Qui a les clés de votre page

Une page d’entreprise vaut ce que vaut son audience, et cette audience s’est constituée sur des années. C’est un actif au sens ordinaire du mot — quelque chose que vous possédez, qui produit de la valeur, et qui peut être perdu.

La question de savoir qui la possède réellement est presque toujours posée trop tard : le jour où la personne qui l’a créée n’est plus joignable, le jour où le prestataire précédent ne répond plus, ou le matin où la page a disparu et où personne ne sait quel compte servait à s’y connecter.

Cet article traite de cette possession : le compte personnel derrière une page professionnelle, les rôles et celui qu’il ne faut confier à personne, le départ d’un prestataire, la restriction, le compte piraté, et ce qui ne se récupère jamais. L’article qui l’accompagne traite de ce qu’on publie et comment — les formes, le circuit de validation, l’avance, la mesure — et rien de cela n’est repris ici.

Il ne contient aucun chiffre. Les statistiques disponibles sur ces incidents viennent d’éditeurs, portent sur des échantillons mondiaux auto-sélectionnés, et ne disent rien d’utile sur une entreprise algérienne de dix personnes.

Les plateformes proposent plusieurs niveaux d’accès, et presque tout le monde donne le plus élevé à tout le monde, parce qu’il fonctionne à coup sûr et évite de comprendre le reste. C’est le raccourci qui produit les situations irréversibles.

Le rôle d’administration permet, entre autres choses, de retirer les autres administrateurs. C’est cette capacité précise qui le rend différent de tous les autres : une personne ayant ce rôle peut, en trois clics, devenir la seule à l’avoir. Aucun autre niveau d’accès ne permet cela.

La règle qui découle est simple et rarement appliquée : le rôle d’administration est réservé aux personnes de l’entreprise dont le départ serait un événement, et personne d’autre. Un prestataire, un stagiaire, un cousin qui aide le week-end reçoivent un rôle de publication, qui permet tout le travail quotidien et ne permet pas de fermer la porte.

Il faut aussi que le nombre d’administrateurs soit supérieur à un et resté petit. Un seul est une panne en attente — maladie, téléphone perdu, compte bloqué. Six est une surface d’attaque, et surtout une liste que plus personne ne relit. Deux ou trois est l’ordre de grandeur qui règle les deux problèmes.

La double authentification est la seule mesure qui change réellement la probabilité qu’un compte soit pris, et elle est aujourd’hui exigée par les plateformes pour les comptes administrant des pages. Ce n’est plus un choix, c’est un préalable.

Elle introduit cependant une dépendance que peu de gens anticipent : le second facteur vit sur un appareil. Un téléphone perdu, volé, ou simplement changé sans précaution transforme une protection en verrou dont vous êtes du mauvais côté, et la récupération est nettement plus longue que la perte d’un mot de passe.

Deux précautions règlent l’essentiel et prennent cinq minutes au moment de l’activation. Conserver les codes de secours fournis à ce moment-là, imprimés ou écrits, ailleurs que dans le téléphone concerné. Et enregistrer un deuxième facteur — un second appareil, ou une autre méthode — plutôt qu’un seul.

Ce point mérite une attention particulière dans un contexte où les téléphones changent souvent et où une carte SIM peut être remplacée. Une authentification reposant uniquement sur un message envoyé à un numéro est la plus fragile des options disponibles, précisément parce que le numéro n’est pas aussi personnel qu’on le croit.

Il faut savoir ce qui est réversible et ce qui ne l’est pas, parce que cela change ce qu’il faut protéger en priorité. Une page restreinte revient souvent ; un compte piraté se récupère fréquemment ; l’audience, elle, ne se reconstitue pas.

Ce qui disparaît définitivement quand une page est supprimée est l’ensemble des abonnés et l’historique des publications avec leurs commentaires. Aucune procédure ne les restitue, et c’est la valeur réelle de l’actif dont parle la première section de cette page.

Ce qui se récupère toujours, en revanche, est ce que vous détenez ailleurs : vos images, vos textes, votre liste de clients, votre site. C’est l’argument le plus solide en faveur d’une règle simple — ce qui compte doit exister quelque part que vous contrôlez, et une page sur une plateforme n’est pas cet endroit.

Cela ne veut pas dire se priver de ces plateformes : elles sont là où sont les clients. Cela veut dire ne pas y loger la seule copie de quelque chose. Une liste de clients existant uniquement sous forme de conversations dans une messagerie disparaît avec le compte, et c’est l’erreur la plus coûteuse que nous voyons.

Ce que nous prenons en charge est délimité : l’inventaire des accès, la mise en place de l’espace d’entreprise, la vérification que l’entreprise détient au moins un administrateur qui ne partira pas, et la liste écrite de ce qu’il faut faire le jour d’une restriction ou d’une prise de compte.

Nous n’acceptons pas de rôle d’administration quand un rôle de publication suffit, et il suffit presque toujours. Ce refus paraît excessif et il est le seul qui garantisse quelque chose au client : un prestataire administrateur peut retirer les autres administrateurs, et aucun contrat ne rend ce geste impossible — seule l’absence du droit le rend impossible.

Nous ne travaillons pas depuis le compte personnel d’un client, même quand c’est plus rapide et même quand il le propose. C’est contraire aux conditions d’utilisation, cela expose ses conversations privées, et cela rend impossible de distinguer ensuite ce qui a été fait par qui — ce qui est précisément la question que l’on se pose le jour d’un incident.

Enfin, nous ne promettons pas de récupérer une page. Les procédures de réclamation existent, elles fonctionnent souvent, et leur issue dépend de correspondances entre des noms et des documents que nous ne contrôlons pas. Ce que nous pouvons faire est de constituer le dossier correctement et de dire honnêtement, avant de commencer, si le nom de la page rend la démarche plausible ou non.