IT Glossary
Les comptes inactifs appartiennent à des utilisateurs présents qui ne se connectent plus. Risques, traitement et différence avec les comptes orphelins.
November 2, 2026
Les comptes inactifs (ou comptes dormants) sont des comptes utilisateurs qui appartiennent à une personne légitime, toujours présente dans l'organisation, mais qui n'ont pas servi depuis une durée définie, par exemple 30, 60 ou 90 jours selon le système. Le titulaire travaille encore là et l'accès peut rester justifié, pourtant personne ne se connecte. Ce silence pose problème : une prise de contrôle passe inaperçue et le compte conserve souvent une licence payante.
La mesure AC-2(3), Disable Accounts, de la révision 5 du référentiel NIST SP 800-53 fait de l'inactivité un déclencheur à part entière : elle demande aux organisations de désactiver les comptes dans un délai qu'elles définissent lorsqu'ils sont inactifs depuis une durée qu'elles définissent également, parmi d'autres conditions. Certains comptes sont inactifs par nature, comme les comptes d'urgence ou ceux de personnes en congé long : mieux vaut les documenter comme exceptions que les désactiver. Pour le DPO, le sujet touche aussi au RGPD, car un compte inactif garde l'accès à des données personnelles dont son titulaire n'a plus l'usage.
Une entreprise de 200 salariés passe en revue ses 60 applications SaaS chaque trimestre. Avec un seuil de 90 jours, elle relève par exemple 85 comptes inactifs : des commerciaux qui n'utilisent plus un outil de prospection après un pilote, des graphistes dotés d'un siège dans une seconde suite de création, et une ingénieure qui garde des droits d'administration sur une console cloud qu'elle n'ouvre plus depuis son changement d'équipe. Ce dernier cas est une dérive des privilèges qui se manifeste par l'inactivité.
Chaque compte aboutit à une décision : conserver, désactiver ou supprimer. Corma tient un inventaire des comptes et des licences de chaque application SaaS, mène des revues d'accès avec preuves d'audit où les responsables confirment ou révoquent les accès inactifs, puis déprovisionne par workflows, y compris dans les applications sans SCIM, pour que les sièges libérés alimentent la récupération de licences.
Il n'existe pas de chiffre universel. Chaque organisation fixe le seuil par système, souvent 30, 60 ou 90 jours, avec des durées plus courtes pour les accès à privilèges.
Un compte inactif a un titulaire toujours présent qui ne s'en sert plus. Un compte orphelin n'a plus de titulaire valide, en général parce que la personne a quitté l'organisation.
D'abord les désactiver. La désactivation bloque les connexions et garde le compte restaurable, puis la suppression intervient après la durée de conservation prévue par la politique d'accès.
Souvent, oui. Dans les applications SaaS facturées par utilisateur, les comptes inactifs conservent leur licence payante tant qu'ils ne sont pas désactivés et que le siège n'est pas libéré ou réattribué.
