Départ d’un salarié ou d’un freelance : la checklist pour fermer tous les accès

Quand une personne quitte l’entreprise, ses accès, eux, restent. Son compte de messagerie, les mots de passe partagés qu’elle connaissait et les applications qu’elle a connectées fonctionnent tant que personne ne les ferme, et son téléphone reçoit peut-être encore les codes de votre banque. Voici la checklist de départ d’un salarié pour fermer ses accès informatiques en trois temps : avant le dernier jour, le jour J et dans les semaines qui suivent. Elle vaut aussi pour un freelance ou une agence en fin de mission.

Récupérer l’accès à un site auprès de quelqu’un qui garde les identifiants fait partie des prestations à prix fixe que je propose. Fermer les accès pendant que la personne est encore là pour rendre les clés va beaucoup plus vite.

Ce tutoriel fait partie de mon guide de la cybersécurité pour les petites équipes. Les exemples portent sur Google Workspace et Microsoft 365, mais l’ordre des étapes vaut pour tous les outils.

Avant le dernier jour : listez tous les accès

Dans sa fiche « Gérer les habilitations », la CNIL demande de supprimer les permissions d’un utilisateur dès qu’il n’est plus habilité, par exemple à la fin de son contrat. Pour savoir quoi fermer, commencez par un registre des accès, construit à partir de cinq sources :

Ajoutez les accès physiques : clés, badges, digicode et code d’alarme, ordinateur et téléphone de l’entreprise, clés de sécurité.

Vérifiez ensuite la propriété, pas seulement l’accès. Si la personne est seule propriétaire ou administratrice d’un compte (le nom de domaine chez le registrar, l’outil de création du site, la fiche Google Business Profile, les comptes publicitaires, la console Google Workspace elle-même), désignez un autre propriétaire maintenant, tant qu’elle peut encore le faire. Sur Squarespace, par exemple, seul le propriétaire actuel peut transférer un site, et Google recommande plusieurs super-administrateurs, chacun tenu par une personne différente. Si le nom de domaine est à son nom ou dans son compte personnel, transférez-le d’abord à l’entreprise : mon guide pour récupérer un nom de domaine montre ce que cela implique une fois la personne partie.

Avant le dernier jour : organisez la reprise des fichiers et des emails

Les fichiers et les messages professionnels appartiennent à l’entreprise. Déplacez-les avant de couper les accès, pas après.

Les fichiers. Dans Google Workspace, les fichiers des Drive partagés appartiennent déjà à l’équipe et restent en place. Ceux que la personne possède dans son propre Drive peuvent être transférés à un collègue par un administrateur, avant ou pendant la suppression du compte. Le contenu de sa corbeille n’est pas transféré : restaurez d’abord ce qui compte. Dans Microsoft 365, un administrateur peut donner au responsable l’accès au OneDrive de la personne depuis le centre d’administration SharePoint, en le nommant administrateur de la collection de sites ; vous pouvez aussi copier les fichiers dans une bibliothèque partagée.

La messagerie. La CNIL donne deux consignes dans sa réponse sur les précautions avant de fermer le compte d’un employé : prévenez le salarié de la date de fermeture de sa messagerie, pour qu’il fasse le tri et transfère ses messages privés vers son adresse personnelle ; une fois qu’il est parti, supprimez son adresse nominative.

Pour garder les messages professionnels utiles, Microsoft 365 permet de convertir la boîte en boîte aux lettres partagée : les emails et l’agenda restent, plusieurs collègues peuvent les consulter, et elle ne demande pas de licence tant qu’elle pèse moins de 50 Go (le compte utilisateur reste alors en place, car la boîte partagée en dépend). Dans Google Workspace, un compte suspendu garde ses emails et ses fichiers le temps que vous décidiez. Gardez les messages, pas l’adresse : une boîte conservée pour l’historique peut prendre une adresse générique à la place de l’adresse nominative.

Prévenez aussi clients et fournisseurs du nouveau contact avant le dernier jour, et utilisez des adresses génériques (contact@, compta@) pour tout ce qui doit survivre au départ d’une personne.

Le jour J : fermez les accès dans cet ordre

Coupez les accès à la fin du dernier jour de travail, pas la semaine suivante. Prévoyez une heure et suivez la liste.

