Autorisations OAuth : contrôlez les applications connectées

Un salarié connecte un outil à sa messagerie et lui accorde le droit de lire ses mails. Voici comment examiner ces autorisations OAuth, fermer les accès inutiles et éviter que le prochain connecteur entre sans contrôle.

Je commencerais par les applications déjà autorisées. La liste des logiciels achetés ne suffit pas : cherchez aussi les essais, les extensions de service et les connecteurs activés directement par les métiers.

Exigez la liste des permissions avant de cliquer

Prenez une demande concrète : un outil de rendez-vous veut accéder aux calendriers. Demandez au fournisseur les permissions exactes, leur justification et les fonctions qui cesseraient de marcher sans elles. Un besoin de disponibilités ne justifie pas automatiquement la lecture de la messagerie.

Distinguez l’identification de l’accès aux données. Se connecter avec son compte professionnel ne signifie pas nécessairement autoriser la lecture de ses fichiers. C’est la liste des permissions demandées qui tranche. Faites joindre cette liste à la demande interne, avec l’identifiant de l’application et le nom de l’éditeur.

Microsoft décrit le hameçonnage au consentement : une application malveillante obtient des accès en faisant accepter ses permissions. L’écran d’autorisation peut être hébergé par le fournisseur d’identité légitime. Ne prenez donc pas l’apparence familière de cet écran pour une validation du connecteur.

Demandez au métier ce qu’il veut accomplir avant d’examiner la promesse commerciale. Si personne ne sait expliquer l’usage, laissez l’autorisation en attente.

Distinguez les droits délégués des accès autonomes

Dans Microsoft Entra, les permissions déléguées et les permissions d’application couvrent des situations différentes. Les premières servent à agir au nom d’un utilisateur, dans la limite de ses accès. Les secondes servent à agir sans utilisateur connecté, avec les droits accordés à l’application.

Cette différence change votre examen. Pour un outil personnel, demandez pourquoi il réclame un accès autonome. Pour une sauvegarde ou une synchronisation centrale, exigez le périmètre exact des données accessibles. Le mot calendrier dans une présentation ne décrit pas une frontière technique.

Ne confondez pas non plus consentement administrateur et permission d’application. Un administrateur peut accorder des permissions déléguées. Notez le type du droit et la portée de l’accord dans des colonnes distinctes. Faites expliquer toute permission que l’équipe ne sait pas traduire en action sur les données.

Ouvrez les consoles avant d’acheter un autre outil

Dans Entra, partez des applications d’entreprise. Pour chaque connecteur examiné, ouvrez ses permissions et distinguez les consentements administrateur des consentements utilisateur. La procédure de Microsoft pour examiner et révoquer les permissions décrit les vues et les moyens de retrait disponibles.

Dans Google Workspace, ouvrez Sécurité, puis Contrôle des accès et des données, puis Commandes des API. La documentation de Google détaille le contrôle des applications tierces. Examinez les applications ayant accédé aux données, pas seulement celles auxquelles vous avez déjà attribué une politique.

Commencez par celles qui touchent aux messages et aux fichiers. Relevez l’identifiant, l’éditeur, les services concernés, les permissions et le responsable métier. Conservez la date de votre relevé. Une application inconnue de la DSI mérite une investigation ; son nom seul ne suffit pas à conclure qu’elle est malveillante.

Astuce : envoyez au métier une fiche par connecteur avec son usage supposé et ses accès traduits en français. Une question sur la lecture des pièces jointes obtient une réponse plus utile qu’un export de permissions brutes.

Rattachez ces fiches à votre revue des habilitations, mais gardez une décision propre à chaque application. Valider le compte du salarié ne valide pas tous ses connecteurs.

Fermez les nouveaux consentements sans oublier les anciens

Dans Entra, examinez la politique de consentement utilisateur. Restreignez les autorisations que les salariés peuvent accorder seuls selon les possibilités documentées. Réservez les demandes sensibles à un examen identifié. Une politique restrictive demande aussi un canal où le métier peut obtenir une réponse.

Le piège est précis : modifier cette politique ne retire pas les consentements existants. Prévoyez donc deux tâches distinctes dans votre planning : encadrer les prochaines demandes et traiter le stock d’autorisations déjà accordées.

Écrivez un formulaire court : tâche attendue, données nécessaires, utilisateurs concernés, fournisseur et responsable. Faites porter le coût du traitement manuel ou du connecteur alternatif dans l’arbitrage. Refuser une intégration peut déplacer du travail vers le support ou le métier ; décrivez ce travail avant de décider.

Dans Google Workspace, examinez la portée du statut Trusted avant de l’accorder. Ce réglage ouvre l’accès à tous les services Google Workspace, y compris ceux qui sont restreints. Ne l’utilisez pas comme bouton de dépannage sans examiner les données concernées.

Retirez un accès avec une preuve et un responsable

Pour un connecteur légitime devenu inutile, confirmez avec son responsable les traitements à arrêter. Notez les derniers échanges attendus et la façon de reprendre le travail sans lui. Révoquez ensuite les permissions par la méthode adaptée à votre plateforme.

Dans Entra, le portail ne révoque pas directement les permissions depuis l’onglet de consentement utilisateur. La procédure Microsoft citée plus haut prévoit PowerShell ou Microsoft Graph. Ne confiez pas cette opération à quelqu’un qui ne sait pas identifier précisément l’application cible.

Vérifiez le résultat et les possibilités de nouveau consentement. Une autorisation retirée puis accordée à nouveau annule votre nettoyage. Conservez le relevé initial, la décision et le contrôle après intervention.

Traitez séparément les données déjà copiées chez le fournisseur. Demandez ce qu’il conserve et comment fermer le compte associé. La révocation d’un accès ne rapatrie pas les fichiers déjà transmis. Si vous soupçonnez une application malveillante, déclenchez la réponse à incident sans attendre une campagne de nettoyage ordinaire.

Examinez un connecteur cette semaine

Choisissez une application qui accède à la messagerie ou aux documents et terminez son examen :

• Identifiez son responsable métier et la tâche qu’elle réalise encore.
• Relevez les permissions effectives et leur portée.
• Demandez au fournisseur de justifier les accès qui semblent excessifs.
• Décidez du maintien, d’une réduction ou du retrait avec les responsables concernés.
• Vérifiez le résultat et consignez les données restant chez le fournisseur.
• Attribuez le traitement des prochaines demandes de consentement.

Avant de fermer le dossier, faites répondre à cette question : qui sera prévenu si le connecteur réclame demain des droits supplémentaires ? Inscrivez un nom et un canal de contact.