Permissions Confluence mal scopées : la fuite de specs que personne ne voit venir

Confluence n'a pas un système de droits, il en a trois qui se superposent. Au niveau le plus haut, les permissions d'espace définissent qui peut voir et éditer un espace entier. En dessous, les restrictions de page peuvent verrouiller une page précise — ou, à l'inverse, ne rien restreindre et laisser l'héritage faire le travail. Et transversalement, les groupes (dont le fameux groupe par défaut auquel tout nouvel utilisateur est rattaché) attribuent des accès en masse.

Le danger naît de la combinaison. Un espace dont les permissions accordent l'accès au groupe "tous les utilisateurs" devient lisible par chaque salarié de l'organisation, sans qu'aucune alerte ne s'affiche. Pire, l'option d'accès anonyme — pratique pour une base de connaissances publique — peut être activée sur une instance entière et rendre des contenus internes accessibles sans authentification.

Le consultant Atlassian qui met en place la gouvernance documentaire prend en charge précisément ce paramétrage. Quand il scope mal un espace, l'erreur ne provoque aucun crash, aucun message rouge : la fuite est silencieuse et peut durer des mois avant qu'un salarié ne tombe par hasard sur les salaires de l'équipe, la roadmap stratégique ou un contrat client.

L'exposition Confluence n'est pas un risque abstrait. Voici trois configurations réelles qui transforment une erreur de paramétrage en sinistre :

• La roadmap produit ouverte. Un espace "Product" hérite des permissions globales. Toute l'entreprise — y compris des prestataires ayant un compte invité — accède aux priorités stratégiques, aux dates de lancement et aux analyses concurrentielles. En cas de fuite vers l'extérieur, c'est un avantage compétitif perdu.
• Les données RH et RGPD. Un espace RH contient évaluations, comptes-rendus d'entretien, parfois des données de santé. Exposé à l'ensemble des salariés, il déclenche une violation de données personnelles au sens du RGPD, avec obligation potentielle de notification à la CNIL sous 72 heures et information des personnes concernées.
• Les specs sous NDA. Une équipe documente le projet d'un client lié par un accord de confidentialité. Une page mal restreinte rend ces specs visibles au-delà du cercle autorisé : le client peut invoquer une violation de NDA et réclamer des dommages.

Dans chacun de ces cas, le client cherchera à savoir qui a configuré l'espace. Si c'est vous, votre prestation est directement en cause au titre de l'atteinte involontaire à la confidentialité, une garantie clé de la RC Pro.

Beaucoup de consultants ignorent qu'une mauvaise configuration de permissions peut constituer juridiquement une violation de données à caractère personnel. Le RGPD définit la violation comme tout incident entraînant un accès non autorisé à des données personnelles — et un espace Confluence rendu accessible à des personnes qui n'auraient pas dû y accéder coche exactement cette case.

Les conséquences pour le client responsable de traitement sont lourdes : analyse de l'incident, éventuelle notification à la CNIL sous 72 heures, information des personnes concernées si le risque est élevé, et risque de sanction administrative. Le client supportera ces coûts en premier, puis se demandera qui les lui a fait engager.

C'est ici que la dimension cyber prend tout son sens. Une assurance cyber ne couvre pas seulement les attaques externes : elle prend en charge la gestion d'une violation de données — frais d'expertise forensique pour mesurer l'étendue de l'exposition, accompagnement juridique pour la notification, communication de crise. Pour un consultant Atlassian dont les erreurs touchent par nature à des bases documentaires bourrées de données, cette couverture complète la RC Pro plutôt qu'elle ne la double.

Un sinistre de permissions Confluence active deux logiques d'assurance qu'il faut distinguer pour bien se couvrir.

La RC Pro répond à la question : suis-je responsable du préjudice subi par mon client ? Elle couvre l'atteinte involontaire à la confidentialité résultant de votre faute de paramétrage, indemnise le préjudice du client et finance votre défense si sa réclamation se transforme en litige.

La garantie cyber répond à une autre question : comment gérer concrètement l'incident et ses suites réglementaires ? Elle finance la réponse à la violation de données, qu'elle survienne chez votre client ou dans votre propre système d'information. Pour un consultant qui manipule au quotidien des instances clients remplies de données sensibles, le risque de propager ou de subir un incident est réel.

Voir le détail des couvertures adaptées à votre activité sur la page Consultant Atlassian.

Le meilleur sinistre est celui qui n'arrive pas. La gouvernance des permissions Confluence se professionnalise avec quelques réflexes que tout consultant devrait poser systématiquement :

1. Auditer l'accès anonyme et le groupe par défaut avant toute livraison. Ces deux réglages sont la première source d'exposition involontaire.
2. Cartographier les espaces sensibles (RH, Direction, projets sous NDA) et leur appliquer des permissions explicites, jamais héritées.
3. Documenter la matrice de permissions livrée au client et la faire valider : cette trace prouve, en cas de litige, que la configuration correspondait à la demande.
4. Limiter les comptes invités et prestataires et vérifier à quels groupes ils appartiennent — un invité dans le mauvais groupe voit tout.

Cette documentation a une double vertu : elle réduit le risque d'erreur et, si l'incident survient malgré tout, elle déplace le débat. Un consultant qui a livré une matrice validée et alerté sur les réglages à risque n'est pas dans la même position qu'un consultant qui a configuré au jugé. La preuve de diligence est, là encore, le socle d'une défense efficace que votre assureur saura faire valoir.