Offboarding : les accès web à fermer au départ d’un salarié ou d’un prestataire
L’offboarding numérique consiste à retirer, de façon ordonnée, tous les accès d’une personne qui quitte l’entreprise : salarié, freelance, stagiaire ou agence. C’est l’une des mesures de sécurité des accès d’un site web les plus simples à mettre en place, et l’une des plus souvent négligées.
Ce guide donne l’ordre des actions à mener lors du départ d’un salarié ou d’un prestataire, la checklist des accès à fermer dans les 24 heures (domaine, hébergement, CMS, messagerie, outils marketing, code, paiement), les erreurs qui font perdre des contenus ou des données, et la façon d’organiser les accès pour que le prochain départ prenne une heure au lieu d’une semaine. Une checklist interactive vous permet de suivre votre avancement.
L’essentiel en bref
- L’offboarding numérique consiste à retirer tous les accès d’une personne qui quitte l’entreprise, qu’il s’agisse d’un salarié, d’un freelance ou d’une agence.
- Selon une enquête menée aux États-Unis en 2026, 79 % des anciens salariés disposaient encore d’au moins un accès actif après leur dernier jour.
- L’ordre compte : messagerie et gestionnaire de mots de passe d’abord, puis domaine et hébergement, CMS, outils marketing, code, clés API et paiement.
- On rétrograde ou on suspend les comptes au lieu de les supprimer, pour ne perdre ni contenus publiés ni historique.
- Un inventaire des accès tenu à jour et un gestionnaire de mots de passe d’équipe réduisent un départ à quelques dizaines de minutes.
Qu’est-ce que l’offboarding numérique ?
L’offboarding numérique est l’ensemble des actions qui retirent à une personne sortante ses droits sur les outils de l’entreprise : comptes, mots de passe partagés, clés d’accès, appareils et intégrations créées en son nom. C’est le pendant de l’onboarding : ce qui a été ouvert à l’arrivée doit être refermé au départ, ni plus tôt, ni beaucoup plus tard.
Le terme vient des ressources humaines, où l’offboarding désigne tout le processus de départ (entretien de sortie, documents, passation). Ce guide en traite le volet technique et web, celui qui protège votre site, vos données clients et vos budgets publicitaires.
Il concerne tous les départs, pas seulement les licenciements : démission d’un salarié, fin de mission d’un freelance, changement d’agence web, fin de stage, départ à la retraite. Les situations les plus risquées sont souvent les moins conflictuelles, parce que personne ne pense à vérifier.
Pourquoi les accès d’un départ restent si souvent ouverts
Le problème est massif. Dans une enquête publiée en 2026 par la société américaine Sagiss auprès de plus de 1 000 personnes ayant quitté un emploi, 79 % des anciens salariés déclarent qu’au moins un compte ou un accès fonctionnait encore après leur dernier jour. La messagerie arrive en tête : un tiers pouvait encore s’y connecter.
Les prestataires sont les plus exposés. Parmi les personnes dont le contrat ou la mission temporaire avait pris fin, 89 % disposaient encore d’un accès, et 79 % pouvaient encore atteindre des informations sensibles. Récupérer le matériel ne suffit pas non plus : 82 % des anciens salariés à qui l’ordinateur avait été repris avaient toujours au moins un compte actif.
Trois raisons expliquent cet écart :
- Personne n’est responsable. Les RH gèrent le contrat, l’informatique gère quelques comptes, le marketing gère ses outils. Pour un tiers des personnes interrogées, on ne savait pas qui devait s’occuper de leur départ.
- Personne n’a la liste. Les outils SaaS se multiplient sans inventaire : un compte Canva ici, un accès Search Console là, une clé API créée un soir pour dépanner.
- Le web tourne sur des comptes personnels. Domaine enregistré par le prestataire, Google Analytics rattaché à l’adresse d’un ancien salarié, automatisations créées avec un compte individuel : fermer le compte casse le site.
