Les données d'une entreprise de travaux sortent rarement par une attaque : elles sortent par un tableur partagé, une pièce jointe transférée et un accès qu'on a oublié de couper. Voici comment organiser les droits, ce qu'il faut exiger d'un éditeur, et comment le vérifier.
La question de la sécurité informatique est souvent posée à l'envers, comme un sujet technique réservé aux banques. Dans une entreprise de travaux, elle se pose très concrètement à partir de ce qui circule tous les jours :
Ces éléments sont exposés à deux risques de nature très différente. Le premier vient de l'extérieur : intrusion, hameçonnage, rançongiciel qui chiffre les serveurs et arrête l'exploitation. Le second vient de l'intérieur, sans malveillance la plupart du temps : la bonne information arrive chez la mauvaise personne, ou reste accessible à quelqu'un qui a quitté l'entreprise.
Le second est de loin le plus fréquent, et c'est celui qui se traite le mieux, parce qu'il ne dépend pas de la sophistication d'un attaquant mais de la façon dont les accès sont organisés.
Avant de parler de pare-feu, il est utile de regarder les chemins réellement empruntés par l'information dans une entreprise de vingt à deux cents salariés. Ils sont presque toujours les mêmes :
Aucun de ces cas n'est une attaque. Ce sont des conséquences d'outils qui ne savent pas dire non : un tableur ne sait pas masquer une colonne à un lecteur, une pièce jointe ne sait pas s'auto-détruire, une boîte aux lettres partagée ne sait pas qui l'a ouverte.
La conclusion pratique est que le sujet n'est pas d'abord la protection contre l'extérieur, mais la capacité de l'outil de travail à distinguer les personnes.
Le principe de base tient en une phrase : chacun accède à ce dont il a besoin pour faire son travail, et à rien de plus. Ce n'est pas une marque de défiance, c'est ce qui permet de donner l'outil à tout le monde sans avoir à arbitrer au cas par cas.
Sur un chantier, la traduction est assez naturelle :
Les droits doivent être attachés à un rôle, jamais à une personne. Le jour où un conducteur de travaux arrive, on lui donne un rôle existant ; le jour où il part, on coupe le compte. Une exception accordée à une personne en particulier est toujours facile à créer et devient impossible à maintenir au quinzième salarié.
Un bon test : vous devez pouvoir énoncer en une phrase ce que voit chaque rôle et ce qu'il ne voit pas. Si la réponse demande un tableau de quarante cases, le découpage est trop fin, et personne ne saura plus dire qui a accès à quoi.
C'est la distinction technique qui compte le plus, et la plus facile à ne pas voir quand on regarde une démonstration. Beaucoup d'outils appliquent les droits au moment de l'affichage : la colonne des prix est masquée à l'écran du chef d'équipe, mais la donnée a quand même été envoyée à son téléphone, et elle reste accessible par un autre chemin, une exportation, une URL modifiée, un appel à l'interface de programmation.
Le filtre doit vivre au plus près de la donnée, dans la base elle-même, de sorte qu'une requête hors périmètre ne renvoie rien, quel que soit le chemin emprunté. Dans les bases de données de la famille PostgreSQL, ce mécanisme s'appelle la sécurité au niveau des lignes : chaque table porte des règles qui décrivent qui peut lire et écrire quelle ligne, et ces règles s'appliquent même si l'application se trompe.
Deux questions suffisent à savoir où en est un éditeur. Si je modifie l'identifiant dans l'URL pour désigner un chantier qui n'est pas le mien, qu'est-ce que je récupère ? Et si j'appelle votre interface de programmation avec mon compte, ai-je accès à plus de choses que dans l'écran ? Les réponses doivent être « rien » et « non ».
Les plans, les photos et les PDF sont les éléments qui échappent le plus souvent aux règles d'accès, parce qu'ils sont stockés ailleurs que les données et servis par de simples adresses web. Une adresse publique reste valable pour tous ceux qui l'ont reçue, indéfiniment, y compris après un départ, et elle peut être indexée par un moteur de recherche.
Un stockage correct est privé par défaut : aucun fichier n'a d'adresse publique, et l'accès passe par un lien signé, valable quelques minutes, délivré uniquement à un utilisateur qui a le droit de voir ce document. Le fichier reste donc soumis aux mêmes règles que la donnée à laquelle il est rattaché.
Le cas du client final mérite une attention particulière. Lui demander de créer un compte pour signer un procès-verbal de réception est le meilleur moyen de ne jamais obtenir la signature. Le compromis raisonnable consiste à lui envoyer un lien propre à son document, qui n'ouvre que celui-là, et à exclure ces pages de l'indexation des moteurs de recherche.
