Anciens prestataires, clés d’API et webhooks : faire l’inventaire des accès à votre boutique sans rien casser

En résumé

1. Un prestataire laisse trois sortes d’accès, et une seule se voit. Les comptes utilisateurs apparaissent dans la liste du personnel. Les clés techniques et les envois automatiques de données vers l’extérieur sont rangés ailleurs, et personne ne les regarde.

2. L’inventaire d’abord, la coupure ensuite. Supprimer une clé qui sert encore arrête un export comptable ou une mise à jour de stock. On identifie, on décide, puis on coupe.

3. Tout se lit dans vos propres interfaces d’administration. Aucun test d’intrusion, aucun logiciel. Comptez trois à cinq heures pour une petite boutique.

4. Une clé utile ne se garde pas, elle se remplace. On en crée une nouvelle, au nom du service qui l’utilise, avec les droits minimaux, puis on supprime l’ancienne.

5. C’est aussi une obligation. La CNIL demande de retirer les accès dès la fin d’une mission et de revoir les habilitations au moins une fois par an. Un accès oublié qui expose des données de clients peut devenir une violation à notifier.

Les trois familles d’accès

Les comptes de personnes

Ce sont les identifiants avec lesquels quelqu’un se connecte : administration de la boutique, hébergeur, bureau d’enregistrement du nom de domaine, outils Google, gestionnaire publicitaire, outil d’emailing, prestataire de paiement, transporteurs, places de marché.

Le risque typique : le compte nominatif d’un ancien intervenant, toujours administrateur, ou un compte partagé « agence@ » dont personne ne sait plus qui connaît le mot de passe.

Les accès de machines

Un logiciel n’ouvre pas de session avec un mot de passe. Il présente une clé d’API ou un jeton, c’est-à-dire une longue chaîne de caractères qui lui donne le droit de lire ou de modifier vos données. Entrent dans cette famille : les clés d’API de la boutique, les applications personnalisées créées pour un besoin précis, les mots de passe d’application, les accès FTP ou SSH au serveur, les identifiants de la base de données, les clés de votre prestataire de paiement.

Le risque typique : une clé créée par l’agence pour une migration, avec tous les droits, jamais supprimée. Elle ne dépend d’aucun compte utilisateur. Supprimer le compte de l’agence ne la désactive pas.

Les envois automatiques vers l’extérieur

Un webhook est une adresse web à laquelle votre boutique envoie d’elle-même une copie de certains événements : nouvelle commande, nouveau client, paiement reçu. S’y ajoutent les scripts insérés dans le thème ou dans un gestionnaire de balises, les flux de produits, et les règles de transfert automatique d’une boîte de messagerie.

Le risque typique : un webhook « commande créée » qui envoie toujours le nom, l’adresse et le panier de chaque client vers le serveur d’un outil que vous n’utilisez plus.

L’inventaire, étape par étape

Ouvrez un tableau avec six colonnes : l’accès, l’endroit où il se trouve, qui l’a créé, à quoi il sert, sa dernière utilisation, la décision. Remplissez-le sans rien modifier.

Dans l’administration de la boutique

Shopify.

• Réglages, puis Utilisateurs : le personnel et, à part, les collaborateurs. Un collaborateur est l’accès d’une agence ou d’un éditeur d’application, demandé depuis son compte partenaire ; il n’entre pas dans le quota de comptes du personnel, ce qui le fait oublier (aide Shopify, comptes collaborateurs). Vérifiez aussi que les demandes d’accès exigent bien votre code de collaborateur.
• Réglages, puis Applications : les applications installées, et les applications personnalisées développées pour votre boutique. Pour chacune, notez les autorisations accordées : lecture des commandes, des clients, écriture des produits.
• Réglages, puis Notifications : la section des webhooks créés à la main, tout en bas. Les webhooks créés par une application n’y figurent pas : ils disparaissent quand l’application est désinstallée.
• Boutique en ligne, puis Thèmes : le code du thème peut contenir des scripts laissés par des applications désinstallées (aide Shopify, désinstaller une application).

