IT Glossary
Un compte de service est un compte non humain utilisé par une application. Découvrez pourquoi un compte sans propriétaire devient irrévocable.
August 7, 2026
Un compte de service est un compte créé pour une application, un script ou un processus automatisé plutôt que pour une personne. Il détient des identifiants, porte des permissions et s'authentifie aux systèmes exactement comme le ferait un utilisateur, ce qui fait précisément son utilité et son danger. C'est la forme la plus répandue d'identité non humaine dans une entreprise.
Demandez qui est propriétaire d'un compte de service et la réponse honnête est souvent personne. Il a été créé pour une intégration il y a trois ans par quelqu'un qui est parti depuis. Personne ne le désactivera, parce que personne ne peut dire ce qui se casse si on le fait. Cette seule mécanique explique que les comptes de service s'accumulent durablement, apparaissent dans chaque revue d'accès comme une ligne non résolue, et restent une non-conformité permanente au regard d'ISO 27001 et de NIS2.
Une revue d'accès sur un système financier remonte 34 comptes, dont six comptes de service. Deux sont documentés. Les quatre autres portent des noms génériques, des droits d'administration et aucun propriétaire. Le relecteur ne peut ni les approuver ni les révoquer, les lignes sont donc reportées et les quatre mêmes réapparaissent au trimestre suivant. Attribuer un propriétaire humain à chaque identité non humaine est ce qui débloque la situation, et Corma classe et suit ces comptes pour qu'ils cessent d'être le résidu non résolu de chaque campagne.
Un compte utilisateur appartient à une personne qui s'authentifie de manière interactive. Un compte de service appartient à une application ou à un processus et s'authentifie généralement avec un identifiant statique, sans humain présent.
Oui. L'identité non humaine est la catégorie générale, qui couvre aussi les identités machine, les identités de charge de travail, les clés d'API et les bots. Le compte de service en est la forme la plus familière.
L'authentification multifacteur interactive ne leur convient pas. Les contrôles équivalents sont des identifiants de courte durée, une restriction d'adresse IP et, idéalement, un remplacement par une identité de charge de travail.
Attribuer à chacun un propriétaire humain nommé, documenter sa finalité, cadrer ses permissions sur la tâche, renouveler son identifiant selon un rythme défini, et l'inclure dans chaque revue d'accès.