Les conséquences vont de la simple dépense inutile (licences payées pour des comptes fantômes) à la catastrophe : budget publicitaire dépensé sans contrôle, données clients consultées, site défiguré ou nom de domaine perdu. Le plus souvent, il ne s’agit pas de malveillance, mais d’une erreur commise depuis un compte qui n’aurait plus dû exister.
Les risques juridiques d’un accès non révoqué
Un accès laissé ouvert expose aussi l’entreprise sur le plan légal. Les données personnelles de vos clients doivent être protégées par des mesures de sécurité adaptées : c’est une obligation du RGPD dans l’Union européenne (contrôlée par la CNIL en France et l’APD en Belgique), de la loi fédérale sur la protection des données en Suisse et de la Loi 25 au Québec. Un ancien collaborateur qui consulte encore votre CRM, c’est une violation de données potentielle, qu’il faudra peut-être déclarer.
À l’inverse, l’ancien collaborateur qui se connecte sans autorisation s’expose lui aussi : l’accès ou le maintien frauduleux dans un système informatique est réprimé dans la plupart des pays (en France, par l’article 323-1 du Code pénal). Cela ne protège pas pour autant l’entreprise, qui reste responsable de la sécurité de ses données. Fermer les accès à temps évite d’en arriver là.
L’ordre des actions lors du départ d’un salarié ou d’un prestataire
Face à un départ, surtout imprévu, l’urgence pousse à tout couper en même temps, au risque de casser la production ou de supprimer des données utiles. L’ordre suivant ferme d’abord les accès qui permettent de reprendre la main sur tous les autres.
La logique est simple : la messagerie et le gestionnaire de mots de passe sont des clés maîtresses. Tant qu’ils restent ouverts, la fonction « mot de passe oublié » de n’importe quel outil permet de récupérer un accès que vous pensiez fermé.
Notre conseil : planifiez la fermeture pour la fin du dernier jour de travail, en accord avec le manager. Pour un départ conflictuel, coupez les accès critiques au moment même de l’annonce.
La checklist des accès web à fermer dans les 24 heures
Le tableau suivant récapitule les accès à vérifier, où les trouver et ce qu’il faut faire. Adaptez-le à vos outils : l’essentiel est de n’oublier aucune famille.
| Accès | Où le trouver | Action | Piège à éviter |
|---|---|---|---|
| Nom de domaine | Bureau d’enregistrement (OVHcloud, Gandi, Infomaniak…) | Vérifier le titulaire, changer le mot de passe, activer la double authentification | Domaine enregistré au nom du prestataire |
| DNS et CDN | Cloudflare, zone DNS de l’hébergeur | Retirer le membre, vérifier les dernières modifications | Redirection discrète du trafic ou des e-mails |
| Hébergement | cPanel, Plesk, Virtualmin, FTP, SSH | Supprimer comptes FTP et clés SSH, changer les mots de passe | Clé SSH oubliée dans authorized_keys |
| Messagerie | Google Workspace, Microsoft 365 | Suspendre, rediriger, transférer les fichiers | Suppression qui efface les documents partagés |
| CMS | WordPress, Shopify, PrestaShop | Rétrograder, changer l’e-mail, fermer les sessions | Supprimer un auteur sans réattribuer ses contenus |
| Analytics et Search Console | Gestion des utilisateurs de la propriété | Retirer l’accès, vérifier le propriétaire | Propriété rattachée à une adresse personnelle |
| Régies publicitaires | Google Ads, Meta, LinkedIn, Microsoft Ads | Retirer l’utilisateur et les partenaires inutiles | Campagnes facturées sur votre carte |
| Code source | GitHub, GitLab, Bitbucket | Retirer de l’organisation, révoquer les jetons | Jeton personnel encore actif dans un script |
| Clés API et automatisations | Make, Zapier, n8n, e-mailing, SMS | Recréer les clés depuis un compte de l’entreprise | Formulaires ou relances qui s’arrêtent |
| Paiement | Stripe, PayPal, Mollie | Retirer le membre, consulter les connexions | Accès aux remboursements et virements |
Les sections suivantes détaillent les points qui demandent le plus d’attention.
