

Dans une PME, une association ou une petite équipe, les accès se distribuent souvent au fil de l’eau : un identifiant administrateur créé « pour dépanner », un mot de passe partagé par email, un compte Facebook ouvert au nom d’un salarié. Des années plus tard, plus personne ne sait exactement qui peut faire quoi.

Le problème n’est pas forcément la malveillance de l’ancien salarié. Un compte inactif dont le mot de passe a fuité ailleurs, ou qui n’a jamais été protégé par une double authentification, devient une porte d’entrée idéale pour un attaquant : personne ne surveille ce compte, personne ne remarquera une connexion inhabituelle. Le RGPD impose par ailleurs de garantir la sécurité des données personnelles que vous traitez (article 32) : laisser des accès ouverts à des personnes qui n’en ont plus besoin va à l’encontre de ce principe.

Avant le départ : dresser l’inventaire des accès

Idéalement, la préparation commence dès l’annonce du départ. L’objectif est de lister tout ce à quoi la personne a accès, pour ne rien oublier le jour J. Passez en revue au minimum :

• Le site web : compte WordPress (et son rôle : administrateur, éditeur, auteur…), accès FTP/SFTP, accès à la base de données.
• L’hébergement et le nom de domaine : espace client chez l’hébergeur ou le registrar, accès au DNS.
• La messagerie : boîte email professionnelle, alias, listes de diffusion, outils d’emailing.
• Les outils Google et marketing : Google Business Profile, Search Console, Analytics, Google Ads.
• Les réseaux sociaux : pages Facebook, Instagram, LinkedIn, et les outils de programmation de publications.
• Les autres services en ligne : CRM, outils de facturation, stockage partagé, gestionnaire de mots de passe.

Profitez-en pour récupérer les informations qui n’existent que dans la tête du collaborateur : où sont stockés les fichiers sources, quels comptes ont été ouverts avec son adresse email personnelle, quels abonnements sont à son nom.

Le jour du départ : verrouiller WordPress proprement

Sur WordPress, la tentation est de supprimer immédiatement le compte. C’est souvent une mauvaise idée si la personne a rédigé des articles ou des pages. Lors de la suppression d’un utilisateur, WordPress propose heureusement d’attribuer tout son contenu à un autre utilisateur : choisissez toujours cette option, sinon ses publications seront supprimées avec le compte.

Une approche prudente en trois temps :

• Rétrograder le rôle du compte (par exemple en « Abonné ») et changer son mot de passe, pour couper les droits sans toucher au contenu.
• Fermer les sessions ouvertes avec le bouton « Se déconnecter de partout ailleurs » dans le profil de l’utilisateur, et révoquer ses éventuels mots de passe d’application, utilisés par certains outils externes pour se connecter au site.
• Supprimer le compte une fois que vous avez vérifié que rien n’en dépend, en réattribuant ses contenus.

Si la personne avait un rôle d’administrateur, allez plus loin : vérifiez qu’aucun autre compte administrateur inconnu n’a été créé, changez les identifiants FTP et base de données, et contrôlez la liste des extensions installées récemment. Avant toute manipulation importante, assurez-vous d’avoir une sauvegarde récente et restaurable ; nous détaillons la méthode dans notre article sur la règle de sauvegarde 3-2-1.

Messagerie, domaine et hébergement : les accès les plus sensibles

La boîte email est souvent la clé de tout le reste : c’est par elle que passent les réinitialisations de mots de passe. Plutôt que de la supprimer tout de suite, beaucoup d’entreprises choisissent de changer son mot de passe, puis de mettre en place une redirection ou un message d’absence pendant quelques semaines, afin de ne pas perdre les demandes de clients ou de fournisseurs. Pensez aussi à vérifier qu’aucune règle de transfert automatique vers une adresse externe n’a été configurée.

Côté hébergement et nom de domaine, l’enjeu est différent : si l’espace client est au nom du salarié ou rattaché à son adresse email, c’est potentiellement tout votre site qui dépend d’une personne qui n’est plus là. Faites basculer ces comptes vers une adresse générique de l’entreprise (du type contact@ ou admin@) et changez les mots de passe associés.

Réseaux sociaux et outils Google : retirer les rôles, pas les pages

Sur Facebook, Instagram, LinkedIn ou Google Business Profile, les accès fonctionnent par rôles attribués à des comptes personnels. Le bon réflexe est donc de retirer la personne des administrateurs de la page ou de la fiche, et non de lui demander ses identifiants. Vérifiez au préalable qu’au moins une autre personne de l’entreprise dispose du rôle de propriétaire ou d’administrateur principal, sinon vous risquez de perdre le contrôle de la page.

Faites de même dans Search Console, Analytics et les outils publicitaires : retirez l’utilisateur, puis contrôlez la liste des personnes qui restent habilitées. C’est souvent l’occasion de découvrir d’anciens prestataires encore présents.

Après le départ : tirer les leçons pour la prochaine fois

Un départ bien géré est l’occasion de mettre en place de meilleures habitudes, qui simplifieront les prochains :

• Un compte nominatif par personne, jamais d’identifiant partagé.
• Le niveau de droits minimum nécessaire : un rédacteur n’a pas besoin d’être administrateur.
• Un gestionnaire de mots de passe d’entreprise, plutôt que des fichiers ou des emails.
• La double authentification activée sur les comptes sensibles.
• Un document à jour listant les accès de chacun, revu au moins une fois par an.

Si malgré tout un problème survient après un départ (site modifié, accès perdu, comportement anormal), gardez la tête froide et suivez une procédure claire, comme celle de notre article sur les bons réflexes en cas de site WordPress en panne.

En résumé

Couper les accès d’un collaborateur qui s’en va n’a rien d’une marque de défiance : c’est une mesure d’hygiène numérique, au même titre que récupérer les clés du bureau. Avec un inventaire préparé à l’avance, une désactivation progressive des comptes WordPress et une attention particulière à la messagerie et au nom de domaine, l’opération se fait en quelques heures, sans perte de contenu.

Vous souhaitez faire le point sur les accès à votre site WordPress ou mettre en place une procédure adaptée à votre structure ? Contactez L’agence Digisense, nous vous accompagnons depuis Venelles, près d’Aix-en-Provence.