Portail client pour PME : définir les échanges et les droits

Choisir le parcours qui mérite un espace partagé

Partez d'un échange récurrent : transmettre des justificatifs, suivre une intervention, valider un document ou consulter un dossier. Identifiez ce que le client doit faire et ce que l'équipe fera en retour. Si l'usage consiste seulement à recevoir un fichier occasionnel, un formulaire de dépôt adapté peut suffire sans compte permanent.

Exemple hypothétique : une entreprise remet régulièrement des rapports d'entretien à ses clients. Le portail peut regrouper les rapports par équipement et signaler ceux qui demandent une réponse. Ce scénario sert à définir le projet ; il ne décrit pas un résultat obtenu chez un client Algoria.

Décrire qui voit et modifie chaque dossier

Un compte de connexion identifie une personne, mais ne définit pas tout ce qu'elle est autorisée à consulter. OWASP distingue l'authentification des autorisations et recommande de contrôler les permissions à chaque demande. Un lien de document conservé dans un favori doit donc rester soumis aux droits actuels du compte.

Préparez une matrice simple : rôle, dossiers accessibles, documents visibles et actions autorisées. Un contact commercial peut consulter les devis sans voir tous les rapports internes. Le responsable client peut inviter un collègue si cette fonction est prévue. Décidez aussi ce qui arrive aux accès lorsqu'une personne quitte une entreprise ou lorsqu'un dossier change de client.

• Compte client : consulter ses dossiers et déposer les documents demandés.
• Responsable de dossier : demander une correction et publier les documents validés.
• Administrateur : gérer les accès sans utiliser de compte partagé.
• Contact retiré : perdre l'accès aux anciens liens après révocation.

Concevoir un dépôt dont le résultat est visible

Le dépôt doit annoncer les formats et tailles acceptés avant la sélection. Après l'envoi, le client doit retrouver le fichier dans le bon dossier avec un état clair. Distinguez fichier reçu, document en cours d'examen et document accepté. Un transfert achevé ne signifie pas que l'équipe a vérifié le contenu.

OWASP recommande notamment de limiter les formats et tailles, de contrôler le type de fichier et de réserver le dépôt aux utilisateurs autorisés. Ces contrôles techniques accompagnent le parcours métier. Une erreur de transfert doit conserver le contexte et permettre de réessayer sans créer des doublons ni annoncer un succès fictif.

Organiser les demandes et notifications

Une demande de pièce doit préciser ce qui manque, le dossier concerné et l'action attendue. L'état doit changer après réception ou décision de l'équipe. Si le client répond ailleurs, par téléphone par exemple, le responsable doit pouvoir mettre le suivi à jour ; sinon le portail continuera de relancer une situation déjà résolue.

Choisissez les notifications selon leur utilité : invitation, nouvelle demande, correction ou document disponible. Évitez de recopier un document confidentiel dans le texte d'une notification. Le lien peut ramener au portail et à ses contrôles d'accès. Une notification envoyée reste distincte d'une notification reçue ou d'une demande traitée.

Relier le portail au travail interne

Décidez où se trouve le dossier de référence. Si les collaborateurs continuent à travailler dans un autre logiciel, précisez quelles données sont échangées et à quel moment. Le portail doit éviter la contradiction entre « document accepté » côté client et « pièce manquante » dans le suivi interne. Les erreurs de synchronisation ont besoin d'une file de reprise visible par l'équipe.

Prévoyez aussi la correction d'un document publié : conserver une ancienne version, la remplacer ou l'invalider sont des comportements différents. Définissez celui attendu et son effet sur les liens déjà envoyés. Un export de dossier doit permettre de récupérer les fichiers utiles avec leurs noms, leurs références et leur état, pas seulement une liste de liens inutilisables.

Recetter avec deux comptes clients et un dossier réel anonymisé

Pour préparer la recette, créez des dossiers d'essai pour deux entreprises distinctes. Vérifiez chaque parcours avec le compte qui doit réellement l'utiliser. Contrôlez qu'une personne ne peut pas ouvrir le dossier de l'autre, y compris en réutilisant un lien. Testez ensuite invitation, dépôt, erreur de fichier, remplacement et révocation d'accès.

Observez aussi une personne qui découvre le portail : comprend-elle où déposer le document et comment vérifier sa réception ? Un espace partagé demande une responsabilité interne pour lire les demandes et répondre. Si personne ne suit cette activité, l'interface ne réglera pas le problème d'organisation. Le premier lancement doit donc inclure ce fonctionnement, pas seulement les écrans.