Choisir le bon niveau de protection : chiffrer, masquer ou restreindre
TimeTonic propose plusieurs mécanismes pour protéger une donnée sensible. Ils ne font pas la même chose et ne se remplacent pas.
Le champ crypté protège dès sa création : il chiffre la donnée et reste hors des exports.
Cet article vous aide à choisir le bon, et surtout à comprendre ce que chacun ne protège pas.
La donnée doit-elle rester lisible par quelqu'un ?
Si personne dans l'équipe n'a besoin de la lire au quotidien, et qu'il s'agit d'un secret (mot de passe, clé, code d'accès), chiffrez-la.
2
Faut-il reconnaître la ligne sans lire la donnée entière ?
Si vos collaborateurs doivent identifier le bon enregistrement, mais pas connaître la valeur complète, masquez-la.
3
Est-ce une question de personne, de situation, ou de stabilité ?
Si la réponse dépend de qui regarde, restreignez les champs de la vue. Si elle dépend de l'état de la ligne, utilisez une condition. Si vous voulez surtout que rien ne bouge, verrouillez.
4
La donnée doit-elle rester hors des exports ?
Si le champ contient une donnée personnelle et part dans un fichier FTP / SFTP ou Metabase, marquez-le Sensible. Le marquage s'ajoute aux autres mécanismes, il ne les remplace pas.
Ne dispense pas de restreindre les champs de la vue partagée.
3. Comment chiffrer un secret avec le champ crypté ?
Le type de colonne Champ crypté stocke une information chiffrée, y compris dans la base de données côté serveur. Son contenu n'est lisible qu'après saisie d'un mot de passe, défini à la création de la colonne et propre à celle-ci.
C'est le seul mécanisme de cette liste qui protège la donnée elle-même, et non son affichage. Utilisez-le pour tout ce qui est un secret : mots de passe d'outils externes, clés d'API de services tiers, codes d'accès. Un champ crypté est aussi marqué Sensible dès sa création. Il est exclu des exports qui cochent la case RGPD.
Créer la colonne et définir son mot de passe → Champ crypté
Le prix du chiffrement. Une donnée chiffrée ne peut pas être recherchée, ni triée, ni utilisée dans une formule ou un filtre. Si vous avez besoin de retrouver la ligne par cette valeur, ce n'est pas le bon mécanisme.
4. Comment masquer une partie d'une donnée avec APPLY_MASK() ?
APPLY_MASK() crée une version partiellement cachée d'une valeur, dans une colonne de formule. Le masque utilise @ pour afficher un caractère et X pour le masquer.
Un masque seul ne protège rien. APPLY_MASK() crée une colonne supplémentaire ; la colonne d'origine contient toujours la valeur complète. Le masque ne devient une protection qu'une fois la colonne source passée en Invisible dans les vues concernées.
5. Comment empêcher une donnée personnelle de partir dans un export ?
L'option Marquage RGPD / confidentiel signale un champ qui contient des données personnelles. Elle ne protège pas l'affichage. Elle décide de ce qui quitte TimeTonic dans un export FTP / SFTP ou Metabase.
Une étiquette posée sur le champ
Menu du champ → Marquage RGPD / confidentiel → Sensible. Seuls le propriétaire et les administrateurs de l'espace de travail la posent.
Une exclusion dans chaque export
La case Exclure les champs marqués RGPD / confidentiels est cochée par défaut. Les champs marqués restent hors du fichier, même marqués plus tard.
Un héritage, sauf pour les formules
Une colonne de table liée qui lit un champ sensible devient sensible toute seule. Une formule n'hérite pas : marquez-la Sensible à la main si elle recopie une donnée personnelle.
Le marquage ne cache rien. Tous les membres qui voyaient le champ le voient toujours. Pour cacher une donnée, choisissez un autre mécanisme de cette page. L'export CSV manuel ne retire pas les champs marqués : excluez-les un par un au téléchargement.
C'est le mécanisme central. La restriction se règle vue par vue, dans une fenêtre unique qui liste tous les champs de la table et leur niveau d'accès. Elle s'ouvre depuis la barre d'outils de la vue, ou depuis le menu d'une colonne avec Restreindre accès.
