Habitudes de navigateur pour une équipe de deux à dix

Une équipe de deux à dix personnes vit dans le navigateur. Le courrier, les factures, le produit, les fichiers du client et le mot de passe que vous comptiez finir plus tard partagent la même fenêtre. C'est commode jusqu'au moment où un onglet personnel, une extension oubliée ou une page de connexion imitée partagent cette fenêtre aussi. Vous n'avez pas besoin d'une sélection d'extensions à la mode, ni d'un programme de sécurité avec un logo. Vous avez besoin d'habitudes qui restent vraies quand tout le monde est occupé. Aucune n'exige un nouveau fournisseur. Toutes échouent en silence si personne ne s'en estime responsable.

Choisissez cette semaine un moment de vingt minutes, à deux si vous le pouvez, pour poser ces habitudes une fois. Pas une charte, pas un outil de plus : un profil de travail, une liste d'extensions, une règle de mise à jour, un réflexe devant les pages de connexion, et une façon de partager des liens sans partager des secrets. Écrivez le résultat dans le même document que vos autres rituels d'équipe. Si la note ne tient pas sur une page, elle est déjà trop longue pour être tenue un vendredi chargé.

Cas : séparer le navigateur du client et le navigateur du studio

Leila se connecte au tableau de bord d’un client dans le même profil que la banque du studio. Un gestionnaire de mots de passe propose alors le mot de passe du client sur le site de la banque. Vous créez le jour même deux profils nommés « studio » et « client-nord ». Le profil client ne reçoit pas l’extension de capture d’écran. La session du client se ferme quand l’onglet se ferme. Vous notez sur une fiche de quatre lignes qui a le droit d’ouvrir quel profil. La semaine suivante, un nouveau mot de passe n’est enregistré que dans le profil qui correspond au site.

Modèle à copier : la fiche des deux profils

• Profil studio : banque, hébergeur, messagerie du studio. Extensions : aucune capture d’écran.
• Profil client : uniquement les outils de ce client. La session se ferme avec la fenêtre.
• Interdit : le mot de passe du client proposé sur un site du studio.
• Revue : une fois par mois, toute extension sans usage nommé est retirée le jour même.

Donner au travail son propre profil

Le profil de navigateur est la séparation la moins chère que vous puissiez faire. Créez un profil réservé au travail, avec son icône, ses favoris et sa session. Le profil personnel garde les achats, les réseaux et les essais du week-end. Vous cessez de mélanger un cookie de boutique et une session d'administration. Sur un poste partagé, chacun a le sien, et le compte invité ne sert pas à « juste regarder un fichier ». Nommez les profils de façon ennuyeuse et claire : Travail, Perso. Les surnoms drôles deviennent illisibles quand quelqu'un d'autre doit dépanner. Écrivez ce nom dans la note d'équipe, avec la machine concernée, pour que le dépannage ne commence pas par une devinette.

Ouvrez le profil de travail au début de la journée et fermez-le quand vous quittez le travail, même si la machine reste allumée. Cette fermeture coupe des sessions que vous ne pensiez plus ouvertes. Elle empêche aussi qu'un proche, ou vous-même le soir, cliquiez dans le mauvais contexte. Si vous changez souvent de machine, ne reconstituez pas le profil à la main à chaque fois : connectez-le au compte que l'équipe a déjà décidé d'utiliser, et vérifiez que la synchronisation n'emporte pas les mots de passe vers un poste personnel. Le profil sépare les contextes. Il ne chiffre pas un secret à votre place. Si un mot de passe a déjà suivi le mauvais profil, retirez-le du compte synchronisé et changez-le.

• Un profil nommé Travail, distinct du profil personnel, sur chaque machine utilisée.
• Une fermeture du profil en fin de journée, pas seulement une fermeture de l'écran.
• Aucun compte d'administration ouvert dans un profil où vous lisez aussi le courrier personnel.
• Un nom de profil lisible par la personne qui devra dépanner dans six mois.

Justifier chaque extension qui reste

Chaque extension peut lire une part de ce que vous affichez. Certaines le disent clairement, d'autres le font parce que c'est le prix de leur fonction. Pour une petite équipe, la question n'est pas de tout interdire. C'est de pouvoir expliquer, en une phrase, pourquoi l'extension est encore là. « Elle était utile sur un projet en mars » n'est pas une raison. Tenez une liste courte, partagée, avec le nom, le rôle et la date de la dernière revue. Si personne ne peut dire ce que l'extension fait cette semaine, retirez-la. Vous pourrez la remettre le jour où le besoin revient, avec un motif frais. Notez la date du retrait : une extension qui revient trois fois mérite alors une vraie place dans la liste.