1. Suspendez le compte, ne le supprimez pas encore. Dans Google Workspace, la suspension bloque l’accès, conserve les données et réinitialise les cookies de connexion et les jetons OAuth (les autorisations données aux applications). Dans Microsoft 365, réinitialisez le mot de passe du compte et fermez toutes ses sessions depuis sa fiche dans le centre d’administration (la déconnexion prend effet dans l’heure), puis bloquez la connexion. Le guide de Microsoft sur le départ d’un employé place la réinitialisation en premier, car le blocage peut mettre jusqu’à 24 heures à s’appliquer.
2. Fermez ce que la suspension laisse ouvert. Supprimez les clés de sécurité et révoquez les mots de passe d’application enregistrés sur le compte : la page de Google sur la sécurité des données après un départ cite les deux. Les services ouverts avec « Se connecter avec Google » ou « Se connecter avec Microsoft » refuseront le compte suspendu, mais retirez quand même la personne de chacun : une session déjà ouverte dans une application peut rester active un moment.
3. Retirez la personne du gestionnaire de mots de passe, puis changez les mots de passe partagés qu’elle a pu voir. Commencez par le compte administrateur de la messagerie, la banque, le registrar et le site, et déplacez les codes de double authentification qui arrivent encore sur son téléphone. Mon comparatif des gestionnaires de mots de passe d’équipe montre comment chacun gère un départ, et mon guide de la double authentification comment ajouter une seconde méthode à un compte partagé.
4. Retirez-la partout ailleurs. Hébergement, outil de création du site, réseaux sociaux et comptes publicitaires, banque en ligne (accès et délégations), outils de paiement, logiciel de comptabilité, portails clients, groupes WhatsApp et Slack. Résiliez sa carte bancaire professionnelle.
5. Récupérez et effacez les appareils. Ordinateur, téléphone, clés de sécurité, badges et clés ; changez ensuite le digicode et le code d’alarme. Tous les forfaits Microsoft 365 pour les entreprises incluent Basic Mobility and Security, qui peut effacer les appareils inscrits. Sur un téléphone personnel, supprimez le compte professionnel et ses applications, pas les photos de la personne. Mon guide sur les ordinateurs et téléphones sans service informatique explique comment les préparer.

Les semaines suivantes : le ménage qu’on oublie facilement

• Renouvelez les clés et les jetons. Clés d’API, webhooks et jetons d’intégration que la personne a créés ou vus : sur le site, chez le prestataire de paiement, dans les outils d’automatisation. Certains services lient les clés à une personne : la console Claude d’Anthropic, par exemple, indique que les clés d’API personnelles cessent de fonctionner quand leur propriétaire quitte l’organisation, et recommande des clés de compte de service pour tout ce qui est partagé.
• Vérifiez les règles de transfert et de tri de sa boîte et des boîtes partagées qu’elle utilisait : une règle qui copie les emails vers une adresse personnelle est la fuite la plus discrète qui soit. Microsoft 365 permet aussi de bloquer tout transfert automatique vers l’extérieur pour toute l’organisation.
• Vérifiez les informations de récupération des comptes partagés : si l’email ou le numéro de secours est celui de la personne, une réinitialisation de mot de passe partira directement chez elle.
• Revoyez les partages externes (adresses extérieures, partage par lien) et resserrez-les une fois les fichiers transférés.
• Supprimez le compte une fois ses données à l’abri, sauf si une boîte partagée en dépend.
• Supprimez ses données personnelles à l’échéance. Gardez ce que la loi impose, comme les éléments de paie, et supprimez le reste à la fin de sa durée de conservation. L’article 5.1.e du RGPD (limitation de la conservation) ne fixe pas de durée : c’est à vous de les définir, de les justifier et de les écrire.
• Revoyez les accès au moins une fois par an, comme le recommande la CNIL.

Freelances et agences : prévoyez la sortie dès le premier jour

Un freelance part à une date connue d’avance : tout est simple si vous l’anticipez dès son arrivée.

• Invitez-le avec sa propre adresse, comme invité, contributeur ou collaborateur, jamais avec une copie de vos identifiants. Le retirer prendra un clic.
• Donnez-lui le rôle le plus limité possible, avec une date de fin quand l’outil le permet, et notez la fin de mission dans votre agenda avec « fermer les accès » à côté.
• Gardez le nom de domaine, l’hébergement et le site au nom de l’entreprise, même quand l’agence gère les factures. Mon guide pour récupérer son site internet montre ce qui arrive sinon.
• Prévoyez dans le contrat la restitution des identifiants, des fichiers, du code et de la documentation (la clause de réversibilité, dans le jargon).

Un prestataire a besoin d’accès pour travailler. Pour construire une automatisation, j’ai besoin d’accéder à la boîte mail d’un client, par exemple. C’est normal ; ce qui compte, c’est que cet accès passe par un compte que vous contrôlez et pouvez fermer.

Votre checklist départ salarié : les accès informatiques sur une page

Copiez-la dans vos notes et adaptez-la à vos outils.

Avant le dernier jour

• Lister les comptes, appareils, cartes et codes de la personne
• Transférer la propriété des domaines, sites, pages et rôles d’administrateur qu’elle détient seule
• Transférer ses fichiers et décider du sort de sa messagerie
• Prévenir clients et fournisseurs du nouveau contact

Le jour J

• Suspendre le compte (Google), ou réinitialiser son mot de passe, fermer ses sessions et bloquer la connexion (Microsoft)
• Révoquer les mots de passe d’application et retirer les clés de sécurité
• La retirer du gestionnaire de mots de passe et changer les mots de passe partagés qu’elle connaissait
• La retirer des autres services, des groupes de discussion et des accès bancaires
• Récupérer et effacer les appareils ; changer le digicode et le code d’alarme

Les semaines suivantes

• Renouveler les clés d’API et les jetons
• Vérifier les règles de transfert, les informations de récupération et les partages externes
• Supprimer le compte, puis ses données personnelles à l’échéance

Pas besoin d’un service informatique pour cela : la personne qui détient les accès administrateur peut s’en charger. Si les réglages d’administration de Google Workspace ou de Microsoft 365 n’ont jamais été revus, occupez-vous-en ensuite : le prochain départ sera plus court.