IT Glossary
La recertification des accès revalide périodiquement les habilitations existantes. Découvrez ce que révèle vraiment le taux de révocation d'une campagne.
August 7, 2026
La recertification des accès est l'exercice récurrent au cours duquel des habilitations déjà validées sont réexaminées puis confirmées ou révoquées, selon un cycle fixé. Là où une première certification établit que l'accès était correct à un instant donné, la recertification vérifie qu'il l'est toujours aujourd'hui. C'est le contrôle qui rattrape la dérive entre deux audits.
Une campagne de recertification qui ne révoque presque rien n'est généralement pas le signe d'accès propres. C'est le signe d'une validation de complaisance, où les relecteurs approuvent de longues listes qu'ils n'ont pas le contexte pour juger. Une campagne qui révoque entre 5 et 15 pour cent des lignes se comporte normalement. Un chiffre proche de zéro doit conduire à regarder de près comment les listes sont construites et si ce sont les bonnes personnes qui relisent.
Une entreprise lance sa première campagne et révoque 12 pour cent des habilitations, essentiellement des restes de mobilités internes et de projets clos. Le trimestre suivant, elle en révoque 4 pour cent, ce qui constitue le régime de croisière sain. Au troisième cycle, les relecteurs ne reçoivent plus que les lignes ayant changé depuis la campagne précédente, ce qui leur prend quelques minutes au lieu d'un après-midi. Apgar a bâti son IAM automatisé sur ce principe, et Corma exécute les campagnes différentielles qui rendent la recertification récurrente tenable.
La certification est la validation formelle d'un accès à un instant donné. La recertification est le même exercice répété selon un cycle, qui vérifie qu'un accès validé auparavant reste justifié.
Chaque trimestre pour les systèmes hébergeant des données financières, de santé ou réglementées, chaque année pour les applications moins critiques. Les changements de poste et les départs déclenchent un contrôle hors cycle.
La personne qui comprend ce que l'habilitation autorise réellement, généralement le manager direct ou le propriétaire de l'application. L'IT peut préparer la liste mais ne devrait pas la valider.
Des listes trop longues, des relecteurs sans contexte, et aucune vérification que les révocations décidées ont réellement été appliquées dans le système cible.