Méfiez-vous des extensions qui promettent de tout résumer, de tout traduire ou de tout remplir. Elles demandent souvent l'accès à toutes les pages, y compris votre banque, votre outil de paie et l'administration du client. Une extension utile sur un seul site peut être limitée à ce site. Prenez les deux minutes pour le faire. Évitez aussi d'installer, « pour essayer », un module envoyé par un message. Le fichier peut être le vrai outil, ou une copie. Passez par la boutique du navigateur, lisez qui l'édite, et décidez à deux si le gain du jour vaut l'accès demandé. Une liste de cinq extensions tenues vaut mieux qu'une barre encombrée dont plus personne ne connaît l'origine.

Installer les mises à jour sans les remettre

Le navigateur vous prévient quand une mise à jour est prête. Le bouton est facile à reporter, parce que vous êtes au milieu d'un formulaire ou d'un appel. Ce report devient une habitude, et l'habitude laisse ouverte une faille déjà corrigée chez les autres. Convenez d'une règle simple : quand la mise à jour du navigateur est proposée, elle est faite le jour même, au prochain creux, pas « vendredi ». Redémarrez vraiment. Une mise à jour téléchargée mais non appliquée ne protège rien. Le même geste vaut pour le système qui porte le navigateur, sinon vous soignez la fenêtre et pas la porte. Vérifiez le numéro de version affiché, pas seulement la disparition du point rouge.

Dites-le dans l'équipe sans en faire un sermon. Une phrase dans le rituel du lundi suffit : chacun confirme que son navigateur de travail est à jour. Si une machine traîne parce qu'un outil interne casse avec la nouvelle version, notez-le et donnez une date de sortie, pas un report sans fin. Les vieilles versions « le temps que ça se stabilise » restent souvent jusqu'à l'incident. Gardez une machine, ou un profil, pour vérifier qu'un site important s'ouvre encore après la mise à jour. Ce contrôle de cinq minutes est plus sûr que de figer tout le monde sur une version ancienne par peur d'un bouton qui aurait bougé.

S'arrêter devant une page de connexion inattendue

La plupart des vols de compte, dans une petite équipe, ne commencent pas par un exploit brillant. Ils commencent par une page qui ressemble au bon formulaire. Le lien est arrivé par courrier, par un document partagé ou par une publicité au-dessus des résultats. Le réflexe utile est l'arrêt, pas l'enquête. Vous ne cherchez pas à devenir expert en adresses trompeuses. Vous ne saisissez pas le mot de passe. Vous ouvrez vous-même le service depuis le favori que vous avez déjà, ou vous tapez l'adresse que vous connaissez. Si les deux chemins ne montrent pas la même demande de connexion, vous fermez l'onglet venu de l'extérieur. Ce détour prend moins de temps qu'un compte à récupérer le lendemain.

Prévenez les autres sans faire honte. Un message court, avec la capture du seul en-tête et sans le lien cliquable, suffit : « page de connexion inattendue au nom de notre outil de factures, je n'ai rien saisi ». Les autres sauront quoi ne pas ouvrir. Activez la vérification en deux étapes sur les comptes qui tiennent le courrier, la facturation, le nom de domaine et le dépôt de code. Un mot de passe volé sans ce second pas est moins utile. Rangez les codes de secours dans le coffre que l'équipe a choisi, pas dans un brouillon de messagerie. Et si vous avez saisi un mot de passe au mauvais endroit, changez-le tout de suite, puis dites-le. Le silence coûte plus cher que la gêne.

1. Ne saisissez pas un mot de passe depuis un lien reçu : ouvrez le service par votre favori.
2. Comparez l'adresse affichée avec celle que vous avez déjà utilisée, caractère par caractère s'il le faut.
3. Prévenez l'équipe sans renvoyer le lien, et sans moquer la personne qui a douté.
4. Si un secret a été tapé au mauvais endroit, changez-le et signalez-le le jour même.

