Créer un espace client sécurisé

La CNIL a reçu 6 167 notifications de violation de données en 2025, et un incident déclaré sur deux relevait d’un piratage. Un espace client réunit derrière une seule adresse, ouverte en permanence sur internet, des documents nominatifs, des coordonnées, des montants, parfois des pièces d’identité. Dans un cahier des charges, le mot sécurisé désigne presque toujours la connexion : un mot de passe solide, une double vérification, un certificat. Ces trois éléments protègent l’entrée. Ils ne disent rien de ce qu’un compte atteint une fois la session ouverte, ni de ce qui reste accessible à quelqu’un qui n’a pas de compte du tout. Cet article sépare les trois questions, donne les seuils que la CNIL chiffre réellement, et l’ordre dans lequel les trancher pour créer un espace client sécurisé avant d’ouvrir le premier accès à un client.

Ce que le mot sécurisé recouvre, et où les espaces clients cèdent

Trois questions distinctes vivent sous le même adjectif : ce que le compte prouve au moment où quelqu’un se connecte, ce qu’il atteint une fois la session ouverte, et ce qui reste consultable sans passer par lui. La première se voit à l’écran et se décrit en une ligne de devis, ce qui lui vaut l’essentiel de l’attention du projet. Les deux autres se jouent dans le code, et leur absence ne se remarque que le jour où quelqu’un en profite. C’est par la dernière que commence ce qui suit, parce qu’elle se referme dans le stockage des fichiers, avant tout écran.

La fondation OWASP tient un classement des risques les plus répandus dans les applications web. Son édition 2025 met les défauts de contrôle d’accès en première position. La catégorie couvre 40 types de défauts et rassemble 1 839 701 relevés dans les applications analysées par la fondation, le plus gros volume du classement. Un mot de passe solide ne couvre pas ces défauts : le compte est authentique, la session est valide, et le serveur répond à une demande qu’il aurait dû refuser. La manière de traquer ces réponses illégitimes dans une application déjà livrée se traite dans un audit de sécurité mené depuis un compte ordinaire.

Un espace client ajoute une difficulté que vos outils internes n’ont pas. Vos salariés travaillent sur des postes que votre entreprise administre, derrière un réseau qu’elle contrôle, avec des comptes qu’elle ouvre et referme. Vos clients se connectent depuis un environnement dont vous ne maîtrisez rien. Leur mot de passe est peut-être le même que celui d’un site marchand compromis l’an dernier, leur boîte mail est peut-être ouverte sur un ordinateur partagé, et rien de tout cela ne vous est visible. Vous concevez donc en supposant qu’un compte finira par tomber entre d’autres mains, et le cloisonnement des comptes devient la mesure qui décide de la gravité de ce jour-là.

Les chemins vers vos documents qui évitent la connexion

Un portail client sécurisé affiche des pièces, et ces pièces sont des fichiers stockés quelque part. Trois chemins mènent à elles sans passer par l’écran de connexion. Le premier est l’adresse directe du fichier : quand le serveur sert le document depuis une adresse publique dont personne ne devine la forme, la protection tient à la difficulté de deviner, pas à un droit vérifié. Cette adresse circule ensuite dans un historique de navigateur, dans un mail transféré, dans un moteur de recherche qui l’a trouvée.

Le deuxième chemin est la notification. Un espace qui envoie la facture en pièce jointe pour signaler qu’elle est disponible vient de recréer le circuit que le portail devait remplacer, avec la boîte mail du client comme lieu de stockage. Le troisième est l’export, celui que vos équipes produisent depuis l’outil de gestion et qui contient les données de tous vos clients dans un seul fichier.

La décision tient en une phrase pour les deux premiers, et elle se prend au moment de la conception : chaque pièce se sert par une adresse qui repasse par la vérification des droits, et une notification annonce sans transporter. Le troisième se règle ailleurs, puisqu’il naît en dehors de l’espace : il dépend de qui peut produire cet export et le sortir de vos outils. Ce qui coûte, ce n’est pas la mesure, c’est de la reprendre après coup sur l’ensemble des documents déjà déposés.

