Huit mois. C'est la durée de vie moyenne d'un badge après un départ
Nous auditons régulièrement des bases de contrôle d'accès dans la Marne et en région parisienne. Le constat se répète : entre 8 et 20 % des porteurs actifs ne font plus partie de l'effectif. Anciens salariés, intérimaires d'une mission terminée, prestataires dont le marché s'est achevé, stagiaires partis depuis deux étés.
Ce n'est pas de la négligence. C'est un problème d'architecture. L'information du départ existe, elle est même horodatée dans le système de paie et dans l'annuaire informatique. Simplement, personne n'a relié cette information au système qui commande les portes. Deux bases vivent côte à côte, alimentées par deux services qui ne se parlent qu'aux réunions trimestrielles.
Le couplage à l'annuaire supprime le maillon humain. Le jour où le compte est désactivé, le badge l'est aussi — sans ticket, sans rappel, sans oubli. C'est la mesure la plus rentable de tout un projet de contrôle d'accès, et curieusement la moins vendue.
Quelle source fait autorité ?
La question précède toute discussion technique. Un couplage mal orienté crée des conflits d'écriture et finit toujours par être désactivé au bout de quelques mois.
Trois candidats se présentent, et ils ne jouent pas le même rôle.
Le SIRH, source de vérité des personnes
C'est lui qui sait qu'un contrat commence le 3 mars et se termine le 30 septembre. Il porte le matricule, le service, l'établissement de rattachement, le statut. C'est la source la plus fiable pour les dates, mais rarement la plus accessible techniquement : beaucoup de SIRH n'exposent qu'un export périodique en CSV ou un connecteur payant.
L'annuaire, source de vérité opérationnelle
Active Directory sur site, LDAP, ou Entra ID dans le cloud : c'est la base que l'informatique tient réellement à jour, parce que son exactitude conditionne l'accès aux applications. Un compte désactivé y est un fait mesurable et horodaté. Dans neuf projets sur dix, c'est la source que nous retenons pour piloter le contrôle d'accès physique.
Le système de contrôle d'accès, consommateur
Il ne doit créer aucune personne de lui-même, à l'exception des visiteurs et des porteurs temporaires non salariés, qui relèvent d'un flux séparé et traité sur notre page gestion des visiteurs. Pour tout le reste, il reçoit, il n'écrit pas.
La configuration idéale enchaîne les trois : le SIRH alimente l'annuaire, l'annuaire alimente le contrôle d'accès. Quand le SIRH n'est pas raccordable, nous nous branchons directement sur l'annuaire, avec une réserve à connaître : un compte informatique n'est pas toujours désactivé le jour du départ physique, en particulier pour les cadres en préavis ou les salariés en congé de longue durée. Le rapport d'écarts sert précisément à repérer ces cas.
Ce qui se passe, étape par étape, à l'arrivée d'un salarié
J-3 — Création dans l'annuaire
Le service RH crée la fiche, l'informatique ouvre le compte avec sa date de début et, le cas échéant, sa date de fin de contrat. Aucune saisie n'est faite dans le logiciel de contrôle d'accès.
J-3 — Synchronisation et création du porteur
Le connecteur détecte la nouvelle entrée, crée le porteur, renseigne le matricule, le service et l'établissement, puis applique les groupes d'accès correspondant aux attributs. Le porteur existe mais n'est pas encore actif.
J — Activation et remise du support
À la date de début, le porteur devient actif. Le support est remis : badge encodé à l'accueil, ou identifiant mobile envoyé par courriel avant même l'arrivée sur site, ce qui évite la file d'attente du lundi matin.
En cours de contrat — Mobilité
Un changement de service dans l'annuaire déclenche le recalcul des groupes d'accès : les droits de l'ancien poste tombent, ceux du nouveau s'appliquent. C'est le cas le plus souvent oublié dans les gestions manuelles, et le plus générateur de droits résiduels.
Départ — Désactivation en cascade
La désactivation du compte, ou l'atteinte de la date de fin de contrat, désactive le porteur dans l'heure qui suit. Le badge est refusé à la porte suivante, l'événement est journalisé, et le support physique apparaît dans la liste des restitutions à effectuer.
Les protocoles, et lequel choisir
Le vocabulaire est chargé et les éditeurs entretiennent le flou. Voici ce que chaque brique fait réellement, et ce qu'elle ne fait pas.
| Brique | Ce qu'elle fait | Ce qu'elle ne fait pas | Quand la retenir |
|---|---|---|---|
| LDAP / AD | Lecture des comptes, des groupes et des attributs par requête | Ne notifie rien : il faut interroger périodiquement | Annuaire sur site, parc Windows classique |
| Entra ID | Même rôle dans le cloud, via une interface web moderne | N'expose pas toujours les dates de contrat | Organisations passées en Microsoft 365 |
| SCIM 2.0 | Provisioning poussé en temps réel : création, mise à jour, désactivation | Ne gère pas l'authentification | Le standard à exiger quand l'éditeur le propose |
| SAML 2.0 / OIDC | Authentification unique des administrateurs sur la console | Ne crée aucun porteur | Dès que plus de trois personnes administrent le système |
| Export SIRH périodique | Fichier plat déposé sur un partage sécurisé | Latence d'une nuit, pas de temps réel | Repli honnête quand aucune API n'existe |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
À vérifier avant signature : beaucoup d'éditeurs annoncent une « intégration Active Directory » qui se limite à l'authentification des administrateurs. C'est utile, mais cela ne synchronise aucun porteur et ne résout pas le problème des badges orphelins. La bonne question à poser en démonstration : « montrez-moi ce qui se passe à la porte, dans les cinq minutes qui suivent la désactivation d'un compte dans l'annuaire ».
