Les droits d’accès d’un site s’organisent en profils, pas en badges. On écrit une matrice qui croise des profils de personnes, des portes et des plages horaires, on rattache chaque badge à un profil, on sépare celui qui demande de celui qui valide, et on relit la liste à date fixe. Sans ces quatre règles, le système glisse vers un état où chacun ouvre tout.
Les droits d’accès s’organisent en profils, pas en badges : chaque badge se rattache à un profil et porte une date de fin.
Une matrice croise profils, portes et plages horaires, et chaque profil se définit par une fonction, jamais par un nom.
Un droit passe par trois mains, demandeur, valideur et administrateur, et le valideur d’une zone sensible ne devrait pas s’attribuer seul l’accès.
Au changement de poste, l’ancien profil se retire le jour où l’on attribue le nouveau.
Une revue à date fixe cherche les badges sans titulaire, les porteurs partis et les droits individuels sans date de fin.
Sans ces règles, le système glisse vers un état où chacun ouvre tout.
De quoi parle-t-on quand on gère des droits d’accès physiques ?
L’expression sert aussi en informatique, pour décider qui accède à quelle application. Ici, il s’agit des portes. Le contrôle d’accès d’un bâtiment repose sur cinq notions, et la plupart des dérives viennent de leur confusion.
- Le porteur est la personne. Le support est ce qu’elle présente au lecteur : badge, porte-clés, téléphone.
- Le profil, appelé groupe ou niveau d’accès selon les logiciels, réunit les personnes qui ont les mêmes besoins. C’est lui qui porte les droits.
- Le droit associe un profil à une porte ou à une zone, pour une plage horaire.
- La plage horaire fixe les jours et heures d’ouverture du droit. Le calendrier lui ajoute les jours fériés et les fermetures annuelles.
- La date de fin, propre à chaque porteur, éteint tous ses droits d’un coup.
Un badge ne devrait jamais porter de droits en propre, seulement un profil et une date de fin. C’est la condition pour qu’un changement de règle se fasse en une modification, sur un profil, au lieu de cinquante, badge par badge. L’architecture d’un système, du lecteur à l’unité de traitement qui décide, est décrite sur notre page consacrée au contrôle d’accès en entreprise.
Comment construire la matrice des profils ?
La matrice part des portes déjà choisies. Le tri entre portes à lecteur, portes surveillées en ouverture et portes laissées à clé est un travail préalable, détaillé dans notre guide faut-il équiper toutes les portes en contrôle d’accès. Une fois la liste arrêtée, on écrit une ligne par profil et une colonne par porte, et l’on remplit chaque case avec une plage horaire ou rien.
| Profil | Entrée principale | Accès de service | Salle serveurs | Archives du personnel |
|---|---|---|---|---|
| Personnel, horaires standard | Jours ouvrés, 7 h à 20 h | Jours ouvrés, 7 h à 20 h | Non | Non |
| Personnel, horaires étendus | Tous les jours, 6 h à 23 h | Tous les jours, 6 h à 23 h | Non | Non |
| Informatique | Permanent | Permanent | Permanent | Non |
| Ressources humaines | Jours ouvrés, 7 h à 20 h | Non | Non | Jours ouvrés, 8 h à 19 h |
| Prestataire de ménage | Jours ouvrés, 19 h à 22 h | Jours ouvrés, 19 h à 22 h | Non | Non |
Les horaires de ce tableau sont un exemple de construction, pas une recommandation : ils se fixent selon l’activité. Trois règles comptent davantage que les valeurs. Un profil se définit par une fonction, jamais par un nom : « Ressources humaines », pas « Mme Martin ». Les zones sensibles, comme la salle serveurs ou les archives du personnel, ne sont ouvertes qu’à des profils courts, dont on peut citer les membres de mémoire. Le profil « tous accès » n’est attribué qu’à deux badges de secours, rangés sous clé et inscrits au nom de leur gardien. Un exemple appliqué à un plateau loué, quatre portes et cinq profils, figure sur notre page consacrée au contrôle d’accès des bureaux.
Restent les personnes dont le mandat impose une liberté de mouvement. Les membres élus du comité social et économique peuvent circuler librement dans l’entreprise, pendant leurs heures de délégation comme en dehors de leurs heures habituelles de travail, sous réserve de ne pas gêner de façon importante le travail des salariés (article L2315-14 du code du travail). Leur profil ne devrait donc pas être calé sur leurs seuls horaires de poste pour les zones de travail communes ; la CNIL rappelle de son côté qu’un contrôle d’accès ne doit pas entraver la liberté d’aller et venir des représentants du personnel.
Si votre logiciel compte plus de profils que de portes, ou des badges qui portent des droits en propre, la matrice se réécrit avant tout ajout de matériel, dans le cadre d’un audit de contrôle d’accès gratuit et sans engagement.
Qui demande, qui valide, qui saisit ?
Un droit d’accès devrait toujours passer par trois mains. Le demandeur connaît le besoin : le responsable d’équipe pour un nouvel arrivant, les services généraux pour un prestataire. Le valideur répond de la zone : le responsable informatique pour la salle serveurs, la direction des ressources humaines pour les archives du personnel. L’administrateur saisit, et ne décide de rien. Sur un petit site, deux de ces rôles peuvent être tenus par la même personne ; le valideur d’une zone sensible, lui, ne devrait pas pouvoir s’attribuer seul l’accès qu’il valide.
Côté logiciel, la CNIL demande de limiter l’accès au logiciel de gestion aux personnes qui en ont besoin, avec un identifiant et un mot de passe, de préférence renforcés par une authentification multifacteur, et de prévoir une politique d’habilitation et une journalisation des opérations effectuées. Concrètement, chaque administrateur a son compte, le compte générique livré avec le système est désactivé ou mis sous scellé, et le journal des opérations dit qui a ajouté quel droit, à quelle date. C’est ce journal qui répond à la question « depuis quand ce badge ouvre-t-il la salle serveurs ? ».