Classer ce que l’espace affiche avant de choisir comment le protéger

Le RGPD demande des mesures de sécurité adaptées au risque et cite le chiffrement des données et la pseudonymisation parmi les moyens possibles, sans fixer de niveau unique. Cette rédaction vous oblige à justifier le niveau retenu, et aucune liste de bonnes pratiques recopiée d’un projet à l’autre ne tient lieu de justification. Le niveau se déduit de ce que l’espace affiche réellement, et cette sensibilité n’est pas la même d’un écran à l’autre du même portail.

Un premier ensemble ne pose pas de difficulté particulière. Une facture, un devis signé, un bon d’intervention, l’avancement d’un dossier : ces pièces engagent votre relation commerciale sans ouvrir la voie à une usurpation d’identité ou à un détournement de paiement. Un espace qui s’arrête là se protège par les mesures ordinaires, celles que décrit un espace bâti autour des pièces que vous éditez chaque mois.

Un deuxième ensemble change le calcul. Une copie de pièce d’identité, un relevé d’identité bancaire, un bulletin de paie, un justificatif de domicile : ces pièces servent directement à usurper une identité ou à détourner un paiement. Elles justifient une authentification multifacteur sur les parcours qui les affichent ou les modifient, une session plus courte, et une journalisation des accès qui enregistre les consultations et pas seulement les connexions.

Un troisième ensemble relève d’un régime distinct. Le RGPD interdit par principe de traiter les données concernant la santé, les données biométriques servant à identifier une personne de manière unique et quelques autres catégories, et n’ouvre d’exception que dans les cas qu’il énumère. Cette catégorie de données appelle aussi, en amont du projet, une analyse d’impact relative à la protection des données : le RGPD l’impose avant tout traitement susceptible d’engendrer un risque élevé pour les personnes concernées, ce qu’un espace qui centralise des données de santé remplit par construction. La CNIL demande pour ces traitements des mesures plus contraignantes que celles de sa recommandation sur les mots de passe, et cite en exemple un processus d’authentification multifacteur, sans dire à quel endroit du parcours le poser. Sur ce troisième ensemble, nous le posons à l’entrée plutôt que sur les seuls écrans sensibles, parce qu’aucun écran n’y est ordinaire. La différence descend ensuite jusqu’au rattachement d’une personne à son dossier, ce que détaille un espace ouvert aux patients d’un établissement de santé. Le classement se fait document par document, avant le premier écran, parce qu’il commande le reste : le niveau d’authentification, la durée des sessions et le périmètre des journaux.

L’entrée, et le niveau que la CNIL vous laisse choisir

La CNIL chiffre ce qu’elle attend d’un mot de passe depuis sa recommandation du 21 juillet 2022, et elle le fait en entropie, c’est-à-dire en quantité de hasard contenue dans le secret. Quand la sécurité de l’authentification repose sur le seul mot de passe, la politique doit assurer l’équivalent de 80 bits. La recommandation en donne trois exemples qui atteignent ce niveau : douze caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux choisis dans une liste d’au moins trente-sept, ou quatorze caractères mêlant majuscules, minuscules et chiffres sans caractère spécial obligatoire, ou une phrase de passe d’au moins sept mots français.

Un second cas descend à 50 bits, soit huit caractères comportant trois des quatre catégories, les caractères spéciaux étant pris dans un ensemble d’au moins onze, ou une phrase de cinq mots, ou seize chiffres. Il n’est ouvert qu’à une condition : l’authentification comporte un mécanisme de restriction d’accès au compte. La recommandation en décrit quatre formes acceptables, seules ou combinées. La première est une temporisation qui croît avec les échecs, supérieure à une minute après cinq tentatives ratées et bornée à vingt-cinq essais par vingt-quatre heures. Viennent ensuite un plafond de tentatives sur une période donnée, un dispositif contre les soumissions automatisées comme un captcha, et un blocage après dix échecs consécutifs au plus, assorti d’un moyen de déblocage.

