Gérer des QR codes en équipe : rôles, validations et accès

Un mardi après-midi, une chargée de marketing ouvre le compte, change la destination d'un code pour tester une variante de page, puis part en réunion. Ce code figurait sur soixante mille courriers distribués la semaine précédente, et la page de test n'était qu'à moitié construite. Il a fallu neuf jours pour relier la chute des retours à ce changement : la personne qui suivait les chiffres et celle qui pouvait modifier les codes ne se parlaient jamais.

Rien n'était malveillant et rien n'était techniquement cassé. Un champ de texte a changé, et le comportement de soixante mille objets physiques a changé avec lui.

Modifier une destination active est une mise en production

Avec de l'imprimé statique, une erreur est chère et bruyante. Quelqu'un doit réimprimer, quelqu'un signe la facture, et tout le monde l'apprend.

Avec un code routé, la même erreur est un champ de texte et un bouton Enregistrer. Pas de build, pas de revue, pas de journal de déploiement, pas d'artefact visible. La portée, c'est chaque exemplaire imprimé en circulation, et l'effet est immédiat : c'est l'arbitrage qui accompagne les codes dynamiques et dont on parle rarement au moment de la décision.

Traitez ce champ comme vous traitez une mise en ligne. Non parce que l'outil est dangereux, mais parce que l'exposition est comparable alors que la friction ne l'est pas.

Des rôles qu'il vaut la peine de séparer

Quatre capacités, que la plupart des équipes fondent en une seule.

Créer. Fabriquer de nouveaux codes pour de nouveaux travaux. C'est le droit le plus large et le moins dangereux. Donnez-le à tous ceux qui en ont besoin, agences et personnel d'événement compris, limité à leur propre dossier.

Modifier des destinations actives. Le droit étroit. Des personnes nommées, un petit groupe, aucun compte partagé.

Consulter les statistiques et les rapports. Ce devrait être le droit le plus large de tous, et c'est celui qu'on regroupe le plus souvent avec tout le reste. L'échec classique consiste à donner un accès administrateur à toute une équipe pour qu'elle puisse suivre des comptages de scans. Lire un rapport de scans ne devrait jamais exiger le pouvoir de changer ce vers quoi les codes pointent.

Administrer. Facturation, utilisateurs, domaines personnalisés, suppression. Le plus petit groupe, et jamais moins de deux personnes, pour qu'un congé ne soit pas une panne.

La suppression mérite sa propre ligne. Pour un code routé, supprimer l'enregistrement casse tous les exemplaires imprimés d'un coup et est généralement irréversible. Si votre plateforme sait séparer supprimer de modifier, séparez-les.

Si un outil ne distingue pas du tout ces capacités, c'est une vraie limite au nombre de personnes qui peuvent y toucher en sécurité, et cela a sa place dans la liste d'évaluation à côté des critères habituels quand vous comparez des plateformes.

Une étape de validation avant qu'un code imprimé change

L'étape n'a pas besoin d'être lourde. Elle doit exister.

Une demande de changement consigne cinq choses : le code et sa référence, la destination actuelle, la destination proposée, la raison, et où le code est physiquement imprimé et en quelle quantité. Ce dernier point est ce qui rend le risque lisible. « C'est sur soixante mille mailings » met fin à beaucoup de modifications désinvoltes avant qu'elles ne commencent.

Ensuite une deuxième personne confirme que la nouvelle URL charge, qu'elle est bien la page voulue, et qu'elle se comporte correctement sur un téléphone et pas seulement sur un ordinateur.

Fixez un seuil pour que le processus survive au contact du travail réel. Au-dessus d'un volume imprimé que vous choisissez, ou sur tout support que vous ne pouvez pas rappeler, exigez la seconde paire d'yeux. En dessous, laissez la revue facultative. Un processus qui s'applique à chaque changement trivial est contourné en un mois.

Deux habitudes qui ne coûtent rien : pas de modification de destination un vendredi en fin de journée, et rescanner un exemplaire physique après chaque changement plutôt que de se fier à l'aperçu du tableau de bord.

