Quand un employé part : révoquer l'accès au site, à l'email, à Google et aux réseaux le même jour
Une checklist concrète pour déconnecter un ancien employé de tous les comptes de l'entreprise en une journée, sans bloquer votre activité.
Le départ d'un employé n'est pas qu'une affaire de RH. C'est une affaire d'accès. Tant que votre ancien collègue a encore le mot de passe du panneau de votre site, de votre email, de votre fiche Google Business ou de votre page Facebook, votre entreprise reste exposée : il peut changer un prix, répondre à un client en votre nom, supprimer un avis ou, au pire, prendre le contrôle total.
La bonne nouvelle, c'est qu'une déconnexion propre n'est pas compliquée, mais elle doit se faire dans l'ordre et, idéalement, le même jour. Il ne s'agit pas de méfiance, mais d'hygiène. Voici un plan concret, dans l'ordre qui compte le plus, ainsi que les erreurs qui laissent des portes ouvertes sans que vous le remarquiez.
Avant tout : dressez la liste de tous les comptes
On ne peut pas révoquer un accès qu'on a oublié. Votre premier geste, dès le matin, est de noter tous les endroits où la personne avait accès :
- le panneau du site (WordPress, hébergement, domaine)
- l'email de l'entreprise et les éventuels alias
- la fiche Google Business et Google Ads
- les réseaux sociaux (Facebook, Instagram, TikTok, LinkedIn)
- les outils de travail (Canva, WhatsApp Business, CRM, facturation, Drive)
Pensez aussi aux accès indirects : un téléphone de service connecté aux comptes, un code 2FA qui arrive sur son numéro, un mot de passe enregistré dans le navigateur de l'ordinateur de l'entreprise. Si vous n'êtes pas sûr qu'il avait accès quelque part, supposez que oui et vérifiez. Vérifier deux fois coûte moins cher que de le découvrir un mois plus tard.
Le bon ordre : commencez par les clés qui ouvrent tout
Tous les comptes ne sont pas aussi dangereux. Commencez par ceux qui, une fois perdus, causent le plus de problèmes :
1. L'email. C'est la clé maîtresse, car presque tous les autres mots de passe se réinitialisent par lui. Changez le mot de passe, vérifiez s'il existe des règles de redirection cachées et supprimez-les.
2. Le domaine et l'hébergement. Qui contrôle le domaine contrôle le site et l'email. Vérifiez qui est propriétaire.
3. La fiche Google Business. C'est là que se joue votre réputation locale. Retirez la personne des gestionnaires et assurez-vous que le propriétaire principal, c'est vous.
Seulement après, passez aux réseaux sociaux et aux outils. Si vous inversez l'ordre et commencez par Instagram, une personne mal intentionnée peut tout réinitialiser par email pendant que vous êtes occupé ailleurs.
Changez les mots de passe et coupez la 2FA liée à la personne
La vraie révocation signifie deux choses différentes, souvent confondues.
D'abord : retirer l'utilisateur. Là où la plateforme permet des comptes séparés (Google Business, WordPress, pages Facebook via Business Manager), supprimez simplement son accès. C'est propre et cela ne gêne pas le reste de l'équipe.
Ensuite : changer le mot de passe. Là où tout le monde utilise un seul identifiant et un seul mot de passe (beaucoup de comptes de réseaux sociaux, Canva gratuit, anciennes boîtes email), la seule solution est de changer le mot de passe.
Attention à l'authentification à deux facteurs. Si le numéro de téléphone ou l'application d'authentification de l'ancien employé est défini comme méthode de récupération, il peut revenir même après le changement de mot de passe. Vérifiez et supprimez toute méthode de récupération liée à lui : numéro, email secondaire, appareil de confiance.
N'oubliez pas les accès cachés qui font le plus de dégâts
Le danger n'est pas le mot de passe que vous connaissez. Ce sont les accès que vous avez oubliés :
- Les sessions actives. Beaucoup de plateformes ont un bouton "se déconnecter de tous les appareils". Utilisez-le, sinon la personne reste connectée sur son téléphone même après le changement de mot de passe.
