Rôles et permissions : définir les droits d’un outil interne

Les permissions d’un outil interne définissent qui peut agir sur quelle donnée et dans quel contexte. Elles partent de vos responsabilités métier, pas d’une liste générique « administrateur, éditeur, lecteur ». Il faut distinguer l’identité d’un utilisateur, son organisation et les opérations qui lui sont autorisées.

Écrire une matrice d’accès concrète

Pour chaque ressource, décrivez les actions autorisées. Lire un dossier, le modifier, exporter ses données et administrer les accès sont des permissions différentes. Précisez aussi le périmètre : ses propres dossiers, ceux de son équipe ou ceux de toute l’organisation.

Ce tableau est une trame, pas une politique prête à appliquer à toutes les entreprises. Les exceptions doivent être discutées avec les responsables du processus.

Contrôler au bon endroit

Cacher un bouton évite une action accidentelle, mais ne protège pas une API. Les contrôles doivent porter sur la requête et la donnée. La documentation Supabase sur RLS explique le contrôle d’accès aux lignes par politiques. Ces politiques doivent être configurées et vérifiées pour votre modèle.

Les fichiers nécessitent aussi leurs propres règles. Les contrôles d’accès Storage ne garantissent pas qu’une personne autorisée ne pourra jamais copier ce qu’elle consulte.

Vérifier les refus et le cycle de vie

• Un utilisateur tente d’ouvrir un dossier qui ne lui est pas affecté.
• Un compte d’une organisation demande une ressource d’une autre.
• Un rôle retiré tente une action avec une session déjà ouverte.
• Un export et une pièce jointe sont demandés sans permission.
• Un administrateur essaie de déléguer un droit qu’il ne possède pas.

Le fonctionnement nominal seul ne prouve pas l’isolation. La page logiciel métier d’Ikovaline permet de cadrer ces exigences. Le guide isolation entre entreprises et les tarifs publiés complètent le cadrage.

Questions fréquentes

Le SSO gère-t-il les permissions ?

Il sert à établir l’identité selon l’intégration retenue. Les appartenances et droits métier restent à mapper et à contrôler. Le guide SSO en entreprise distingue ces responsabilités.

Peut-on commencer avec peu de rôles ?

Oui, si ces rôles couvrent clairement le périmètre livré. La simplicité vient de règles explicites, pas d’un accès total accordé à tous pour gagner du temps.