Qui possède les accès de votre site ? La matrice des comptes à remplir.

Vous connaissez votre mot de passe WordPress. Savez-vous aussi qui reçoit le renouvellement du domaine, qui peut restaurer une sauvegarde et qui peut ajouter un utilisateur aux statistiques ? Pour garder une vue claire sur votre site, recensez chaque service et les personnes capables d'y intervenir.

Le document utile tient dans une matrice d'accès. Il indique où se trouvent les comptes, qui les gère et comment l'entreprise peut en retrouver l'usage. Il évite de confondre trois sujets : avoir un identifiant, disposer d'une autorisation technique et détenir des droits sur un élément du site.

Distinguer accès technique et droits sur le site.

Un accès administrateur permet d'effectuer des actions dans un outil. Il ne constitue pas, à lui seul, une réponse sur les droits attachés au graphisme, aux textes, aux images ou aux logiciels utilisés. Ces questions se vérifient dans les contrats et licences concernés. La matrice proposée ici documente l'exploitation du site ; elle ne remplace pas cette lecture.

Pour le nom de domaine, employez aussi les bons termes. L'Afnic rappelle qu'un nom de domaine donne un droit d'utilisation exclusif pour une période définie. Le titulaire et ses coordonnées doivent être identifiés et tenus à jour auprès du bureau d'enregistrement. La personne qui paie ou se connecte au compte ne doit donc pas être automatiquement assimilée au titulaire. Source : Afnic, gérer son nom de domaine.

Notez séparément le titulaire enregistré, le compte client utilisé et la personne chargée du renouvellement. Si une donnée est inconnue, inscrivez « à vérifier » avec un responsable de la vérification.

Recenser les services réellement utilisés.

Commencez par le domaine, l'hébergement et WordPress. Ajoutez ensuite les outils actifs : messagerie, sauvegardes, statistiques, Search Console, service d'envoi des formulaires, réservation ou boutique. Ne créez pas une ligne pour un logiciel dont vous n'avez pas l'usage.

Identifiez chaque ressource précisément. « Google » n'est pas une référence suffisante : relevez le nom et l'identifiant de la propriété Analytics ou l'adresse de la propriété Search Console. « Hébergement » doit mener à une entreprise, à un espace client et au site concerné.

Demandez ces informations à votre prestataire dans un document partagé avec les personnes autorisées. Conservez les secrets dans un gestionnaire de mots de passe adapté à votre organisation. Dans le tableau, mettez une référence vers leur emplacement, sans y recopier les mots de passe, codes de secours ou clés techniques.

Remplir la matrice d'accès.

• ATitulaire ou souscripteur

  Qui est enregistré et sur quel document le vérifier ?

• BIntervenants autorisés

  Qui agit, avec quel rôle et pour quelle mission ?

• CRécupération

  Qui peut retrouver le compte et accéder au support ?

• DContrôle et suite

  Quand la ligne a-t-elle été vérifiée, par qui, avec quelle action restante ?

Un identifiant ne prouve ni autorisation complète ni droits sur le contenu. Aucun mot de passe, code de secours ou clé dans la matrice.

Ce modèle décrit une organisation possible. Les rôles proposés sont à confirmer selon vos contrats, les outils et les tâches déléguées.

Télécharger cette grille (CSV)

Ajoutez trois colonnes : date du dernier contrôle, personne qui l'a effectué et prochaine action. Une ligne complète mais jamais vérifiée décrit une organisation supposée.

Adapter les rôles à la mission de chacun.

Pour WordPress, évitez de donner le même accès à tous les intervenants par facilité. Le logiciel distingue notamment administrateur, éditeur, auteur et contributeur. Un éditeur peut gérer des publications ; un administrateur dispose de fonctions d'administration plus larges sur un site classique. Les capacités peuvent être personnalisées : vérifiez les droits réellement présents sur votre installation. Source : documentation WordPress, rôles et capacités.

Votre matrice peut ainsi mentionner « rédaction des actualités » pour un collaborateur et « mises à jour techniques » pour le prestataire. Le rôle retenu doit permettre la mission attendue, sans rendre inutilement toutes les fonctions accessibles.

Utilisez des comptes nominatifs lorsque l'outil le permet. Lorsqu'une personne quitte le projet, vous pouvez alors examiner son accès sans devoir partager puis remplacer un identifiant commun à toute l'équipe.

Traiter Analytics et Search Console séparément.

Un accès aux statistiques n'est pas nécessairement un accès permettant de gérer les utilisateurs. Dans Analytics, les autorisations peuvent être accordées au niveau du compte ou d'une propriété. Un accès au compte peut donc avoir un périmètre plus large que celui du seul site concerné. Faites noter le niveau exact et le rôle attribué. Source : Google Analytics, gestion des utilisateurs.

Search Console emploie ses propres rôles : propriétaire validé, propriétaire délégué, utilisateur avec accès complet ou limité. La validation peut reposer sur un élément technique, par exemple un enregistrement DNS. Documentez la méthode utilisée et qui peut agir dessus. Le terme « propriétaire » dans cette interface décrit un rôle Search Console ; il ne règle pas les droits sur les contenus du site. Source : Google, propriétaires et autorisations Search Console.

Il est possible de déléguer la lecture ou l'analyse sans transmettre le mot de passe du compte Google personnel du dirigeant. Faites attribuer les autorisations appropriées aux personnes concernées.

Vérifier la récupération sans provoquer de panne.

Contrôlez d'abord les informations de récupération visibles et les boîtes de réception associées. Un e-mail appartenant à un ancien salarié ou à un ancien prestataire doit devenir une action à traiter. Vérifiez aussi qui conserve les moyens de double authentification et comment une personne autorisée peut solliciter une récupération.

Évitez les réinitialisations improvisées sur tous les outils à la fois. Certains identifiants peuvent être utilisés par des intégrations. Convenez avec le responsable technique de la manière de tester ou mettre à jour un accès, puis notez le résultat.

Une vérification utile consiste à demander : « Si notre interlocuteur habituel est absent, qui sait retrouver le bon compte et contacter le support ? » Si personne ne peut répondre, commencez par documenter cette dépendance.

Faire vivre le document pendant la collaboration.

Pour attribuer les opérations et les preuves après la remise des accès, complétez votre organisation de maintenance WordPress.

Prévoyez une revue lors de la livraison, d'un changement de prestataire, de l'arrivée ou du départ d'un intervenant et d'un changement de fournisseur. Vérifiez alors les abonnements, les droits et les coordonnées de récupération.

Au moment de la livraison, la présence des comptes ne prouve pas que le parcours visiteur fonctionne : utilisez également la grille de recette avant mise en ligne pour consigner les vérifications et les corrections.

Avant de retirer un accès, assurez-vous que les ressources nécessaires ont été transmises et qu'une personne autorisée peut poursuivre l'exploitation. Gardez une trace des actions réalisées, sans conserver d'anciens secrets dans le tableau.

Pour préparer cet échange, apportez votre matrice même incomplète à notre accompagnement WordPress à Montpellier. Elle permet de cadrer les accès nécessaires au projet et les responsabilités à clarifier avant d'intervenir sur votre site. Pour relier ces vérifications aux décisions prises au départ, reprenez le cahier des charges de votre site WordPress.

Pour poursuivre : qui possède les accès de mon site internet. Retrouvez les étapes et les grilles dans le guide de Site Web Montpellier.