Partager des liens, jamais un mot de passe en clair

Une liste de favoris partagée est une bonne idée. Elle évite que chacun reconstitue, de mémoire, l'adresse de l'administration, du suivi des incidents ou du dossier client. Tenez-la courte, classée par travail, et retirez les liens morts quand vous les croisez. Un favori n'est pas un accès. Il mène à une page qui demandera encore une identité. C'est précisément ce que vous voulez. La personne clique, s'authentifie avec son compte, et vous pouvez retirer ce compte le jour où elle part, sans changer le lien pour les autres. Rangez cette liste avec la note du profil de travail, et retirez chaque mois, sans les laisser traîner, les liens que plus personne n'ouvre.

Le mot de passe, lui, ne se colle pas dans une note, un ticket, un message ou un document « temporaire ». Le temporaire reste. Utilisez le gestionnaire que l'équipe a déjà, ou, si vous n'en avez pas, décidez-en un cette semaine et déplacez d'abord les comptes qui font mal en cas de perte : courrier, banque, domaine, hébergement, outil client. Chacun a son propre accès quand l'outil le permet. Les comptes partagés, quand ils sont inévitables, vivent dans le coffre, avec un propriétaire nommé qui peut les changer. Lire un mot de passe à voix haute dans un bureau partagé, ou le laisser sur un papier sous le clavier, annule le reste de la liste. Traitez cette exception comme une panne, pas comme une coutume.

Refermer les sessions sur un poste partagé

Dans une petite équipe, la machine de la réception, l'ordinateur de la salle ou l'écran d'un associé sert à plusieurs personnes dans la même journée. Le danger n'est pas spectaculaire. C'est la session de courrier laissée ouverte, l'administration encore connectée, le document du client précédent dans l'historique. Avant de vous lever, déconnectez les comptes qui ne sont pas les vôtres et fermez le profil. Vider l'historique d'une machine partagée peut faire partie du geste, surtout si des adresses de clients y passent. Ne comptez pas sur la personne suivante pour le remarquer. Elle aura son propre travail en tête. Faites-en le dernier geste, après avoir rangé le fichier, pas une intention oubliée dans le couloir.

Si vous prêtez votre machine une heure, prêtez une session invitée, pas votre profil de travail déverrouillé. Montrez où se trouvent les fichiers dont l'autre a besoin, puis restez responsable de ce qui reste ouvert. Au retour, jetez un œil aux onglets et aux téléchargements. Un fichier client enregistré dans Téléchargements, sur un bureau qui sert aussi à autre chose, n'est pas rangé. Déplacez-le dans le dossier du projet et supprimez la copie. Ce rangement de deux minutes est la version navigateur d'une règle plus large : ce qui traîne sur un poste partagé finit par être vu par la mauvaise personne, sans mauvaise intention. Si le poste sert aussi à un client, ce geste n'est plus optionnel.

Revoir ces habitudes une fois par mois

Une habitude que personne ne regarde redevient un souhait. Mettez vingt minutes au calendrier, le même jour chaque mois, avec un responsable tournant. L'ordre du jour tient en cinq questions. Le profil de travail est-il encore distinct ? La liste d'extensions a-t-elle grandi sans raison ? Les navigateurs sont-ils à jour ? Un lien douteux a-t-il circulé sans que l'équipe sache quoi faire ? Un mot de passe a-t-il été collé quelque part où il ne devait pas ? Notez les réponses en trois lignes. Vous n'écrivez pas un rapport. Vous empêchez la liste de pourrir. Si une question revient rouge deux mois de suite, ce n'est plus un oubli : c'est une règle trop lourde, et vous la simplifiez.

Profitez de cette revue pour retirer les accès des personnes qui sont parties, y compris les essais et les stagiaires de passage. Le navigateur n'est que la porte. Les comptes derrière, eux, restent ouverts tant que personne ne les ferme. Vérifiez le courrier de l'équipe, l'hébergeur, le nom de domaine, l'outil de factures et le dépôt de code. Cinq comptes, pas cinquante. Quand le geste est court, il se fait. Quand il exige un tableur, il attend l'incident. Laissez dans le document partagé le nom de la personne de garde et la date de la prochaine revue. Un nouveau venu doit pouvoir suivre la page sans vous demander où sont les règles.

Vous n'avez rien à acheter pour commencer. Séparez le profil, rayez une extension que vous ne savez plus justifier, installez la mise à jour qui attend, et mettez la revue de vingt minutes au calendrier. Le navigateur restera votre outil principal. Autant qu'il cesse d'être un tiroir commun où tout le monde entre sans frapper.