Retirer un collaborateur qui part

Objectif

Couper immédiatement l'accès d'un utilisateur à la console et aux API, tout en conservant son historique pour l'audit. Vaut pour un collaborateur ASACI comme pour un administrateur d'une organisation partenaire.

Durée estimée : 2 minutes • Rôle requis : user-manager (pour un utilisateur plateforme) ou ADMIN_PARTNER d'une organisation (pour ses propres utilisateurs)

Pourquoi désactiver plutôt que supprimer ?

La plateforme ne supprime jamais un utilisateur : elle le désactive. C'est un choix assumé.

Aspect	Désactivation	Suppression (non disponible)
Accès immédiat coupé	✅	✅
Sessions en cours fermées	✅	✅
Historique conservé	✅ — utile pour l'audit	❌
Réactivable plus tard	✅	❌

Étape 1 — Localiser le compte

Si l'utilisateur est rattaché à une organisation

Menu Paramétrages ▸ Organisations, ouvrez la fiche de son organisation, puis l'onglet Utilisateurs.

Si c'est un utilisateur plateforme (ASACI)

Menu Paramétrages ▸ Utilisateurs (vue transverse).

Utilisez la barre de recherche avec son nom ou son e-mail.

Étape 2 — Désactiver le compte

Sur la ligne de l'utilisateur, repérez les actions en fin de ligne :

Icône	Action
▶	Activer / Réactiver (grisée si déjà actif).
🖊️	Modifier les informations du compte.
🗑️ rouge	Désactiver le compte.

Cliquez sur l'icône 🗑️ Désactiver. Une confirmation est demandée :

• Confirmez la désactivation.
• Le statut passe à DEACTIVATION_IN_PROGRESS pendant quelques secondes, puis à INACTIVE (ou Désactivé).
• Les sessions ouvertes de l'utilisateur sont invalidées à sa prochaine requête.

Étape 3 — Vérifier

Statut

De retour sur la liste, le compte doit afficher le statut INACTIVE. Il reste visible — par design — pour que vous puissiez le réactiver ou consulter ses actions passées.

Audit

Menu Suivi des activités ▸ Pistes d'audit, filtrez sur :

• Événement : user.deactivated
• Cible : userId de la personne (ou son e-mail dans la recherche libre)

Ouvrez le détail et vérifiez :

• Acteur = votre compte
• Résultat = SUCCESS

Si le résultat est FAILURE, un événement user.deactivation_failed accompagne. Relisez la reason dans les Détails supplémentaires et contactez le support.

Étape 4 — Contrôles complémentaires

Selon le niveau de privilège de la personne, quelques vérifications supplémentaires sont prudentes.

Si la personne avait accès aux credentials

Onglet Credentials de l'organisation concernée. Pour chaque credential auquel elle avait accès :

• Si le credential est en mode SELF_PROVIDED, envisagez une rotation (la personne peut encore en avoir une copie).
• Si SYSTEM_PROVIDED, la clé n'a jamais été exposée à l'utilisateur final dans la console — pas d'action nécessaire.

Si la personne était SUPER_ADMIN ou dans PLATFORM_ADMINS

Revue immédiate de la piste d'audit sur les 72 dernières heures pour repérer toute action anormale. Filtrez sur actorUserId = <son userId> et parcourez.

Si l'utilisateur était le dernier administrateur de son organisation

L'organisation se retrouve sans compte actif capable de la gérer. Avant la désactivation, nommez un remplaçant :

1. Sur l'onglet Utilisateurs de l'organisation, créez le nouveau compte administrateur (voir formulaire de création).
2. Attribuez-lui le groupe ORG_ADMINS.
3. Attendez qu'il accepte son invitation.
4. Seulement après, désactivez le compte sortant.

Réactiver plus tard si besoin

Si la personne revient (mission, mobilité interne), cliquez simplement sur ▶ Réactiver dans la ligne du compte. Le statut passe par REACTIVATION_IN_PROGRESS puis redevient ACTIVE. Les groupes et rôles précédents sont restaurés.

TIP

Pour un départ définitif assorti d'une demande RGPD (droit à l'oubli), contactez le support sécurité avec le userId concerné. La purge totale est une procédure formelle, hors console.

Checklist de fin de parcours

• [ ] Le compte affiche le statut INACTIVE (ou Désactivé).
• [ ] L'événement user.deactivated est présent dans l'audit avec result = SUCCESS.
• [ ] Si privilèges élevés → audit des 72 h précédentes effectué, pas d'anomalie.
• [ ] Si accès à des credentials SELF_PROVIDED → rotation planifiée ou effectuée.
• [ ] Si dernier ADMIN_PARTNER → remplaçant nommé avant désactivation.

Points d'attention

• Ne désactivez pas un compte que vous-même utilisez. Il n'y a pas de garde-fou : vous seriez déconnecté et potentiellement incapable de vous reconnecter.
• Les sessions ouvertes ne sont pas tuées à la seconde près. Le token JWT actif reste valide jusqu'à son expiration (quelques minutes). Pour une coupure immédiate, demandez au support une révocation forcée.
• Une désactivation est tracée, une suppression manuelle en base ne l'est pas. N'intervenez jamais en base directement.