Vous arbitrez donc entre deux dépenses. La première, vous la demandez à vos clients sous forme de contrainte de saisie, et elle se paie en appels au support et en comptes abandonnés. La seconde, vous la payez en développement côté serveur, une fois. La CNIL ajoute un avertissement qui pèse sur le choix de la forme : elle demande de tenir compte du risque qu’un blocage se retourne en attaque, puisqu’il suffit de le déclencher pour rendre les comptes inaccessibles. Sur un espace où vos clients se connectent en dehors de vos horaires d’ouverture, la temporisation croissante et le captcha tiennent mieux que le blocage sec, qui transforme un incident de sécurité en appel à votre standard le lendemain matin.

Les règles qui ont changé et que les projets appliquent encore à l’envers

La même recommandation a retiré une habitude que beaucoup de cahiers des charges réclament encore. Les responsables de traitement ne devraient plus imposer de modification périodique du mot de passe à l’ensemble de leurs utilisateurs, la procédure restant nécessaire pour les seuls comptes d’administration. Sur un espace client, un renouvellement forcé tous les trois mois pousse surtout à numéroter le même mot de passe.

Trois autres points se décident au même moment et se corrigent mal ensuite. Interdire le collage dans le champ du mot de passe est explicitement écarté, parce que la mesure empêche l’usage des gestionnaires de mots de passe et gêne l’accessibilité. La taille maximale acceptée par le formulaire ne descend pas en principe sous cinquante caractères, faute de quoi une phrase de passe est refusée par le site qui la réclame. Les mots de passe connus comme couramment utilisés se refusent à la création, et l’utilisateur doit savoir que cette liste existe, sinon le refus ressemble à un bogue.

Reste le premier mot de passe, celui que vous fournissez au client dont vous ouvrez le compte. Il ne se transmet pas en clair par courriel. La CNIL demande qu’il vaille pour un usage temporaire, ou que sa modification soit imposée dès la première connexion, et elle recommande de l’exiger avant toute autre action. Côté serveur, elle demande un stockage transformé par une fonction non réversible, et recommande un sel d’au moins 128 bits tiré au hasard pour chaque utilisateur. Un sel est une donnée ajoutée au mot de passe avant transformation, qui empêche deux mots de passe identiques de produire la même empreinte, et rend inutilisables les tables de correspondance qui circulent.

Le parcours de mot de passe oublié décide de la solidité du reste

Les règles précédentes portent sur la création du mot de passe. Le parcours qui en remet un à celui qui l’a perdu obéit à d’autres règles, et il délivre un accès valide à qui sait le déclencher. Il décide donc autant de la solidité de l’ensemble que l’écran de connexion.

La recommandation fixe une durée d’expiration courte pour les liens de création ou de renouvellement, de l’ordre de quelques heures et de 24 heures au plus, avec un lien à usage unique. Elle ajoute trois règles que les projets oublient. L’envoi se fait sur un canal validé au préalable. Il ne doit pas être possible d’expédier le nouveau secret vers un canal de communication récemment modifié. Et toute modification d’un canal se notifie sur l’ensemble des canaux connus, y compris celui qui vient de changer, pour que la personne soit alertée si le changement ne vient pas d’elle. Ces trois règles ferment le chemin d’attaque le plus courant sur un espace client, qui consiste à changer l’adresse mail du compte puis à demander une réinitialisation.

Deux détails d’affichage comptent autant. Un message d’échec de connexion indique l’échec sans rien apprendre à celui qui essaie, ce qui interdit la formule pratique qui distingue l’identifiant inconnu du mot de passe erroné : elle transforme votre écran de connexion en outil de vérification d’adresses. Et dans les journaux, la CNIL demande que n’apparaissent ni les mots de passe ni les identifiants non reconnus, parce qu’un utilisateur qui tape son mot de passe dans le champ identifiant l’écrirait en clair dans vos fichiers de trace.