Convergence identité physique et logique
Une seule identité, deux mondes
Le même référentiel gouverne l'accès au bâtiment et l'accès aux applications. Les revues d'habilitations annuelles, jusqu'ici menées séparément par la DSI et par les services généraux, se conduisent sur une base commune. Les auditeurs apprécient ; les équipes gagnent un temps considérable.
Contrôles croisés
Un compte utilisé depuis l'extérieur alors que le badge n'a pas franchi le tourniquet, une session ouverte sur un poste de production alors que la personne est enregistrée sortie : ces corrélations détectent des usages anormaux qu'aucun des deux systèmes ne voit seul.
Audit et conformité
ISO 27001, NIS 2, référentiels assurantiels, certifications sectorielles : tous demandent la preuve que les droits sont retirés au départ. Un rapport d'écarts automatisé, daté et archivé vaut mieux qu'un tableur reconstitué la veille de l'audit.
Cohérence avec le contrôle réseau
Le même annuaire alimente déjà l'authentification réseau. Un poste qui se branche, un utilisateur qui ouvre une session, un badge qui franchit une porte : trois décisions, une seule source. C'est le prolongement naturel d'un projet NAC et 802.1X.
Sécuriser le connecteur lui-même
Un connecteur entre l'annuaire et le contrôle d'accès est un composant privilégié : il lit une partie de l'annuaire et écrit dans un système qui commande des serrures. Il mérite le même soin qu'un accès d'administration, et il est trop souvent installé à la va-vite avec un compte de domaine surdimensionné.
- Compte de service dédié, en lecture seule, limité aux unités d'organisation utiles. Il n'a aucun droit d'écriture dans l'annuaire, aucune session interactive, et son mot de passe est long et renouvelé.
- Attributs strictement nécessaires : identifiant, nom, prénom, service, établissement, état du compte, dates. Ni photographie non consentie, ni données de santé, ni information de rémunération, même si l'annuaire les contient.
- Flux chiffré et unidirectionnel : LDAPS ou HTTPS, initié depuis le serveur de contrôle d'accès vers l'annuaire, jamais l'inverse. Le serveur de sûreté reste sur un segment réseau isolé dont seuls quelques flux sortants sont autorisés.
- Sécurité de rupture : si le connecteur perd le contact avec l'annuaire, il ne doit ni désactiver tout le monde, ni tout réactiver. Il gèle l'état courant et lève une alerte. Ce comportement se teste en recette, en débranchant réellement le lien.
- Journalisation exportée : chaque création, modification et désactivation produit un événement horodaté, envoyé vers votre collecteur de journaux au même titre que les traces d'authentification.
Enfin, un garde-fou que nous imposons systématiquement : les groupes d'accès aux zones critiques — salle serveurs, laboratoire, coffre — ne sont jamais pilotés par un attribut d'annuaire. Ils restent attribués manuellement, avec validation nominative. Une erreur de saisie dans un champ « service » ne doit jamais ouvrir la baie de brassage.
Questions fréquentes
Combien de temps faut-il pour coupler un contrôle d'accès à Active Directory ?
Le raccordement technique se fait en une demi-journée quand l'éditeur propose un connecteur natif. Ce qui prend du temps, c'est ce qui précède : décider quelle source fait autorité, nettoyer les porteurs existants, définir la correspondance entre les attributs de l'annuaire et les groupes d'accès physiques, et traiter les cas particuliers — prestataires, intérimaires, salariés multi-sites. Comptez trois à six semaines pour un projet mené proprement, dont l'essentiel en réunions plutôt qu'en configuration.
Que se passe-t-il pour les prestataires, qui ne sont pas dans l'annuaire ?
Ils suivent un flux distinct. Nous créons un profil externe géré directement dans le contrôle d'accès, avec deux obligations : une date de fin renseignée à la création, jamais laissée vide, et un référent interne nommé qui répond de l'accès. Certaines organisations vont plus loin en créant les prestataires dans l'annuaire, dans une unité d'organisation dédiée avec expiration automatique. C'est plus propre, mais cela suppose que la DSI accepte d'héberger ces comptes.
Le couplage marche-t-il avec Entra ID et Microsoft 365 ?
Oui, et c'est de plus en plus le cas de figure standard. Les plateformes de contrôle d'accès cloud récentes proposent une application d'entreprise à installer dans votre tenant, avec provisioning SCIM et authentification unique des administrateurs. Un point de vigilance : Entra ID ne porte pas toujours les dates de fin de contrat, souvent restées dans le SIRH. Nous complétons alors par un attribut personnalisé, ou par un export périodique pour les populations temporaires.
Un badge peut-il être désactivé par erreur à cause d'une mauvaise synchronisation ?
C'est le risque principal, et il se traite par conception. Le connecteur fonctionne d'abord en mode simulation pendant deux à quatre semaines : il calcule ce qu'il ferait et produit un rapport, sans rien modifier. Les écarts constatés révèlent presque toujours des problèmes de qualité de données dans l'annuaire, qu'il vaut mieux corriger avant. Nous ajoutons ensuite un seuil de sécurité : si une synchronisation désactive plus de dix porteurs d'un coup, elle s'interrompt et alerte.
Cela remplace-t-il la revue annuelle des habilitations ?
Non, cela la rend faisable. La synchronisation traite les mouvements, c'est-à-dire les arrivées, les départs et les changements de service. Elle ne juge pas de la pertinence d'un droit : un salarié présent depuis douze ans peut avoir accumulé des accès qui ne correspondent plus à rien. La revue reste nécessaire, mais elle porte alors sur quelques dizaines de cas identifiés par le rapport d'écarts, au lieu de plusieurs centaines de lignes à vérifier à la main.