Aller au contenu principal

Recherche

Laissez-vous guider !

Checklist de sécurité de l'administrateur

Vos espaces de travail contiennent des données clients. Vos automatisations les font circuler vers des outils tiers. Vos exports les copient ailleurs. La sécurité d'un espace TimeTonic se joue dans la chaîne complète, du mot de passe de votre poste jusqu'au webhook qui envoie une ligne vers un service externe. Voici les quatorze points à vérifier, chacun avec l'article qui explique la manipulation.

Cette checklist s'adresse aux propriétaires de licence et aux administrateurs d'espaces de travail, y compris les partenaires qui gèrent des espaces pour leurs clients. Pour l'inventaire complet des mécanismes disponibles, voir le panorama.
Sommaire
  1. 1. Que vérifier sur les comptes ?
  2. 2. Que vérifier sur les données et les vues ?
  3. 3. Que vérifier sur les partages et les accès ?
  4. 4. Que vérifier autour de TimeTonic ?

1. Que vérifier sur les comptes ?

1
Activez le 2FA ou le SSO sur tous les comptes
Pas seulement sur le vôtre. Un seul compte sans second facteur suffit à ouvrir la porte. Le 2FA personnel est disponible sur tous les plans. L'imposer à chaque compte, et le SSO, demandent le plan Business.
2
Utilisez des mots de passe longs et uniques
12 caractères au minimum, 16 de préférence. Jamais le nom de votre entreprise ni un dérivé de votre adresse e-mail. Un gestionnaire de mots de passe vous évite de les retenir.

2. Que vérifier sur les données et les vues ?

3
Ne stockez jamais un identifiant en clair
Mots de passe d'outils externes, clés d'API, accès aux comptes société : tout cela va dans une colonne de type Champ crypté, chiffrée jusque dans la base de données. Elle est aussi Sensible dès sa création : elle ne part pas dans les exports. Rangez son mot de passe dans votre gestionnaire.
4
Marquez les champs de données personnelles
Nom, e-mail, téléphone : passez ces champs en Sensible avec l'option Marquage RGPD / confidentiel. La case Exclure les champs marqués RGPD / confidentiels les retire alors de chaque export FTP / SFTP ou Metabase. Elle est cochée par défaut, y compris dans un export créé par un autre administrateur. Marquez aussi à la main les formules qui recopient une donnée personnelle. Le marquage ne cache rien dans l'application. Un champ crypté, lui, est déjà Sensible : rien à marquer.
5
N'affichez pas ce qui n'a pas besoin d'être lu
Vos collaborateurs ont-ils besoin de voir le numéro complet, ou seulement de reconnaître la bonne ligne ? Une colonne de formule avec APPLY_MASK() n'affiche que les quatre derniers caractères, et le passage de la colonne d'origine en Invisible fait le reste. Pensez à cocher Masquer également en mode fiche.
6
Verrouillez ce que vous avez configuré
Une restriction que l'utilisateur peut défaire ne protège rien. Verrouiller les paramètres de la vue fige filtres, tris et restrictions. Selon les cas, verrouillez aussi la vue elle-même.
7
Vérifiez vos colonnes de lien
Un réglage discret, mais essentiel. Sélectionnez une vue sur chaque colonne de lien : la fiche affiche alors seulement les données de cette vue. Le réglage se fait colonne de lien par colonne de lien.
8
Limitez chaque personne à ses propres données
Une vue filtrée sur l'ID de l'utilisateur ne montre à chacun que ses propres lignes. Pour un client ou un intervenant externe, projetez cette vue dans un espace de travail dédié avec une vue miroir. Il n'a alors aucun accès à votre espace de production.

3. Que vérifier sur les partages et les accès ?

9
Cochez l'authentification requise, aux trois endroits
« Authentification requise » existe sur la vue formulaire partagée, sur le champ Formulaire externe, et sur le champ Pièces jointes. Trois réglages distincts. Protéger le formulaire ne protège pas le fichier qu'il contient.
10
Donnez à chaque clé API le minimum de droits
Quatre droits se cochent séparément : écrire, lire des données, lire des messages, lire le calendrier. Votre tableau de bord de reporting n'a aucune raison de pouvoir écrire. Trente secondes de travail qui transforment une clé compromise en incident mineur.
11
Cloisonnez aussi le périmètre, avec un compte API dédié
Les droits d'une clé définissent ce qu'elle peut faire, pas ce qu'elle peut voir. Une clé en lecture seule créée depuis votre compte d'administrateur lit tout ce que vous voyez. Créez un compte dédié par intégration, limité aux vues filtrées nécessaires.
12
Nommez vos clés, et faites le ménage
Nommez-les d'après leur usage (api-make, api-n8n, api-reporting-client) : c'est la seule façon de supprimer la bonne, des mois plus tard, sans couper une intégration en production. Une clé oubliée est une clé qui finira par servir à quelqu'un d'autre.
13
Auditez vos flux sortants
Metabase, Zapier, Make, n8n, webhooks, FTP, automatisations IA : pour chaque flux, posez-vous la question « quelles colonnes partent réellement ? ». Créez des vues d'export dédiées plutôt que de partager une table entière. Dans chaque export FTP / SFTP ou Metabase, vérifiez la case Exclure les champs marqués RGPD / confidentiels. Un export créé avant la sortie du marquage n'a aucune case cochée. L'export CSV manuel, lui, ne retire pas les champs marqués.

4. Que vérifier autour de TimeTonic ?

14
Attention aux captures vidéo, et à votre poste
Une démonstration filmée sur des données réelles est une fuite en puissance : utilisez un jeu de test, protégez l'enregistrement, supprimez-le après usage. Et n'oubliez pas le maillon le plus simple : antivirus à jour, verrouillage automatique de session dès que vous vous absentez. La meilleure configuration TimeTonic ne protège pas un écran resté ouvert.
En cas de suspicion de fuite de données. Contactez immédiatement le délégué à la protection des données de TimeTonic : dpo@timetonic.com. En cas de violation avérée, le responsable de traitement dispose de 72 heures pour notifier la CNIL. La marche à suivre : Vos obligations RGPD dans TimeTonic.

Aller plus loin

Panorama de la sécurité

L'inventaire complet, du compte jusqu'à l'API.

Lire la suite →

Aller plus loin

Vérifier vos partages externes

Le détail des trois points de contrôle du point 9.

Lire la suite →

Aller plus loin

Créer un compte API restreint

La mise en œuvre complète des points 10 et 11.

Lire la suite →
Aidez-nous à améliorer notre contenu : cet article vous a-t-il été utile ?
Utilisateurs qui ont trouvé cela utile : 3 sur 4
Retour en haut