Permissions des rôles sur les réseaux sociaux : le modèle à 6 rôles pour les agences

Le contrôle d'accès par rôle (RBAC), c'est le rôle qui décide de ce qu'une personne peut faire, pas la personne. Pour une équipe social media, il te faut six rôles, pas vingt : créateur, éditeur, approbateur, éditeur de publication, analyste, admin. Limite chaque personne à des comptes clients précis pour que personne ne voie le travail des autres, puis garde une trace de qui a approuvé quoi.

Les agences échouent généralement dans une de deux directions. Soit tout le monde partage un seul login, soit chaque post attend le fondateur. Les deux se règlent en un après-midi.

TLDR : Six rôles, limités par client, avec les validations comme garde-fou et chaque approbation tracée. Les exceptions par personne, c'est ce qui rend tout le modèle ingérable.

Les six rôles qui couvrent presque toutes les équipes

Rôle	Peut faire	Ne peut pas faire
Créateur	Rédiger des posts, uploader des visuels	Publier, connecter des comptes
Éditeur	Modifier n'importe quel brouillon dans son périmètre, soumettre pour validation	Approuver son propre travail
Approbateur	Approuver, refuser, commenter les brouillons	Modifier les comptes connectés
Éditeur de publication	Planifier et publier les posts approuvés	Approuver, ajouter des utilisateurs
Analyste	Lire les stats, exporter des rapports	Toucher au contenu
Admin	Connecter des comptes, gérer les utilisateurs et les rôles	Rien, donc garde-le à deux personnes

Deux règles empêchent ce système de pourrir. Personne n'approuve son propre travail, et l'admin reste à exactement deux personnes pour qu'il y ait toujours un backup et jamais un comité.

Résiste aux permissions par personne. Dès que tu as « Sarah, mais elle peut aussi publier le jeudi », tu as un setup que personne ne peut auditer six mois plus tard. Gère l'exception avec un changement de rôle temporaire, puis remets-le en place.

Le périmètre : le truc que les agences ratent

Un rôle seul ne suffit pas. Un créateur sur le Client A ne doit pas pouvoir voir le Client B. Ça, c'est le périmètre, et c'est la première chose qui casse quand une agence dépasse le login partagé.

Le périmètre se joue sur trois axes :

• Client ou marque. La frontière dure. Un prestataire en a exactement un.
• Canal. Quelqu'un peut gérer Instagram et TikTok sans toucher à la page LinkedIn de l'entreprise.
• Étape. L'accès aux brouillons n'implique jamais l'accès à la publication.

Ça demande une vraie séparation, pas un filtre. Si un prestataire peut changer le sélecteur de compte et atterrir dans l'inbox d'un autre client, tu as une vue par défaut, pas une isolation. Les espaces de travail, c'est comme ça que Mydrop trace cette ligne : chaque client a son propre espace avec ses propres membres, son calendrier et ses comptes connectés.

Les parties prenantes côté client, c'est un autre problème. La plupart ne devraient pas être des utilisateurs du tout. Un portail client sans login leur permet de relire et d'approuver leur propre contenu sans siège, sans mot de passe, ni niveau de permission à maintenir pour toujours après la fin du projet.

Les validations sont le garde-fou, pas l'échelle hiérarchique

Les permissions décident qui peut agir. Les validations décident quand. Garde les deux séparés, sinon tu vas commencer à nommer des gens admin juste pour débloquer un post un vendredi.

Route par risque, pas par titre de poste :

Contenu	Relecteurs
Posts modèles, récurrents	Un éditeur
Nouvelle campagne ou nouvelle promesse	Le client ou le responsable de marque
Réglementé, juridique ou crise	Relecteur juridique désigné, sans solution de repli

Donne aux deux premières lignes un approbateur de secours pour qu'un jour férié ne bloque pas la publication. La troisième ligne doit vraiment bloquer. Les circuits de validation retiennent le post jusqu'à ce que les approbations arrivent, ce qui garde « approuvé » et « publié » comme une seule trace au lieu de deux listes à recouper à la main.

Ce que ton journal d'audit doit enregistrer

« Qui a modifié ça ? » arrive toujours au pire moment, et un journal qui ne stocke que l'état actuel ne peut pas y répondre.

Enregistre cinq choses par action :

1. Qui l'a fait, en tant que personne nommée et jamais un compte partagé.
2. Quel rôle ils avaient à ce moment-là. Les gens changent de rôle, et un journal qui résout le rôle à la lecture réécrit silencieusement l'histoire.
3. Ce qui a changé, avec la version précédente toujours lisible.
4. Quand, avec un fuseau horaire.
5. Sous quelle validation ça a été publié.

Deux règles pratiques. Garde les enregistrements de validation plus longtemps que les journaux opérationnels, parce que la validation, c'est ce qu'on te demande vraiment. Et rends-les consultables par client et par période, parce que c'est sous cette forme que chaque demande d'audit arrive.

Comparer les fournisseurs sur ce point est simple : demande à chacun de sortir l'historique des validations d'un post précis d'il y a trois mois. Soit ça existe dans la démo, soit ça n'existe pas.

Quoi vérifier avant d'acheter

Les fonctionnalités qui séparent un vrai modèle de permissions d'une page de réglages :

• Des rôles définissables par client, pas un rôle global par utilisateur.
• Une isolation qui survit au sélecteur de compte, testée avec un vrai login de prestataire.
• Un circuit de validation avec des relecteurs nommés et une solution de repli définie.
• Un historique de validation exportable pour un seul post.
• Un accès relecteur sans siège, pour que la validation client ne coûte pas une licence.
• Le SSO et le provisioning d'annuaire si l'IT gère ta liste d'utilisateurs. La plupart des outils social réservent ça aux plans entreprise, donc demande-le dès le premier appel plutôt qu'au moment du contrat.

Planable et Sprout Social gèrent tous les deux les validations en plusieurs étapes avec des rôles définis. Mydrop réunit les espaces de travail par client, les rôles, les commentaires directement sur le brouillon, les garde-fous de validation et le lien de relecture sans login dans un seul système, la combinaison que les agences assemblent le plus souvent à partir de deux outils séparés. Pour le reste du setup opérationnel autour de ça, les agences social media couvre la stack complète.

Mets ça en place cette semaine

Trois étapes, dans cet ordre :

1. Liste chaque personne qui peut publier aujourd'hui. Inclus les anciens prestataires et le login partagé. La liste est toujours plus longue que prévu.
2. Donne à chacun un seul rôle et un seul périmètre client. Pas d'exceptions au premier passage.
3. Passe les parties prenantes client sur des liens de relecture et supprime leurs comptes utilisateur.

Mets un rappel à 90 jours dans le calendrier pour refaire l'étape une, parce que les accès obsolètes, c'est l'échec qui revient à chaque fois. Tu peux commencer gratuitement et avoir les rôles et les espaces de travail clients mappés avant le lancement de la prochaine campagne.