Séparer le travail client sur macOS et réduire les confusions de comptes

Commencer par l’erreur à empêcher

« Séparer les clients » peut désigner plusieurs objectifs :

• empêcher un opérateur de publier, d’acheter ou de modifier des paramètres dans le mauvais compte client ;
• empêcher une personne de voir les fichiers locaux ou l’historique de navigation d’une autre ;
• empêcher les identifiants, téléchargements, extensions ou notifications de franchir la limite d’un client ;
• limiter les dommages après la perte ou la compromission d’un Mac ; ou
• satisfaire l’exigence contractuelle d’un client concernant un environnement dédié.

Aucun changement de profil ne résout à lui seul ces cinq problèmes. Choisissez la limite selon les conséquences d’une défaillance, pas selon le nombre de comptes.

Quatre niveaux de séparation utiles

Limite	Utile pour	Ce qu’elle n’établit pas
Fenêtre, groupe d’onglets ou espace de travail	Organisation visuelle dans un même contexte de navigation	Cookies, identifiants, fichiers, extensions ou droits d’accès séparés
Profil de navigateur	Réduire les confusions de sessions et d’historiques pour un opérateur de confiance	Protection contre une autre personne pouvant utiliser le même compte macOS
Utilisateur macOS distinct	Séparer le dossier personnel, les paramètres de compte et la session de connexion de chaque personne	Protection contre les administrateurs, un système d’exploitation compromis ou les risques liés au réseau et au matériel partagés
Appareil géré dédié ou machine virtuelle approuvée	Travail à fort impact ou contractuellement isolé	Autorisation du client, immunité contre la compromission ou acceptation garantie par un tiers

Les profils de navigateur sont utiles, mais leur limite exacte dépend du produit. Safari 17 et versions ultérieures sépare par profil l’historique, les cookies, les données de sites, les groupes d’onglets et certains choix d’extensions. Apple précise aussi que les informations de remplissage automatique et de l’app Mots de passe, les réglages de sécurité, les réglages des sites web et les réglages de confidentialité sont partagés entre les profils Safari. Les signets restent accessibles dans le menu Signets ou la barre latérale de tous les profils. Examinez le comportement complet des profils Safari avant de les utiliser pour un travail client.

Chrome sépare également les favoris, l’historique, les mots de passe et les paramètres par profil. Google avertit explicitement qu’une personne ayant accès à l’appareil peut passer à un autre profil Chrome et consulter ses informations. Un profil Chrome constitue donc un mécanisme pratique de séparation de l’état, et non un contrôle d’accès entre personnes. Consultez les recommandations de Google sur les profils Chrome.

Au niveau du stockage, Chromium place les profils dans des sous-répertoires d’un répertoire de données utilisateur qui contient aussi un état local propre à l’installation. Ce point compte pour la conception de sauvegardes ou de lanceurs personnalisés : un nom de profil visible ne constitue pas toute la limite de stockage. La documentation de Chromium sur le répertoire de données utilisateur explique cette structure.

Choisir une limite adaptée au flux réel

Un opérateur de confiance, plusieurs comptes clients à moindre impact

Utilisez un profil de navigateur clairement nommé par client lorsque le principal risque est de confondre accidentellement les sessions et que la même personne de confiance est autorisée à utiliser tous les comptes. Conservez un nombre de profils raisonnable pour pouvoir les examiner et les maintenir. Une couleur ou une icône doit être reprise dans le nom du profil, le thème du navigateur, le dossier de favoris et le dossier de téléchargement approuvé.

Ce modèle ne suffit pas si un coffre de mots de passe partagé, un certificat du système d’exploitation, un lien externe, une extension ou un fichier local rompt la limite requise.

Plusieurs personnes partagent un Mac

Attribuez un compte macOS individuel à chaque personne. Apple recommande un compte distinct pour chacun afin de personnaliser les réglages sans affecter les autres. Pour le travail courant, un compte standard constitue généralement le bon point de départ, car il ne permet ni d’ajouter des utilisateurs ni de modifier les réglages d’autres utilisateurs. Apple documente les types de comptes et leurs limites dans Add a user or group on Mac.

Ne partagez ni une connexion macOS ni un mot de passe administrateur pour effectuer un transfert. La permutation rapide d’utilisateur d’Apple peut réduire la gêne liée aux comptes individuels, mais chacun doit toujours s’authentifier avec son propre compte.

Travail à fort impact, réglementé ou contractuellement dédié

Demandez au client ou au responsable de la sécurité si la limite approuvée est un compte macOS géré, une machine virtuelle ou un appareil distinct. Consignez les responsables des mises à jour, de la protection des terminaux, des sauvegardes, de l’effacement à distance, des certificats et de l’accès administrateur. Sans ces contrôles, un appareil dédié peut créer davantage de risques non gérés malgré son apparente séparation.

Traiter le profil comme une limite de travail complète

Une icône de profil ne peut pas, à elle seule, empêcher une confusion. Examinez chaque chemin par lequel le contexte client entre dans le navigateur ou en sort.

Identité et authentification

Utilisez le processus de gestion des identités et des identifiants approuvé par le client. Évitez de partager des mots de passe bruts, des cookies de session, des codes à usage unique ou des clés d’accès entre personnes. Consignez le propriétaire et le chemin de récupération de chaque compte sans placer le secret dans une feuille de calcul ou une note de profil.