Nom de domaine, DNS et hébergement
Le nom de domaine est l’actif le plus précieux de votre présence en ligne : celui qui le contrôle contrôle votre site et vos e-mails. Vérifiez chez le bureau d’enregistrement (OVHcloud, Gandi, Infomaniak, GoDaddy…) que le titulaire est bien votre entreprise, et pas le prestataire ou un ancien salarié en nom propre. Changez le mot de passe du compte client, activez la double authentification et vérifiez l’adresse e-mail de récupération.
Côté hébergement, retirez les accès au panneau d’administration (cPanel, Plesk, Virtualmin), aux comptes FTP et SFTP, et supprimez les clés SSH ajoutées par la personne dans le fichier authorized_keys. Si vos DNS passent par un service comme Cloudflare, retirez-la des membres du compte : un accès aux DNS suffit pour rediriger votre trafic ou vos e-mails.
Pour savoir précisément ce qui vous appartient, voyez notre article sur la propriété d’un site web.
Messagerie et comptes d’équipe
Ne supprimez pas tout de suite l’adresse professionnelle de la personne qui part. Suspendez la connexion, changez le mot de passe, déconnectez tous les appareils et mettez en place une redirection ou une réponse automatique vers un collègue pendant quelques mois : vous ne perdrez ni demande client ni facture fournisseur.
Dans Google Workspace ou Microsoft 365, transférez la propriété des fichiers partagés avant de supprimer le compte, sinon les documents disparaissent avec lui. Vérifiez aussi les applications tierces autorisées par la personne avec son compte (connexion « Se connecter avec Google » à Trello, Canva, Slack…) et révoquez-les.
WordPress et les autres CMS
La règle d’or : ne supprimez jamais un compte d’auteur sans réattribuer ses contenus. Sur WordPress, la suppression d’un utilisateur propose de transférer ses articles et pages à un autre compte ; ignorer cette étape efface ses publications, avec les pertes de trafic qui vont avec.
La méthode la plus sûre est de rétrograder le compte au rôle d’abonné, de changer son adresse e-mail et son mot de passe, de le déconnecter de toutes les sessions et de supprimer ses mots de passe d’application. Même logique sur Shopify (comptes du personnel), PrestaShop (employés) ou Drupal (rôles). Profitez-en pour vérifier qu’aucun autre compte administrateur inconnu n’a été créé.
Vous ne savez pas qui a encore accès à votre site ? Faites vérifier la sécurité de votre site
Google Analytics, Search Console et régies publicitaires
Dans Google Analytics 4 et la Search Console, retirez l’utilisateur et vérifiez surtout qui est propriétaire de la propriété. Elle doit appartenir à un compte de l’entreprise (une adresse générique comme web@votre-entreprise), jamais à l’adresse personnelle d’un prestataire.
Pour Google Ads, Meta Business Suite, LinkedIn Ads ou Microsoft Advertising, le risque est financier : un accès oublié permet de lancer des campagnes facturées sur votre carte. Retirez l’utilisateur, vérifiez les partenaires (agences) rattachés à vos comptes publicitaires et contrôlez les moyens de paiement enregistrés.
Code source, clés API et automatisations
Retirez la personne de l’organisation GitHub, GitLab ou Bitbucket, et révoquez ses jetons d’accès personnels et ses clés de déploiement. Les outils d’automatisation (Make, Zapier, n8n) et les services d’envoi d’e-mails ou de SMS fonctionnent souvent avec des clés API créées depuis le compte d’un individu : si vous fermez le compte sans précaution, vos formulaires ou vos relances s’arrêtent. Créez d’abord de nouvelles clés depuis un compte de l’entreprise, remplacez-les dans vos outils, puis révoquez les anciennes. Notre article sur les clés API et secrets dans le code explique comment les gérer.