Un administrateur et un suppléant suffisent dans la plupart des entreprises. Le suppléant compte autant que le titulaire : un départ à saisir le vendredi soir ne doit pas attendre le retour de congés du lundi.
Comment faire vivre les droits, de l’arrivée au départ ?
Les droits se dégradent à chaque événement de la vie d’un salarié, si personne ne les suit. Chaque événement a sa règle.
| Événement | Action dans le système | Déclencheur |
|---|---|---|
| Arrivée | Profil de la fonction, badge encodé, date de fin si contrat à terme | RH, avant le premier jour |
| Changement de poste | Changement de profil, l’ancien est retiré le même jour | RH ou responsable, à la date d’effet |
| Besoin ponctuel | Droit individuel daté, avec le nom du valideur | Demandeur, validé par le responsable de la zone |
| Absence longue | Aucune action par défaut ; suspension seulement sur décision motivée | RH |
| Départ | Date de fin programmée dès qu’elle est connue | RH, dès la notification |
Le changement de poste est l’événement que l’on oublie. Une personne passée de la comptabilité aux achats garde souvent ses anciens droits en plus des nouveaux, et trois mobilités plus tard, son badge ouvre la moitié du bâtiment. Retirer l’ancien profil le jour où l’on attribue le nouveau suffit à l’éviter. Le départ, lui, mérite une procédure propre, décrite dans notre article sur le badge non restitué au départ d’un salarié.
Comment savoir si les droits ont dérivé ?
Par une revue à date fixe, appuyée sur ce que le système produit déjà. Une extraction de la liste des porteurs par profil, relue par l’administrateur et par chaque valideur pour sa zone, suffit. On y cherche cinq anomalies : des badges sans titulaire identifiable, des porteurs partis, des droits individuels sans date de fin, des profils qui ne comptent plus qu’une personne, et des comptes administrateurs qui n’ont plus lieu d’être.
Le journal des passages apporte un sixième indice : les refus répétés sur une même porte. Ils signalent soit une tentative, soit un besoin réel que la matrice ne couvre pas. Le second cas est le plus insidieux : une porte qui refuse des gens qui ont besoin de la franchir finit calée ouverte.
La revue reste dans sa finalité. Elle porte sur les droits et sur le fonctionnement des portes, pas sur les déplacements des personnes : la CNIL rappelle qu’un contrôle d’accès ne doit pas servir au contrôle des déplacements à l’intérieur des locaux, et toute restriction aux libertés des salariés doit rester proportionnée au but recherché (article L1121-1 du code du travail). Lire l’historique d’un salarié pour savoir où il passe ses journées sort de ce cadre.
L’avis de l’équipe Secureo
Sur un système repris, nous cherchons d’abord la dérive la plus classique : des droits ajoutés badge par badge pour dépanner, jamais retirés. Avant de toucher au matériel, nous faisons extraire la liste des droits individuels et nous la relisons avec l’exploitant. La plupart se rattachent à un profil existant ; les autres deviennent un profil nommé ou disparaissent. Une revue à date fixe, chaque trimestre par exemple, tient ensuite le système propre.
Questions fréquentes sur les profils et les habilitations
Comment donner des droits à un utilisateur ?
On l’inscrit dans le profil qui correspond à sa fonction, on lui attribue un badge et on fixe la date de fin si elle est connue. Un droit qui ne figure dans aucun profil s’ajoute à titre individuel, avec une date de fin et le nom de celui qui l’a validé.
Qu’est-ce que la gestion des habilitations ?
C’est l’organisation qui décide qui a le droit de faire quoi, de l’attribution à la révocation. Pour un bâtiment, l’habilitation est le droit d’ouvrir une porte à certaines heures ; en informatique, celui d’accéder à une application. Les deux se gèrent avec la même discipline, dans des outils différents.
Combien de profils prévoir ?
Le moins possible. Un profil se justifie quand un groupe de personnes a besoin d’une combinaison de portes et d’horaires que les autres n’ont pas. Au-delà d’une dizaine sur un site de taille moyenne, la liste devient difficile à relire.
Un salarié peut-il connaître les droits attachés à son badge ?
Oui. Les données que le système conserve sur lui, dont ses droits et ses passages enregistrés, relèvent de son droit d’accès à ses données personnelles. La demande se traite comme toute autre demande d’accès, dans les délais du RGPD.
Un logiciel d’accès où plus personne ne sait qui ouvre quoi ? Nous extrayons les droits, réécrivons la matrice des profils avec vous et paramétrons dates de fin et comptes nominatifs. Contrôle d’accès pour les entreprises, audit gratuit et sans engagement, à Paris et en Île-de-France. Par téléphone au 01 48 45 17 71.
Information générale, à jour au 9 novembre 2026. Elle ne remplace pas l’avis de votre délégué à la protection des données ni celui d’un avocat sur l’organisation des accès d’un représentant du personnel. Sources, dans leur version en vigueur à cette date : CNIL, « L’accès aux locaux et le contrôle des horaires sur le lieu de travail », fiche mise à jour le 17 juin 2026 ; code du travail, articles L2315-14 et L1121-1. Sources vérifiées le 15/10/2026.
Issue de secours fermée à clé : est-ce autorisé, et quand ?
Biométrie et contrôle d’accès : ce que la loi autorise vraiment
Badge non restitué : que faire quand un salarié part avec ?
Mon digicode ne fonctionne plus
Digicode d’entreprise : comment le choisir et bien le gérer ?
Qu’est-ce que la food defense et comment l’appliquer ?