Sur macOS, les mots de passe, clés d’accès et codes de validation peuvent résider dans l’app Mots de passe et se synchroniser par le trousseau iCloud lorsque celui-ci est activé. Apple décrit cet espace au niveau du système dans Use passwords on your Mac. Si les identifiants des clients doivent être isolés les uns des autres, testez directement les limites du fournisseur de mots de passe et du remplissage automatique. Ne supposez pas qu’un profil de navigateur crée un trousseau distinct.

Fichiers, presse-papiers et captures d’écran

Choisissez un emplacement de téléchargement approuvé pour chaque client, avec des règles claires de conservation et de partage. Testez les téléversements autant que les téléchargements, car un sélecteur de fichiers peut exposer une grande partie du dossier personnel macOS. Le presse-papiers et les outils de capture d’écran sont des ressources du système d’exploitation au sein d’une même session utilisateur ; les profils de navigateur ne les séparent pas.

Évitez d’inclure des identifiants de clients ou des secrets dans les noms de fichiers susceptibles d’apparaître dans les listes d’éléments récents, les sauvegardes, les partages d’écran ou les notifications.

Extensions et utilitaires natifs

N’installez que les extensions et applications auxiliaires approuvées pour le travail. Consignez les profils qui activent chaque extension et réexaminez son accès aux sites après les mises à jour. Safari rend les extensions disponibles pour tous les profils, mais permet de les activer ou de les désactiver par profil ; leur désinstallation affecte tous les profils. Les autres navigateurs ont des comportements différents.

Paramètres réseau

Utilisez uniquement une configuration de VPN, proxy, DNS et certificat approuvée par le client. Un profil de navigateur ne sépare pas automatiquement le DNS du système, la visibilité sur le réseau local, la posture de l’appareil ou un VPN à l’échelle du système. Testez le routage et le comportement en cas de défaillance sans chercher à dissimuler ou à dénaturer les autorisations de l’opérateur.

Liens ouverts depuis d’autres applications

Les e-mails, messageries, gestionnaires de mots de passe et applications de bureau peuvent ouvrir un lien dans un contexte de navigateur inattendu. Safari peut associer des sites web à un profil, mais Apple précise qu’un lien externe peut rester dans un autre profil si le site y est déjà ouvert. Incluez les liens externes et les rappels d’authentification dans le test du flux.

Transferts

Transférez la responsabilité par le système d’accès approuvé du client. Préférez la réattribution, la modification des rôles et une nouvelle authentification à la copie d’une session active du navigateur. L’opérateur sortant doit perdre son accès par le fournisseur d’identité ou le service, et non par la simple suppression d’un raccourci local.

Utiliser une courte vérification avant l’action

Avant une action lourde de conséquences, l’opérateur doit pouvoir répondre à cinq questions à partir d’éléments visibles :

1. Quel client a autorisé ce travail ?
2. Quel profil de navigateur ou compte macOS est actif ?
3. Quel compte de service est connecté ?
4. Quel objet, campagne, magasin, dépôt ou locataire va être modifié ?
5. Où le résultat, le téléchargement ou le message sera-t-il envoyé ?

Pour une action à fort impact, ajoutez un aperçu ou l’approbation d’une seconde personne. Une nouvelle authentification peut aussi créer une pause utile. Ces contrôles réduisent les erreurs humaines ; aucun ne garantit qu’une erreur ne puisse se produire.

Tester la limite sans données client

Créez des comptes synthétiques et des marqueurs inoffensifs qui reproduisent le flux réel. N’utilisez aucun cookie ou identifiant de production, dossier client ou capture d’écran.

Vérifiez que :

• un nouveau profil commence déconnecté du compte synthétique utilisé dans un autre profil ;
• le remplissage automatique ne propose pas un identifiant client non autorisé ;
• les liens externes et les rappels de connexion s’ouvrent dans le contexte attendu ;
• les téléchargements et téléversements utilisent l’emplacement approuvé prévu ;
• les extensions ne sont activées que là où elles sont approuvées ;
• les notifications identifient clairement le client et le compte sans exposer de contenu sensible ;
• la fermeture puis la réouverture du navigateur ne conserve que l’état attendu ; et
• une autre personne ne peut pas accéder au compte macOS sans s’authentifier.

Répétez le test après toute évolution majeure du navigateur, de macOS, du gestionnaire de mots de passe, des extensions ou de la gestion des appareils. Consignez les versions et les contrôles qui échouent. Une liste de contrôle sans historique d’échecs ne peut pas montrer que la limite fonctionne encore.

Limites restantes

Les profils de navigateur ne créent pas l’anonymat, ne modifient pas les règles d’un service et ne garantissent pas un accès ininterrompu aux comptes. Des comptes macOS distincts partagent toujours un système d’exploitation, des administrateurs, le matériel et le réseau. Un terminal compromis peut observer les données après le déverrouillage par la personne autorisée.

FileVault protège les données du disque de démarrage contre certains scénarios d’accès hors ligne. Il ne sépare pas deux profils de navigateur dans un compte macOS déjà déverrouillé. Apple explique la protection et les choix de récupération dans Protect data on your Mac with FileVault.

Enfin, vérifiez si le profil de navigateur se synchronise. Les profils Safari peuvent se synchroniser par iCloud lorsque Safari est activé pour le même compte Apple, tandis que les données Chrome peuvent être enregistrées dans un compte Google. Un profil d’apparence locale peut donc posséder une limite cloud que l’équipe doit examiner.