WooCommerce.

• Comptes de WordPress, filtrés sur le rôle Administrateur.
• Dans le profil de chaque administrateur, la section des mots de passe d’application.
• WooCommerce, Réglages, Avancé : l’onglet de l’API REST liste les clés, l’utilisateur auquel chacune est rattachée, ses droits et sa dernière utilisation. L’onglet Webhooks liste les envois automatiques et leur adresse de destination.
• La liste des extensions, actives et inactives. Une extension inactive mais présente reste du code sur votre serveur.

PrestaShop.

• Paramètres avancés, Équipe : les employés et leurs profils.
• Paramètres avancés, Webservice : les clés, leur état et leurs permissions par ressource.
• Modules : les modules installés, y compris désactivés.

Les intitulés de menu changent d’une version à l’autre. Si vous ne trouvez pas une rubrique, cherchez « API », « webhook » ou « webservice » dans l’aide de votre plateforme.

En dehors de la boutique

Reprenez chaque service et ouvrez la page de gestion des utilisateurs, puis celle des clés ou des intégrations.

Le nom de domaine passe en premier. Celui qui le contrôle peut détourner le site et la messagerie. Si le domaine est enregistré au nom de l’agence et non au vôtre, c’est le premier point à régler, avant toute coupure.

Décider : garder, remplacer, couper

Pour chaque ligne du tableau, trois cas.

L’accès ne sert plus. Compte d’un intervenant parti, clé jamais utilisée depuis un an, webhook vers un outil résilié. Supprimez-le.

L’accès sert encore, mais il appartient à la mauvaise personne. La clé de l’export comptable a été créée par l’ancienne agence, avec tous les droits. Remplacez-la :

1. créez une nouvelle clé, nommée d’après le service qui l’utilise, par exemple « export compta », avec les seuls droits nécessaires, la lecture seule si elle suffit ;
2. installez-la dans le service concerné et vérifiez que le flux fonctionne ;
3. supprimez l’ancienne.

Vous ne savez pas à quoi il sert. C’est le cas le plus fréquent. Dans l’ordre :

1. regardez la date de dernière utilisation, quand l’interface la donne ;
2. demandez à l’ancien prestataire, par écrit ;
3. si la plateforme le permet, réduisez les droits à la lecture seule plutôt que de supprimer ;
4. sinon, désactivez sans supprimer, un mardi matin plutôt qu’un vendredi soir, et surveillez pendant deux semaines les commandes, les stocks, les exports et les courriels automatiques ;
5. sans effet constaté, supprimez.

Notez dans le tableau la date de chaque coupure. Si un flux s’arrête dix jours plus tard, vous saurez où chercher.

Trois précautions

• Ne testez pas une adresse de webhook inconnue en lui envoyant des requêtes. Cherchez à qui appartient le nom de domaine, puis demandez.
• Ne changez pas tous les mots de passe le même jour que la suppression des clés. Si quelque chose casse, vous ne saurez pas pourquoi.
• Sur Shopify, désinstaller une application personnalisée révoque son jeton et efface les webhooks qu’elle avait créés. C’est le moyen de renouveler un jeton, mais il faut ensuite recréer ces webhooks. Listez-les avant.

Ce que la CNIL attend

Votre boutique traite des données personnelles : vous êtes responsable de leur sécurité au titre de l’article 32 du RGPD. Dans sa fiche sur la gestion des habilitations, la CNIL demande notamment de :

• donner à chacun les seuls accès nécessaires à sa mission ;
• retirer les accès dès qu’une personne change de mission ou quitte l’organisation ;
• revoir les habilitations au moins une fois par an, pour supprimer les comptes inutilisés ;
• ne pas accorder de droits d’administrateur à qui n’en a pas besoin ;
• ne pas utiliser de comptes partagés sans les tracer et les revoir.