- Les clés API et intégrations. Si vous utilisez un système de facturation, un chatbot ou un outil d'envoi d'emails automatiques, il peut exister une clé générée par l'ancien employé. Régénérez-la.
- Les applications connectées. Dans votre compte Google ou Facebook, vérifiez la liste des applications tierces avec accès et retirez ce que vous ne reconnaissez pas.
- Les mots de passe enregistrés dans un navigateur ou un gestionnaire partagé.
Effacez aussi le téléphone ou l'ordinateur de service : retirez les comptes avant de le rendre ou de le réutiliser.
Comment éviter cette panique à l'avenir
Le meilleur moment pour préparer le départ d'un employé, c'est au moment de l'embaucher, pas quand il part. Quelques règles simples vous évitent une journée de stress :
- Donnez l'accès via des comptes séparés, à son nom, pas le mot de passe commun de l'entreprise. Quand il part, vous supprimez un seul utilisateur.
- Tenez une liste à jour de qui a accès à quoi.
- Ne mettez pas le numéro personnel d'un employé comme méthode de récupération sur les comptes de l'entreprise.
- Le propriétaire principal du domaine, de Google Business et des pages doit toujours être vous.
Si vous n'êtes pas sûr de qui a accès à quoi, ou que votre site et vos comptes sont détenus par quelqu'un d'autre, nous pouvons faire une vérification et remettre vos accès en ordre, à distance. Chez MPO Web Studio, nous travaillons à distance partout dans le pays et vous expliquons clairement ce que vous possédez et ce qui doit être mis à votre nom. Vous pouvez nous écrire sur WhatsApp à tout moment.
Questions fréquentes
Puis-je tout faire en une seule journée ?+
Oui, et il est recommandé de le faire le même jour. Le plus dur n'est pas le temps, mais de n'oublier aucun compte. C'est pourquoi la liste du début compte plus que la vitesse. Si tout est noté, la déconnexion elle-même prend quelques heures.
Que faire si l'ancien employé était le seul à connaître les mots de passe ?+
La première urgence est l'email : si vous avez accès à la boîte où les comptes sont enregistrés, vous pouvez presque tout réinitialiser de là. Si vous n'avez pas non plus l'email, chaque plateforme a une procédure de récupération de compte pour le propriétaire de l'entreprise. C'est plus long, mais cela se résout.
Est-il légal de couper son accès sans le prévenir ?+
Oui. Les comptes de l'entreprise appartiennent à l'entreprise, et son accès était lié à un rôle qui prend fin à son départ. Vous n'avez pas besoin de son accord pour protéger vos propres comptes. N'accédez pas, en revanche, à ses comptes personnels, même s'il les a utilisés pour le travail.
Qu'est-ce qu'il est le plus dangereux d'oublier de révoquer ?+
L'email de l'entreprise et l'accès propriétaire au domaine, à l'hébergement et à Google Business. Ce sont les clés qui ouvrent le reste. Une page Instagram oubliée est gênante, mais perdre le contrôle de l'email ou du domaine peut signifier perdre entièrement votre site.
Comment savoir si quelqu'un a encore accès après le changement des mots de passe ?+
Vérifiez les sessions actives et les appareils connectés dans les paramètres de sécurité de chaque compte, puis les méthodes de récupération (numéro, email secondaire). Si vous y voyez un appareil ou un numéro qui n'est pas le vôtre, déconnectez-le et supprimez-le.
7 erreurs qui font fuir vos clients de votre site
Laissez votre e-mail et recevez le guide ici, tout de suite. Sans spam.
Envie de voir à quoi ressemblerait le site de votre entreprise ?
Écrivez-nous sur WhatsApp et nous vous préparons gratuitement un site de démonstration au nom de votre entreprise. Vous le voyez d'abord, puis vous décidez — sans engagement.