Un outil de gestion doit conserver la trace des actions qui engagent l'entreprise : qui a validé une réception, qui a envoyé une commande, qui a modifié un montant, et quand. Pour les corrections, la trace n'a d'intérêt que si elle conserve l'ancienne valeur en plus de la nouvelle.
Ce journal sert dans deux situations très différentes. En cas de litige, il permet de répondre précisément à une contestation sur un procès-verbal ou une situation de travaux. En cas d'incident, il permet de dire ce qui a été consulté et par qui : sans journal, une entreprise touchée est incapable de mesurer l'étendue du problème, ce qui la place dans une position difficile vis-à-vis de ses clients comme de la CNIL.
Il y a un effet secondaire utile. Là où tout est tracé, on peut se permettre d'ouvrir davantage : c'est la traçabilité qui rend l'ouverture supportable, pas l'inverse.
Dans la plupart des entreprises, personne n'est formellement chargé de fermer les accès. Les comptes s'accumulent, et au bout de quelques années la liste des personnes qui peuvent entrer ne ressemble plus à l'effectif. Trois règles simples suffisent à tenir la situation.
Les sous-traitants demandent le même soin, avec une nuance : leur accès doit être limité à leurs lots et à la durée du chantier. Une revue des comptes actifs deux fois par an, qui prend une heure, suffit à rattraper ce qui a été oublié.
Les protections contre l'extérieur sont plus classiques, et c'est justement pour ça qu'elles se vérifient facilement. Les données doivent être chiffrées en transit, ce qui suppose un site accessible uniquement en HTTPS, et chiffrées au repos sur les disques de l'hébergeur. L'hébergement dans l'Union européenne évite des questions juridiques inutiles sur les transferts internationaux.
Le point sur lequel les entreprises se font le plus surprendre reste la sauvegarde. Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde, c'est une hypothèse. Les deux questions à poser sont la fréquence des sauvegardes et le délai de remise en service : combien de temps pour redémarrer, et combien de travail perdu dans l'intervalle.
Face à un rançongiciel, la question n'est pas d'être certain de ne jamais être touché, mais de savoir en combien de temps l'entreprise reprend son activité. Une entreprise qui héberge ses données chez un prestataire sérieux, avec des sauvegardes testées, répond à cette question en une phrase. Une entreprise dont le suivi vit sur un serveur dans un placard et des tableurs sur les postes ne peut pas y répondre.
Le reste relève de l'hygiène, et ne dépend pas de l'éditeur du logiciel : des mots de passe distincts, un gestionnaire de mots de passe, une double authentification sur la messagerie, et une attention particulière aux demandes de changement de coordonnées bancaires, qui restent la fraude la plus rentable et la plus courante dans le bâtiment.
Une entreprise de travaux traite des données personnelles : celles de ses salariés et celles des personnes chez ses clients. Elle en est responsable de traitement, et cette responsabilité ne se délègue pas à l'éditeur de son logiciel. L'éditeur, lui, intervient comme sous-traitant au sens de l'article 28 du Règlement général sur la protection des données, ce qui impose un contrat écrit décrivant ce qu'il a le droit de faire des données.
Quelques points concrets reviennent systématiquement dans le bâtiment. Les photos de chantier où des personnes sont reconnaissables sont des données personnelles. Les pointages et les données de suivi d'activité des salariés en sont également, et leur conservation doit être limitée dans le temps. Les durées de conservation doivent être décidées, écrites, et appliquées par l'outil plutôt que laissées à la bonne volonté de chacun.
Enfin, la sortie compte autant que l'entrée : le contrat doit dire ce qui se passe si vous arrêtez, sous quelle forme vous récupérez vos données, et sous quel délai l'éditeur les supprime des siennes. Ces éléments relèvent du contrat et non du produit, et ce guide ne remplace pas l'avis d'un professionnel du droit.
Ces questions se posent à n'importe quel éditeur, y compris à nous. Une réponse précise, donnée sans délai, en dit plus long que n'importe quelle page de site.
Un dernier conseil de méthode : faites-vous montrer l'outil avec le compte d'un chef d'équipe, pas avec celui de l'administrateur. C'est le seul moyen de voir ce que vos équipes verront réellement, et ce qu'elles ne verront pas.
Pour voir comment ces règles s'appliquent à votre organisation, et qui verrait quoi chez vous, prenez rendez-vous, ou lisez les questions fréquentes.
Dernière mise à jour : septembre 2026.