Réutiliser un email : bonne ou mauvaise idée ?

Le bon usage veut que les emails de vos collaborateurs correspondent à leur nom, avec ou sans initiale ou prénom. Pour des raisons évidentes, les emails doivent être uniques à un instant T.
L’authentification moderne utilise cette adresse email pour identifier les utilisateurs et permettre leur connexion à différentes applications. Enfin, c’est ce que tout le monde pense, mais c’est une erreur sur le fond.

En réalité, les authentifications modernes utilisent une clé unique, tant pour la personne que pour l’organisation. Dans l’univers Microsoft, il s’agit d’une autre propriété de l’email : l’User Principal Name (UPN). Dans d’autres cas, l’effort n’est même pas fait pour proposer un champ distinct.

Et même lorsque la distinction est possible, dans l’immense majorité des cas, cette clé a la même valeur que l’adresse email.

Le problème de cette clé est qu’elle valide uniquement un compte qui peut déjà préexister.

Maintenant, imaginons quelques cas de figure usuels :

On pense bien sûr à désactiver son compte, ainsi que les comptes utilisés dans les applications d’entreprise, et, en toute logique, à détruire sa boîte mail. Mais déjà à ce stade, il arrive souvent que la boîte mail soit conservée pour permettre l’accès aux anciens messages, ou que l’adresse soit réutilisée comme alias pour un remplaçant ou un manager. Nous nous retrouvons alors avec un email inutilisable.

Il faut avant tout s’assurer qu’il s’agit bien de la même personne, ce qui n’est pas toujours simple dans une organisation de grande taille.
Si le compte a été désactivé, l’utilisateur retrouvera son historique et ses accès.
Si le compte a été supprimé, il faudra le recréer.
Rien de choquant dans tout cela, c’est même plutôt pratique.

On souhaite lui donner accès à son adresse légitime.
Mais si cette adresse a déjà été utilisée et simplement désactivée, elle restera bloquée. Il faudra alors expliquer au nouveau collaborateur qu’il ne peut pas en disposer — c’est dommage, mais cela reste la meilleure option.

En effet, si vous lui attribuez l’adresse précédente, vous vous exposez à plusieurs risques :

• Il pourrait accéder à une boîte mail qui ne le concerne pas.
• Il pourrait hériter de droits qui ne lui sont pas destinés.
• Il pourrait recevoir, à l’avenir, des emails qui ne lui sont pas destinés et être contacté à la place de l’ancien collaborateur.
• Et surtout, son email pourrait lui donner accès à tous les comptes créés avec cette adresse, soit en réinitialisant le mot de passe pour des comptes classiques, soit sans aucun contrôle pour les comptes utilisant une authentification moderne (SSO, OpenID ou SAML).

Alors, ne réutilisez jamais une adresse email sans être totalement sûr qu’il s’agit bien de la même personne !

Ces articles pourraient vous intéresser :

L’entrée d’un nouveau collaborateur

Les petits tracas de la clé de réconciliation
Une clé sans serrure

Olivier Piochaud, Président Directeur Général d’Apsynet