Une fois entré, qui voit quoi, et qui referme

La vérification des droits se fait côté serveur, à chaque demande, et elle porte sur la donnée réclamée elle-même. Un menu qui masque un bouton ne protège rien, puisque l’adresse derrière le bouton répond toujours. Ce principe est court à énoncer et long à tenir, parce qu’il suppose de savoir à qui appartient chaque donnée, et cette appartenance se définit dans votre activité avant d’exister dans le programme.

Vient ensuite une question que les portails traitent tard. Un compte client correspond à une entreprise, les personnes qui s’y connectent sont plusieurs, et certaines ne travaillent ni chez vous ni chez votre client. Un expert-comptable consulte les factures de son client, un mandataire agit pour lui, un installateur intervient sur son dossier. Sans compte à leur nom, ces tiers passent par le titulaire, qui leur prête son identifiant, et vos journaux enregistrent alors une consultation au nom de quelqu’un qui n’était pas devant l’écran. Un accès nominatif par tiers règle la trace en même temps que le périmètre. Quand ces tiers sont nombreux, l’administration se délègue à un responsable désigné chez le client, qui ouvre et ferme les comptes de son côté sans inventer de droits, un partage que détaille la délégation d’administration à un partenaire.

La CNIL recommande une revue des habilitations au moins annuelle, pour repérer et supprimer les comptes inutilisés. Sur des comptes internes, cette revue corrige des oublis, puisqu’un départ finit par vous parvenir par la paie. Sur des comptes clients, elle est le seul mécanisme dont vous disposez : personne ne vous prévient qu’une personne a quitté l’entreprise cliente. La même revue s’alourdit quand un seul outil concentre les accès de plusieurs anciens logiciels, un effet que décrit le travail d’habilitation qu’impose un outil unique.

L’accès dont vous n’apprendrez pas qu’il faut le fermer

Trois événements devraient fermer un accès, et aucun des trois ne remonte tout seul jusqu’à vous. Un contrat prend fin, un dossier se clôt, un interlocuteur change de poste chez votre client. Les comptes valides sur votre espace s’accumulent donc, sans que rien dans votre activité ne déclenche leur fermeture.

Trois décisions couvrent ces trois événements. La première porte une date de fin sur tous les accès qui en ont une, ceux d’un tiers mandaté ou d’un prestataire comme ceux d’un client dont le contrat porte un terme, pour que la fermeture arrive à date sans dépendre d’une relance. La deuxième sépare la désactivation de la suppression : vous coupez l’accès de la personne qui change de poste, et vous gardez l’historique du compte client, puisque vos obligations de conservation ne s’éteignent pas avec le départ d’un interlocuteur. La troisième désigne qui a le droit de fermer, votre équipe ou l’administrateur chez le client, et ce choix décide du délai réel entre le départ et la coupure. Ces trois décisions supposent enfin que la révocation d’un accès ferme la session en cours, sans quoi elle ne prend effet qu’à la prochaine connexion, c’est-à-dire jamais pour celui qui reste connecté.

L’ordre dans lequel prendre ces décisions

Cinq décisions se prennent avant le développement, et leur ordre compte, parce que chacune ferme les options de la suivante.

Tout part de l’inventaire : ce que l’espace affichera, document par document, rangé dans l’un des trois niveaux de sensibilité. Il tient sur une page et se relit avec la personne qui répond aujourd’hui aux demandes de vos clients, parce qu’elle sait ce que vos clients réclament et ce qu’ils ne demandent jamais.

Le tableau des accès vient ensuite, en croisant les profils réels avec les lignes de l’inventaire. Sa vertu apparaît à l’usage : il fait ressortir les cases où personne ne sait trancher, et ce sont ces cases-là qui coûtent cher quand elles se décident en cours de développement.

