Politique de contrôle d’accès

Traduction fournie à titre indicatif. La version anglaise fait foi.

Une règle traverse cette politique : LFW ne demande ni ne conserve jamais les mots de passe d’un client. Elle utilise un accès délégué, à son propre nom, limité à ce que le travail exige et révocable par le client à tout moment.

Version 1.0, 6 octobre 2026. Fait partie des pratiques publiées sur la page Confiance. La politique de sécurité de l’information couvre les systèmes dans lesquels ces comptes existent.

1. Des comptes au nom du client

L’hébergement, le domaine, le dépôt de code et les comptes administrateur du site d’un client sont au nom du client dès le premier jour. LFW est un utilisateur des comptes du client, jamais leur propriétaire.

Le client voit exactement ce à quoi LFW peut accéder, et peut le retirer sans rien demander. À la fin du contrat, LFW restitue les identifiants, l’accès aux comptes et l’accès au dépôt sans frais.

2. Comment LFW obtient l’accès à un système du client

Pour chaque système nécessaire au travail, LFW demande au client d’accorder un compte nominatif à l’adresse de LFW par la fonction de délégation du fournisseur lui-même : un membre sur le compte d’hébergement, un utilisateur d’entreprise sur le tableau de bord de l’hébergeur, un membre au rôle restreint sur le compte Cloudflare, un utilisateur administrateur dans WordPress.

LFW accepte chaque invitation et active l’authentification multifacteur sur ce compte lorsque la plateforme la propose. Lorsqu’un fournisseur n’offre pas de délégation, LFW demande un identifiant dédié créé pour elle, jamais l’identifiant personnel du propriétaire.

Les rares identifiants que LFW doit détenir sont conservés dans un gestionnaire de mots de passe, dans un coffre réservé à ce seul client. Un client transmet un tel identifiant par un lien sécurisé à usage unique, pas par courriel.

LFW ne demande que ce dont la mission a besoin. L’accès au bureau d’enregistrement du domaine n’est généralement pas nécessaire : la configuration privilégiée est un DNS délégué à une zone Cloudflare, ce qui laisse le bureau d’enregistrement intact.

3. Connexion aux systèmes de LFW

Le Portail client n’a pas de mots de passe. Un client se connecte avec un lien envoyé par courriel qui ne fonctionne qu’une fois et expire au bout de 15 minutes, avec une clé d’accès, ou via le fournisseur d’identité propre au client en OpenID Connect.

Les demandes de liens de connexion sont limitées en débit par adresse et par courriel, et la réponse est la même que l’adresse ait un compte ou non, de sorte que le formulaire ne permet pas de dresser la liste des clients. Une session dure 14 jours dans un cookie que le navigateur garde limité à l’hôte, sécurisé et hors de portée des scripts.

Le personnel de LFW se connecte au site du personnel de la même façon, sur une origine distincte. Il n’existe aucun mot de passe dans les systèmes de LFW à voler ou à réutiliser.

4. Rôles dans le Portail client

L’accès au portail est accordé délibérément, personne par personne, par LFW. Être un contact enregistré, ou travailler dans une organisation cliente, ne l’accorde pas. Révoquer l’accès invalide toutes les sessions de cette personne, et un accès accordé plus tard ne les fait pas revivre.

Les rôles client sont propriétaire, membre et lecteur. Les propriétaires voient tous les sites de leur organisation ; un membre voit les sites qui lui sont accordés et rien d’autre, ni un autre site de sa propre organisation ni une autre organisation. L’historique des documents est en ajout seul : une restauration ajoute une révision au lieu d’en effacer une.

Lorsque le personnel de LFW consulte le portail d’un client pour l’aider sur une demande, la consultation est en lecture seule, signalée à l’écran, journalisée et ouverte par un jeton à usage unique qui expire en deux minutes.

5. Accès au serveur

Le serveur n’accepte SSH que par clé. L’application et chaque tâche planifiée tournent sous un compte de service non privilégié sans shell de connexion, et le répertoire de données n’est lisible que par ce compte. Le fichier des secrets est limité à l’administrateur du serveur et à ce compte.

Les constructions ne touchent jamais aux clés du serveur : elles tournent dans un conteneur jetable sans montage, qui reçoit le code source par son entrée et renvoie le site construit par sa sortie.

6. Revue et révocation

LFW tient un inventaire, par client, de chaque compte qu’elle détient et de la façon de le révoquer. L’inventaire sert de liste de sortie : à la fin du contrat, chaque entrée est restituée ou supprimée, et le client le confirme.

Un client peut retirer l’accès de LFW à tout moment et sans préavis. LFW ne le considère pas comme un manquement au contrat, et cela ne change rien à ce que possède le client.

7. Sous-traitants

LFW n’a aucun salarié et ne fait intervenir aucun sous-traitant sur le site d’un client sans l’accord écrit du client. Toute personne que LFW fait intervenir est liée par les mêmes conditions de confidentialité et reçoit le même type d’accès nominatif, limité et révocable.

8. Ce que cette politique ne revendique pas

LFW ne participe ni à InCommon ni à une autre fédération de confiance. Elle ne propose pas encore aux clients de rapport des connexions et déconnexions de chaque utilisateur ; ce que le portail enregistre figure dans la politique de sécurité de l’information.