Applications tierces dans Google Workspace : comment revoir les accès accordés ?

Un outil de planification, une extension ou un service de signature peut demander l’accès à des informations Google. L’autorisation répond parfois à un besoin immédiat, puis l’application reste connectée alors que son usage a disparu.

La revue des applications tierces consiste à identifier ces accès, comprendre leur utilité et décider s’ils doivent être conservés. Elle doit associer l’administrateur et les personnes qui connaissent l’usage métier de l’outil.

MOZAYK Workspace aide à examiner les informations disponibles sur les applications et autorisations dans le périmètre connecté. Les règles générales d’accès se gèrent dans la console Google.

Comprendre ce qu’une application demande

Une connexion avec un compte Google peut servir à identifier un utilisateur. Une autorisation peut aussi permettre à une application d’accéder à certaines données. Il faut donc lire le périmètre demandé plutôt que de se limiter au nom du service.

Les autorisations OAuth décrivent les accès sollicités par l’application. Leur portée peut varier : consulter une information, intervenir sur des événements ou accéder à des fichiers, selon le service et la fonction. La documentation Google sur le contrôle des applications explique leur gestion dans Workspace.

Posez une question concrète : les données accessibles correspondent-elles à la tâche que l’entreprise attend de cet outil ? Une autorisation large demande une justification plus précise qu’un usage mal défini.

Faire l’inventaire avant de modifier les règles

Commencez par les applications connues, puis examinez celles dont le nom ou l’éditeur ne vous dit rien. Identifiez les utilisateurs concernés et recherchez un responsable capable d’expliquer le besoin.

Dans la console Google, les contrôles des API et de l’accès aux applications permettent de revoir les outils et leur configuration. MOZAYK fournit un point d’entrée pour examiner les informations d’audit disponibles. L’étendue de la liste dépend des accès accordés et des données remontées.

Conservez les détails qui permettent de reconnaître une application avec certitude. Deux outils peuvent avoir des noms proches ; un changement de nom commercial peut également masquer un service déjà connu de l’équipe.

Évaluer l’usage avec quatre questions

Pour chaque application à revoir, demandez :

1. Qui l’utilise encore ? Une personne peut avoir testé le service sans l’avoir adopté.
2. Quelle tâche remplit-elle ? Une réponse précise permet de comprendre les données nécessaires.
3. Que se passerait-il si l’accès était retiré ? Cette question identifie les dépendances et les risques d’interruption.
4. Qui peut valider la décision ? Le responsable technique et le responsable métier n’ont pas toujours le même rôle.

Le but est de conserver les outils utiles avec un accès adapté. La présence d’une application tierce ne constitue pas, à elle seule, une anomalie.

Vérifié, approuvé, utile : des notions différentes

Un statut de vérification apporte une information sur le parcours de l’application auprès de Google. Il ne remplace pas votre décision sur son usage dans l’entreprise. De même, un outil approuvé il y a un an peut ne plus être nécessaire aujourd’hui.

Google explique les statuts et les possibilités d’autorisation dans sa documentation sur les applications tierces vérifiées.

Votre revue doit donc rapprocher plusieurs éléments : identité de l’éditeur, autorisations, usage réel et politique interne. Aucun de ces points ne suffit isolément à répondre à toutes les questions.

Choisir une décision proportionnée

La décision doit être compréhensible par les utilisateurs concernés. Si vous bloquez un outil encore utilisé, indiquez la raison et le parcours alternatif prévu, lorsqu’il existe.

Préparer le retrait d’un accès

Avant une modification, vérifiez si une automatisation ou une activité dépend du service. Choisissez un moment adapté et informez les personnes qui risquent de constater un changement.

Après l’intervention, confirmez que le résultat correspond à la décision et que les usages à conserver fonctionnent encore. Évitez de considérer qu’un changement de statut dans une liste démontre, à lui seul, que toutes les conséquences ont été vérifiées.

Le retrait d’un accès et le devenir des données déjà détenues par le prestataire sont deux questions à traiter. Si vous quittez une application, examinez aussi ses conditions d’export et de suppression des données, selon le besoin de l’entreprise.

Exemple : un ancien outil de prise de rendez-vous

Imaginons qu’une équipe ait testé un service connecté aux calendriers, puis adopté une autre solution. L’ancien outil apparaît encore dans les accès disponibles.

Le responsable confirme que les liens de réservation ne sont plus utilisés. Avant de retirer l’accès, l’équipe vérifie les pages publiques et les messages automatiques qui pouvaient contenir ces liens. La décision et la date d’intervention sont conservées.

Cette démarche évite deux erreurs : conserver indéfiniment une autorisation oubliée ou interrompre un usage encore actif sans le savoir.

Garder une revue régulière

Prévoyez une vérification lors du départ d’un utilisateur, du remplacement d’un outil ou d’une revue de sécurité. Les applications changent au fil des projets ; leur inventaire doit suivre cette évolution.

Le guide d’audit Google Workspace permet de replacer ces contrôles parmi les autres priorités. La checklist de départ d’un collaborateur aide à examiner les dépendances liées à une personne.

Retrouvez les accès qui méritent une décision. Essayez MOZAYK Workspace pendant 30 jours gratuitement, sans carte bancaire, pour faciliter la lecture des informations utiles à votre administration.