HR Techportail managerautorisation

Portail manager : ce qu'un manager peut voir sur ses salariés (et ne devrait pas)

Name: CleanIssue
Price range: €€

Publié le 2026-04-16 · Mis à jour le 2026-06-014 min de lectureCleanIssue

> En bref : Les portails manager sont souvent trop permissifs par défaut. Trois erreurs d'accès à corriger avant un audit client.

Quelles données RH un manager ne devrait-il jamais voir ?

Le portail manager mérite un audit dédié

Dans beaucoup de SIRH, le périmètre d'un manager est défini par une règle simple : "les salariés de mon équipe". La règle est souvent appliquée côté interface, pas côté base.

Pour aller plus loin — lire notre audit sécurité des logiciels de paie.

Les erreurs qu'on retrouve

un manager voit les salariés d'anciennes équipes même après mutation ;

un manager d'équipe voit des données qui devraient être RH uniquement (salaire, arrêts) ;

l'API permet de filtrer par manager_id mais n'empêche pas de changer ce filtre.

Le test qui remonte tout

Se connecter avec un compte manager, essayer de lire les données d'un salarié hors de son équipe via l'API. Si ça passe, la règle n'est pas au bon endroit.

Pour les éditeurs RH & Paie

CleanIssue est spécialisé dans l'audit des logiciels RH, paie et recrutement. Si vous éditez un SIRH, un outil de paie ou un ATS en France et que vous voulez une revue externe de votre exposition avant un audit client ou une revue sécurité, voyez notre offre dédiée aux éditeurs RH & Paie.

À retenir

Appliquez le principe du moindre privilège : un manager ne doit voir que les données de son périmètre direct.

Auditez les endpoints API qui alimentent le portail — les filtres côté front ne protègent rien.

Loguez chaque accès aux données sensibles pour détecter les consultations anormales.

Vous éditez un logiciel RH, paie ou recrutement ? CleanIssue réalise des audits de sécurité pour SaaS RH en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

Pour aller plus loin

Voir la page HR Tech

La synthèse CleanIssue pour les logiciels RH, paie et recrutement.

Découvrir la Revue Externe

Le format le plus rapide pour clarifier l'exposition réelle d'un produit RH.

DPAE et fuite de données : où sont vraiment les risques ?

Les flux de DPAE touchent à des données sensibles et sont souvent traités comme de simples opérations métier, alors qu'ils créent aussi des risques d'accès et de traçabilité.

2026-04-16 · 5 min de lecture

HR Techmulti-tenant

Multi-tenant SIRH : comment on vérifie qu'un client ne voit pas les données d'un autre

Les erreurs d'isolation multi-tenant sont les plus chères dans un SIRH. Trois tests rapides à faire avant une revue client.

2026-04-16 · 4 min de lecture

HR TechRLS

Portail salarié et RLS : ce qui casse vraiment la séparation

Même avec RLS activé, un portail salarié peut exposer trop d'informations si les règles métier restent incomplètes.

2026-04-16 · 5 min de lecture

Sources

Rédigé par CleanIssue

Revu le 2026-06-01

Services associés

Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.

Revue Externe

Obtenir rapidement une lecture claire de l'exposition réelle de votre produit.

Audit Complet

Documenter toutes les failles prioritaires et obtenir un vrai plan de remédiation.