Le choix du cas d’usage de la CNIL arrive en troisième, une fois que vous savez ce que l’espace expose. Il détermine votre politique de mots de passe, la présence d’une restriction d’accès au compte, et l’endroit où se pose une seconde vérification.

Le périmètre et la durée des journaux se fixent en quatrième. La CNIL place la conservation de ces traces entre six mois et un an, une durée plus longue restant possible quand un risque le justifie et se démontre. Ces journaux disent quel compte a ouvert quelle pièce et à quelle date, et ils sont eux-mêmes des données personnelles concernant vos salariés : leur accès se restreint, et leur durée de conservation se fixe, au même titre que le reste.

La procédure d’incident s’écrit en dernier, avant l’ouverture et non après le premier appel. Le RGPD demande de notifier une violation de données à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, et d’informer les personnes concernées quand le risque pour elles est élevé. Cette notification décrit la nature de la violation, le nombre approximatif de personnes touchées et les mesures prises. Aucune de ces trois informations ne se reconstitue en trois jours sans les journaux décidés à l’étape précédente, ce qui explique leur place dans la liste.

Reste un contrôle que rien ne remplace, et qui se mène avant d’ouvrir le premier compte réel. Créez deux comptes de test appartenant à deux clients différents, connectez-vous avec le premier, et essayez d’atteindre les données du second en changeant les adresses et les identifiants que l’interface affiche. Ce que vous obtenez à ce moment-là est ce qu’obtiendra un client curieux.

Faire construire un espace client dont la sécurité tient dans le temps

Un espace client change après sa livraison. Une rubrique s’ajoute, un profil apparaît, une connexion à un nouvel outil se pose, et chaque ajout rouvre le tableau des accès écrit au démarrage. La sécurité d’un portail client tient donc moins à ce qui a été posé le premier jour qu’à la manière dont les trois questions du début reviennent à chaque évolution.

Un espace livré avec votre logiciel de gestion couvre les échanges que son éditeur a prévus, et il fait le travail tant que les vôtres y entrent. Le développement sur mesure se discute à partir du moment où vos équipes recommencent à travailler à côté de lui. La sécurité donne un signal lisible : un profil qui ne se découpe pas comme votre activité le demande vous fait ouvrir à tout le monde ce que vous vouliez réserver à quelques-uns, ou renvoyer par mail ce que l’espace refuse de porter. Ces écarts se relèvent un par un avant de décider quoi que ce soit.

Le premier échange porte sur ces écarts : ce que vos équipes envoient encore à côté de l’espace, et à qui. L’inventaire des documents et le tableau des accès se construisent à partir de là, avec les personnes de chez vous qui reçoivent aujourd’hui ces demandes. Le reste se décide ensuite, depuis la page qui détaille comment nous construisons un espace client sur vos données.

Sources

Délibération n° 2022-100 du 21 juillet 2022 portant adoption d’une recommandation relative aux mots de passe et autres secrets partagés, CNIL, 21 juillet 2022, https://www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf

La CNIL publie une recommandation relative aux mesures de journalisation, CNIL, 18 novembre 2021, https://www.cnil.fr/fr/la-cnil-publie-une-recommandation-relative-aux-mesures-de-journalisation

Sécurité : gérer les habilitations, CNIL, 13 mars 2024, https://www.cnil.fr/fr/securite-gerer-les-habilitations

Règlement européen sur la protection des données, articles 32, 33 et 34, chapitre IV, CNIL, consulté le 9 septembre 2026, https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

Règlement européen sur la protection des données, article 9, chapitre II, CNIL, consulté le 9 septembre 2026, https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2

Rapport annuel 2025, le bilan et les actions marquantes de la CNIL, CNIL, 18 mai 2026, https://www.cnil.fr/fr/rapport-annuel-2025

OWASP Top 10:2025, A01 Broken Access Control, OWASP Foundation, consulté le 9 septembre 2026, https://owasp.org/Top10/2025/A01_2025-Broken_Access_Control/