Lecture / Écriture
Le champ est visible et modifiable. C'est le niveau par défaut.
Lecture seule
Le champ reste visible mais ne peut plus être modifié depuis cette vue.
Invisible
Le champ disparaît complètement de la vue. Le niveau à utiliser pour les colonnes remplacées par une version masquée.
La fenêtre affiche en permanence le compte par niveau, par exemple 28 champs en Lecture / Écriture, 1 en Lecture seule et 34 Invisibles. C'est le moyen le plus rapide de vérifier qu'une vue destinée à l'extérieur n'expose que ce qui est prévu.
Pensez à cocher « Masquer également en mode fiche ». Sans cette case, un champ rendu invisible dans le tableau peut réapparaître lorsque l'utilisateur ouvre l'enregistrement en mode fiche. La colonne semble cachée, et elle ne l'est qu'à moitié.
Terminez par Sauvegarder avec la vue : la restriction est enregistrée dans la configuration de la vue et s'applique à tous ceux qui l'ouvrent, y compris via un partage externe.
8. Comment empêcher qu'une configuration soit défaite ?
Restreindre décide de ce qui est visible. Verrouiller décide de ce qui peut être changé. Verrouillez une restriction pour qu'elle dure : un utilisateur ne peut plus retirer un filtre ni réafficher une colonne.
9. Comment contrôler ce que la fiche affiche par ses colonnes de lien ?
Un réglage à connaître : la vue de chaque colonne de lien. Une colonne de lien affiche les enregistrements d'une autre table à travers une vue de cette table. Sélectionnez une vue sur chaque colonne de lien : la fiche affiche alors seulement les lignes et les champs de cette vue. Le réglage se fait colonne par colonne.
Sur chaque colonne de lien, choisissez la vue à utiliser, en pointant vers une vue elle-même filtrée et restreinte. Elle détermine quelles lignes et quelles colonnes de la table liée seront visibles depuis la fiche.
10. Comment limiter un utilisateur final à un espace dédié ?
Un client, un sous-traitant ou un intervenant externe n'a souvent aucune raison d'entrer dans votre espace de travail de production, même avec des vues restreintes.
La vue miroir répond à ce besoin : vous créez un espace dédié à cette personne, et vous y projetez uniquement les vues que vous avez configurées.
1
Préparez la vue dans votre espace de production
Filtres pour les lignes, Restriction sur les champs pour les colonnes, et sélection de la vue sur chaque colonne de lien.
2
Verrouillez les paramètres de cette vue
Pour que le destinataire ne puisse pas défaire les filtres ni réafficher les colonnes.
3
Créez l'espace de travail destiné à l'utilisateur final, et la vue miroir
Un espace par client ou par intervenant, qui ne contiendra que les vues miroir.
4
Invitez la personne sur ce seul espace
Avec le rôle le moins permissif qui lui permette de travailler. Elle n'a aucun accès à l'espace de production.
Le cas le plus courant, celui d'une donnée sensible que l'équipe doit pouvoir identifier sans la lire entièrement, se traite en cinq étapes.
1
Gardez la valeur complète dans sa colonne d'origine
Vous en aurez besoin pour les traitements, les rapprochements et les éditions.
2
Créez une colonne de formule avec APPLY_MASK()
C'est elle que verront vos collaborateurs.
3
Passez la colonne d'origine en Invisible
Dans les vues de travail concernées, en cochant Masquer également en mode fiche.
4
Verrouillez les paramètres de la vue
Sans cette étape, la restriction peut être défaite par celui qui ouvre la vue, et les trois premières ne servent à rien.
5
Marquez le champ d'origine Sensible
Avec l'option Marquage RGPD / confidentiel. La valeur complète reste hors de vos exports FTP / SFTP et Metabase. Le champ APPLY_MASK() est une formule : il reste Non sensible et part avec la valeur masquée.
Ce schéma est l'application la plus concrète du principe de privacy by design : n'exposer que le strict nécessaire, dès la conception de la table, plutôt que d'ajouter une protection après coup.