Espaces personnels et portails

Que comprend la prestation

Nous développons des espaces personnels et des portails clients où vos utilisateurs se connectent avec leur identifiant et ne voient que ce qui les concerne : commandes, documents, statuts, données, historique des demandes. La prestation comprend la conception adaptée à votre processus, une autorisation sécurisée, la séparation des droits par rôle, des sections personnelles avec les données voulues et l'intégration à vos systèmes — CRM, comptabilité, paiement. L'espace personnel décharge les commerciaux : le client consulte lui-même le statut de sa commande, télécharge les documents et dépose des demandes, sans appeler pour chaque question. Nous déployons le système sur votre serveur, et les données des utilisateurs restent sous votre contrôle. Au final, vous obtenez un outil de self-service opérationnel qui reproduit votre logique de travail avec le client, et non une boîte universelle aux champs superflus.

Comment cela fonctionne au fond

À la base de l'espace personnel se trouvent l'authentification et la séparation des accès. Quand l'utilisateur se connecte avec identifiant et mot de passe, le serveur le vérifie et délivre un marqueur de session chiffré, que le navigateur conserve et présente à chaque requête suivante — ainsi le système reconnaît l'utilisateur sans redemander le mot de passe à chaque page. Par-dessus agit l'autorisation : des règles définissant quelles données et actions sont accessibles à tel utilisateur ou rôle, pour que le client ne voie que ses commandes et le collaborateur que sa portion. Les données sont tirées de vos systèmes via des intégrations sécurisées et affichées dans des sections personnelles. Toutes les actions sont journalisées, et les opérations sensibles sont protégées par des contrôles supplémentaires. Ce squelette, nous l'assemblons pour votre processus, au lieu d'ajuster votre processus à un panneau tout fait.

D'où viennent les espaces personnels

Les espaces personnels sont devenus possibles grâce à un mécanisme qui a permis au site de mémoriser l'utilisateur d'une page à l'autre : le cookie HTTP, inventé par Lou Montulli chez Netscape en juin 1994, et ce sont justement les premiers cookies qui vérifiaient si un visiteur était déjà venu sur le site. Sur la base des sessions ont grandi des sections personnelles sécurisées, et le genre des portails s'est formé à la fin des années 1990, quand les entreprises ont commencé à bâtir des sites-portails à accès personnalisé. Le standard d'accès délégué sécurisé entre services — OAuth 2.0 — a été fixé dans le document RFC 6749 en octobre 2012, et il est à la base de la connexion moderne via des comptes tiers et de l'accès des applications aux données. Nous bâtissons les espaces personnels sur ces mécanismes mûrs de sessions et d'autorisation, et non sur des schémas maison, troués par définition.

Pourquoi la sécurité de l'accès est critique

Un espace personnel manipule des données sensibles de clients, c'est pourquoi le coût d'une erreur d'accès, c'est une fuite de commandes, de documents ou de données personnelles d'autrui. Une seule faille dans le contrôle des droits, permettant à un utilisateur de substituer l'identifiant d'un autre et de voir des données qui ne sont pas les siennes, transforme un outil pratique en source de fuite et de coup à la réputation. Le travail d'ingénierie principal n'est donc pas l'aspect de l'espace, mais une autorisation stricte : vérifier à chaque requête que l'utilisateur a bien droit à ces données et à cette action. Non moins importants sont la protection des sessions, le stockage des mots de passe sous forme chiffrée et des contrôles supplémentaires sur les opérations sensibles. Nous traitons l'espace personnel comme un système de sécurité, et non comme un joli panneau, et vérifions les droits d'accès avant le lancement en production. Au final, chaque utilisateur ne voit que ce qui le concerne, et les données des autres restent inaccessibles même en cas de tentative de substitution.

Sur quelle stack nous travaillons

La partie serveur de l'espace, nous la construisons sur des frameworks rigoureux — Laravel en PHP ou un framework Node moderne — qui offrent des mécanismes tout prêts et éprouvés d'autorisation, de protection des formulaires et de travail avec la base de données. L'authentification et les sessions, nous les réalisons sur des approches standard et sécurisées, et au besoin connectons la connexion via des comptes tiers selon le protocole OAuth 2.0. Nous stockons les données dans une base PostgreSQL, et menons les intégrations à vos systèmes — CRM, comptabilité, paiement — via des API sécurisées. Les sections personnelles et les droits par rôle, nous les configurons pour votre processus, et non pour un gabarit universel. La stack est ouverte, le code et les données se déploient sur votre serveur, de sorte que l'espace reste votre actif, il peut être développé et transmis à d'autres développeurs sans dépendance à un fournisseur unique.

Quand sont apparues les technologies clés

Les technologies des espaces personnels se sont constituées sur près de trois décennies. Le mécanisme des sessions basé sur le cookie HTTP a été inventé par Lou Montulli chez Netscape en juin 1994, et sans lui aucune connexion à une section personnelle n'est possible. Le genre des portails web à accès personnalisé s'est formé à la fin des années 1990. Le standard d'accès délégué OAuth 2.0, sur lequel repose la connexion via des comptes tiers, a été fixé dans la RFC 6749 en octobre 2012. Les frameworks sur lesquels nous construisons la partie serveur sont déjà la génération moderne dotée d'une autorisation sécurisée intégrée. Nous utilisons des mécanismes actuels et éprouvés, au lieu d'inventer une authentification maison, dont les erreurs coûtent une fuite de données.

Pourquoi vous pouvez nous le confier

L'expérience cumulée de notre équipe en informatique dépasse 45 ans, et nous bâtissons les espaces personnels comme un système de sécurité, et non comme une vitrine. Nous procédons en ingénieurs : nous concevons le modèle d'accès, réalisons une autorisation stricte avec vérification des droits à chaque requête et testons impérativement, sur un environnement de test, que l'utilisateur ne peut voir les données d'autrui par substitution d'identifiant. Le code et les données se déploient sur votre serveur et vous appartiennent — sans abonnement pour des fonctions et sans dépendance à notre service. Nous vous dirons franchement là où un espace personnel est réellement nécessaire et là où une solution plus simple suffira à la tâche. Au final, vous obtenez un outil de self-service sécurisé qui décharge les commerciaux et reproduit votre logique de travail avec le client, et non une boîte aux limites étrangères.