Une agence ou un freelance qui accède aux données de vos clients agit comme sous-traitant au sens de l’article 28 du RGPD. Le contrat doit prévoir, entre autres, ce que deviennent les données à la fin de la mission : restitution ou destruction. Le guide de la sécurité des données personnelles de la CNIL y consacre une fiche.

Ce que le prochain contrat doit contenir

1. Des comptes nominatifs, créés par vous, jamais un compte partagé.
2. La liste écrite des accès, clés et webhooks créés pendant la mission, remise à la fin.
3. La suppression des accès et la restitution ou la destruction des données à la fin du contrat, avec confirmation écrite.
4. Le nom de domaine, l’hébergement et les comptes publicitaires à votre nom, l’agence n’étant qu’invitée.

Si vous trouvez un accès actif que personne n’a autorisé

1. Ne supprimez pas les traces. Faites des captures d’écran datées de l’accès, de ses droits et de sa dernière utilisation.
2. Coupez l’accès, puis changez les mots de passe et les clés qui en dépendaient.
3. Évaluez ce qui a pu être consulté : commandes, coordonnées de clients, données de paiement.
4. Si des données personnelles ont pu être exposées, c’est une violation de données. Elle doit être notifiée à la CNIL dans les 72 heures après que vous en avez pris connaissance, sauf si elle ne présente pas de risque pour les personnes (article 33 du RGPD). En cas de doute, documentez votre analyse.
5. Faites-vous aider. La plateforme publique cybermalveillance.gouv.fr oriente les entreprises victimes vers des prestataires référencés.

Le temps à prévoir

• Inventaire initial : trois à cinq heures pour une boutique avec une dizaine d’outils. Davantage si le nom de domaine ou l’hébergement ne sont pas à votre nom.
• Remplacements et coupures : étalés sur deux à trois semaines, à raison de quelques minutes par accès.
• Revue annuelle : une heure, tableau en main. Ajoutez-la à la date d’anniversaire de l’inventaire.
• À chaque fin de mission : un quart d’heure, le jour même.

Aucun achat n’est nécessaire. Un gestionnaire de mots de passe d’équipe facilite la suite, mais ne remplace pas l’inventaire.

Points de contrôle

1. Le nom de domaine et l’hébergement sont-ils enregistrés à votre nom ?
2. Reste-t-il des comptes administrateurs d’anciens intervenants, dans la boutique et dans les outils autour ?
3. Avez-vous la liste des clés d’API et des applications personnalisées, avec le service qui utilise chacune ?
4. Connaissez-vous la destination de chaque webhook ?
5. Le thème et le gestionnaire de balises contiennent-ils des scripts d’outils abandonnés ?
6. Les boîtes contact@ et commande@ transfèrent-elles automatiquement des messages vers l’extérieur ?
7. Vos contrats de prestation prévoient-ils la remise de la liste des accès et la destruction des données ?
8. La revue annuelle a-t-elle une date ?

Ce que ce guide ne fait pas

Il ne remplace pas un audit de sécurité : il ne cherche ni faille technique ni logiciel malveillant, et ne teste aucun système. Il ne décrit que des vérifications dans des interfaces dont vous êtes le titulaire. Les chemins de menu sont donnés à titre indicatif et n’ont pas été recontrôlés un par un dans chaque plateforme le jour de la publication. Il ne recommande aucun prestataire. Il ne vaut pas avis juridique.

Sources principales

Autorité :

• CNIL, « Sécurité : gérer les habilitations », fiche du guide de la sécurité des données personnelles, consultée le 12 novembre 2026.
• CNIL, guide de la sécurité des données personnelles, dont les fiches « Gérer la sous-traitance » et « Gérer les incidents et les violations ».
• Règlement (UE) 2016/679, RGPD, articles 28, 32 et 33.

Documentation des éditeurs, pour leurs propres produits :

• Aide Shopify, comptes collaborateurs.
• Aide Shopify, désinstaller une application.