Paiement et données clients
Sur Stripe, PayPal, Mollie ou votre solution de paiement, retirez l’utilisateur des membres de l’équipe et consultez l’historique des connexions récentes. Faites de même dans le CRM, l’outil d’e-mailing et le back-office de la boutique, qui contiennent les données personnelles de vos clients.
Checklist interactive : suivez l’offboarding d’un départ
Cochez chaque accès au fur et à mesure. L’outil indique votre avancement et les points critiques qui restent ouverts. Rien n’est enregistré : la liste repart à zéro au rechargement de la page.
Le calendrier d’un offboarding réussi
Un bon offboarding commence avant le dernier jour et se termine quelques semaines après. Voici la répartition des tâches dans le temps.
Préparer
Lister les accès de la personne, désigner qui reprend chaque outil, organiser la passation et récupérer les codes de transfert.
Fermer l’essentiel
Messagerie, mots de passe, domaine, hébergement, CMS, régies et paiement, en fin de journée.
Terminer
Code, clés API, automatisations, outils secondaires, licences SaaS, mots de passe partagés.
Vérifier
Revue des journaux de connexion, suppression des comptes suspendus, mise à jour de l’inventaire.
Les erreurs fréquentes lors d’un départ
Même avec une liste, certaines erreurs reviennent souvent.
- Garder les mots de passe partagés. Supprimer le compte de la personne ne sert à rien si elle connaît le mot de passe de la boîte contact@, du Wi-Fi ou du compte Instagram. Tout mot de passe partagé qu’elle connaissait doit changer.
- Oublier la double authentification. Si le code de connexion d’un compte de l’entreprise arrive sur le téléphone personnel de l’ancien collaborateur, il garde la main. Réinscrivez la double authentification sur un appareil ou une application de l’entreprise.
- Supprimer au lieu de suspendre. Une boîte mail ou un compte CMS supprimés trop vite font perdre des messages, des fichiers ou des contenus publiés.
- Payer des licences fantômes. Chaque compte SaaS oublié continue d’être facturé chaque mois.
- Oublier l’agence. Quand vous changez d’agence web, ce sont souvent plusieurs personnes et plusieurs comptes techniques qui doivent être retirés, y compris des comptes « agence » partagés.
- Ne rien vérifier après. Un mois plus tard, une revue rapide des journaux de connexion permet de repérer un accès oublié.
Gestion manuelle ou centralisée des accès
La gestion des départs devient beaucoup plus simple quand les accès sont centralisés. Le tableau compare les deux approches.
| Critère | Gestion manuelle | Gestion centralisée (SSO, gestionnaire de mots de passe) |
|---|---|---|
| Temps pour un départ | Plusieurs heures à plusieurs jours | Quelques minutes pour l’essentiel |
| Risque d’oubli | Élevé, surtout pour les petits outils SaaS | Faible pour les outils reliés |
| Traçabilité | Faible : difficile de savoir qui avait accès à quoi | Journal des accès et des connexions |
| Mots de passe partagés | À changer un par un | Coffres partagés, rotation facilitée |
| Coût | Gratuit mais coûteux en temps | Abonnement et configuration initiale |
Pour une petite structure, un gestionnaire de mots de passe d’équipe (Bitwarden, 1Password, Dashlane, Proton Pass…) est la première étape la plus rentable : chacun accède aux identifiants dont il a besoin, et les droits se retirent en un clic. L’authentification unique (SSO) via Google Workspace ou Microsoft Entra ID vient ensuite, quand le nombre d’outils et de personnes augmente.
Préparer les prochains départs dès aujourd’hui
Le meilleur moment pour préparer un départ, c’est quand personne ne part. Quatre habitudes suffisent :
- Un inventaire des accès. Un simple tableur avec chaque outil, son propriétaire dans l’entreprise, les personnes qui y ont accès et leur niveau de droits.
- Des comptes au nom de l’entreprise. Domaine, hébergement, Analytics, régies et paiement rattachés à des adresses génériques de l’entreprise, jamais à des adresses personnelles.
