Neuf rôles, un seul système : qui peut voir et faire quoi

La première fois qu’un patron confie une tablette à une nouvelle recrue, il pose la même question : que peut voir cette personne ?

C’est la bonne question, et la réponse honnête doit être précise.

Neuf rôles, et à quoi sert chacun

L’enjeu n’est pas la confiance. C’est qu’un écran plein de choses sur lesquelles on ne peut pas agir devient un écran qu’on apprend à ignorer — et un caissier à qui l’on montre votre coût matière reçoit une distraction, pas un outil.

Le périmètre par établissement est imposé, pas demandé

L’échec le plus courant en multi-sites : un responsable qui voit toute la chaîne parce que personne n’a restreint la requête. Dire « ne regarde que ton site », c’est une politique. L’empêcher, c’est un système.

Les requêtes d’un responsable sont vérifiées contre l’identifiant de son propre site — dans l’URL, dans les paramètres et dans le corps de ce qu’il envoie. S’il demande les chiffres d’un autre site, la réponse est non, quel que soit l’écran où il a trouvé le bouton.

À quoi sert la piste d’audit

Deux enregistrements accompagnent chaque action :

• Le journal d’activité — une liste lisible de ce que le personnel a fait : ce caissier a annulé cet article, ce responsable a validé ce remboursement, à telle heure.
• La piste d’audit — l’enregistrement sous-jacent de ce qui a changé, avec les valeurs avant et après, l’utilisateur et la requête concernée.

Ni l’un ni l’autre n’a d’intérêt jusqu’au jour où un chiffre est faux. Ils font alors la différence entre une discussion sur des faits et une discussion sur des souvenirs. C’est aussi pourquoi une écriture comptabilisée est extournée et non modifiée : un historique modifiable ne répond à rien.

Les règles qui tiennent l’ensemble

Trois habitudes valent mieux que n’importe quelle matrice de droits :

1. Une personne, un compte. Un identifiant « caissier1 » partagé signifie que chaque annulation, remboursement et remise n’appartient à personne. Si vous ne retenez qu’une chose, retenez celle-là.
2. Une validation sur les actions qui déplacent de l’argent. Annulations, remboursements et remises au-delà d’un seuil doivent passer par un responsable. Pas parce que le personnel vole : parce qu’un second regard attrape aussi les erreurs honnêtes.
3. Retirez les accès le jour du départ. Un offboarding, ce n’est pas seulement rendre une tenue.

Ce qui protège le compte lui-même

Sous les rôles se trouvent les défenses ordinaires : mots de passe hachés, verrouillage du compte après cinq tentatives de connexion échouées, sessions révocables appareil par appareil, jetons de longue durée qui tournent au lieu de vivre éternellement. Les points sensibles sont limités en débit pour qu’un script ne puisse pas s’acharner sur la page de connexion.

Rien de tout cela n’est visible un jour normal, et c’est exactement ce qu’on attend.

Une configuration de départ raisonnable

Pour un site unique : un Administrateur (vous), un compte Caissier par caissier, un compte Cuisine par écran — et, si vous avez un comptable, un accès Comptable pour qu’il cesse de vous réclamer des exports.

Pour une chaîne : ajoutez un Responsable par site et résistez à la tentation d’un second Administrateur « pour aller plus vite ». C’est ainsi qu’une chaîne se retrouve avec quatre personnes capables de changer les prix et aucun moyen de savoir laquelle l’a fait.