Chaque code a besoin d'un responsable nommé

Pas un service. Une personne, consignée dans l'enregistrement du code lui-même plutôt que dans la mémoire de quelqu'un.

Ce responsable est celui qu'on interroge quand une destination casse, qui valide les changements, et qui répond de la mise hors service. « C'est le marketing qui gère » veut dire que personne ne gère, et le test est simple : prenez un code au hasard et chronométrez le temps qu'il faut pour trouver quelqu'un prêt à prendre une décision à son sujet.

La responsabilité donne aussi un but au reporting. Un code avec un responsable est regardé. Un code sans est une ligne dans un tableau de bord que personne ne lit, et c'est ainsi que des codes finissent par pointer vers des pages mortes pendant un an.

L'offboarding est là où les codes deviennent orphelins

Le schéma se répète d'une organisation à l'autre et est entièrement prévisible.

• Des codes créés sous un compte personnel au lieu du compte de l'entreprise.
• Des comptes prestataires enregistrés sur l'e-mail d'une personne, si bien qu'une réinitialisation de mot de passe part vers une boîte qui n'existe plus.
• Un moyen de paiement sur une carte personnelle. La carte expire après le départ, le compte tombe, et tous les codes routés cessent de résoudre. Le résultat correspond à ce qui arrive quand un prestataire ferme, sauf que vous vous l'êtes fait vous-même.
• Des destinations hébergées sur un service auquel cette personne seule pouvait se connecter.
• Des codes dont le responsable nommé est celui qui franchit la porte.

Mettez quatre points sur la liste d'offboarding. Réattribuez chaque code dont la personne était responsable à un remplaçant nommé. Vérifiez qu'aucun compte ni domaine n'est enregistré à son adresse. Vérifiez qu'aucune facturation ne passe par sa carte. Vérifiez qu'aucune destination ne dépend de son accès personnel. Faites tout cela avant le dernier jour, tant qu'elle peut encore répondre aux questions.

Pendant que vous y êtes, regardez ce que le prestataire promet réellement si un compte devient silencieux. Les services qui annoncent des codes sans expiration font une affirmation sur leur propre survie, et cette affirmation mérite d'être lue plutôt que supposée.

Journalisez les changements, puis lisez vraiment le journal

Chaque modification de destination devrait consigner qui, quand, depuis quoi, vers quoi. La plupart des plateformes le gardent. Presque personne ne l'ouvre.

Confrontez-le mensuellement à vos demandes de changement. Vous cherchez des modifications sans demande correspondante, des modifications depuis des comptes qui ne devraient pas avoir ce droit, et des modifications sur des codes auxquels personne n'a pensé depuis un an. Un compte compromis sur une plateforme QR ne ressemble pas à une attaque. Cela ressemble à une destination qui pointe discrètement ailleurs, ce qui fait qu'un code imprimé légitime se comporte exactement comme les faux codes contre lesquels vos clients sont mis en garde.

Les comptes partagés annulent tout cela. Vous ne pouvez attribuer aucun changement, retirer l'accès de personne en particulier, ni distinguer une erreur d'une intrusion.

Et en France ?

L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, recommande dans son guide d'hygiène informatique d'utiliser des comptes nominatifs plutôt que des comptes partagés. Pour un outil de QR codes, c'est la base de tout le reste : sans compte individuel, impossible de savoir qui a modifié quoi.

Deux habitudes en découlent. Créez un compte par personne, avec le rôle strictement nécessaire, et bannissez le mot de passe « marketing » partagé sur un post-it. Et intégrez l'outil QR à la procédure de départ d'un salarié ou d'un prestataire : son accès doit être fermé le jour même, au même titre que sa messagerie.

Commencez par ce qui est déjà imprimé

Exportez la liste des codes dynamiques présents aujourd'hui sur des supports imprimés et triez-la par volume imprimé. Pour les dix premiers, répondez à deux questions : qui peut modifier leur destination en ce moment même, et qui est responsable si elle casse.

Si l'une des réponses est « tout le monde » ou « je ne sais pas », réglez ces dix cette semaine, avant d'écrire la moindre politique.