- Le moindre privilège. Chacun reçoit les droits dont il a besoin, pas davantage : un rédacteur n’a pas besoin d’être administrateur du site.
- Une revue régulière. Une fois par trimestre, vérifier la liste des utilisateurs de chaque outil prend une heure et évite bien des surprises.
Avec un prestataire, prévoyez ces points dans le contrat : restitution des accès, remise des codes de transfert du domaine et des sources, délai de passation. C’est aussi le moment de vérifier que vos mises à jour et sauvegardes ne dépendent pas d’une seule personne.
Pour résumer
Chaque départ, qu’il s’agisse d’un salarié, d’un freelance ou d’une agence, doit s’accompagner d’un offboarding numérique dans les 24 heures. Commencez par la messagerie et le gestionnaire de mots de passe, puis le domaine et l’hébergement, le CMS, les outils marketing, le code, les clés API et le paiement. Suspendez et rétrogradez plutôt que supprimer, changez les mots de passe partagés et vérifiez la double authentification. Surtout, tenez à jour un inventaire des accès et rattachez les comptes clés à l’entreprise : le prochain départ ne sera plus un sujet.
Questions fréquentes sur l’offboarding et les accès web
Dans quel délai faut-il couper les accès d’un salarié qui part ?
Les accès critiques (messagerie, gestionnaire de mots de passe, hébergement, CMS, régies publicitaires, paiement) doivent être coupés au plus tard dans les 24 heures qui suivent le départ, idéalement à la fin du dernier jour de travail. Pour un départ conflictuel ou un licenciement, il vaut mieux les couper au moment de l’annonce. Les accès secondaires peuvent être traités dans la semaine, et une vérification finale est utile un mois plus tard.
Faut-il supprimer ou suspendre l’adresse e-mail d’un ancien salarié ?
Mieux vaut la suspendre que la supprimer. On bloque la connexion, on change le mot de passe, on déconnecte les appareils et on redirige les messages vers un collègue ou on active une réponse automatique pendant quelques mois. On transfère aussi la propriété des fichiers partagés. La suppression peut intervenir plus tard, une fois que plus aucun message utile n’arrive sur l’adresse.
Comment retirer un utilisateur de WordPress sans perdre ses articles ?
Le plus sûr est de ne pas le supprimer tout de suite : on rétrograde son rôle en abonné, on change son e-mail et son mot de passe, on ferme ses sessions et on supprime ses mots de passe d’application. Si l’on supprime le compte, WordPress propose d’attribuer ses contenus à un autre utilisateur : il faut accepter cette option, sinon ses articles et pages sont effacés.
Faut-il changer tous les mots de passe partagés après un départ ?
Oui, pour tous les mots de passe partagés que la personne connaissait : comptes génériques, réseaux sociaux, Wi-Fi, outils utilisés à plusieurs. La suppression de son compte individuel ne protège pas ces accès communs. Il faut aussi régénérer les clés API qu’elle a créées et réinscrire la double authentification sur un appareil de l’entreprise si les codes arrivaient sur son téléphone personnel.
Comment récupérer un nom de domaine enregistré par un ancien prestataire ?
On vérifie d’abord le titulaire du domaine dans l’annuaire Whois ou RDAP et auprès du bureau d’enregistrement. Si l’entreprise est titulaire, il suffit de demander le code de transfert (AuthInfo) et de déplacer le domaine vers son propre compte. Si le domaine est au nom du prestataire, il faut négocier un changement de titulaire en s’appuyant sur le contrat, avec l’aide d’un conseil juridique si nécessaire.
Quels outils facilitent l’offboarding numérique ?
Un gestionnaire de mots de passe d’équipe comme Bitwarden, 1Password ou Dashlane centralise les identifiants et permet de retirer les droits en un clic. L’authentification unique (SSO) via Google Workspace ou Microsoft Entra ID rattache les applications à un seul compte, qu’on désactive au départ. Un inventaire des accès, même dans un simple tableur, reste indispensable pour couvrir les outils qui ne passent par aucun de ces systèmes.
