Droits, plafond et dernier administrateur

Ce qu’un droit permet de donner, ce que JuniorManage refuse pour protéger la JE, et comment la connexion est gardée.

Dans JuniorManage, on ne peut donner à un autre membre que ce qu’on a soi-même, et la JE garde toujours quelqu’un capable de tout administrer. Cette page rassemble ces règles et les refus que vous pouvez rencontrer.

Rôles, droits et jokers

Un droit est une action sur une ressource, écrite comme dans la grille des rôles : « Factures : Émettre ». Un rôle réunit des droits. Un membre qui a plusieurs rôles cumule leurs droits, et aucune case n’interdit quoi que ce soit.

Droit	Ce qu’il donne
Une action sur une ressource	Cette seule action. Exemple : « Factures : Lire ».
Administration complète sur une ressource	Toutes les actions de cette ressource, y compris celles ajoutées plus tard. C’est le joker « gérer ».
Une action sur toutes les ressources	Cette action partout dans l’application. Dans les messages de refus, ce joker s’écrit « Tous les modules ».
Administration complète sur toutes les ressources	Tout. C’est le droit du Président à la création de la JE : celui qui le détient est le super-administrateur.

Le plafond : on ne donne que ce qu’on a

1Vous donnez un rôleDepuis la fiche d’un membre, une invitation ou la grille d’un rôle.
2ComparaisonJuniorManage compare chaque droit du rôle aux vôtres.Sinon : Un droit manque : le refus s’affiche et rien n’est enregistré.
3Tous couvertsVous détenez chacun de ces droits.
4Rôle attribuéLe membre ou l’invité le reçoit tout de suite.

Ce que JuniorManage vérifie avant d’attribuer un rôle.

Un rôle ne s’attribue que si vous en détenez tous les droits

Sans cette règle, un membre qui gère les rôles pourrait se donner le rôle Président, ou inviter une seconde adresse avec ce rôle.

Exemple : Léa, Secrétaire Général, veut donner le rôle Président à Yanis

Droits du rôle Président: Administration complète sur toutes les ressources
Droits de Léa: Documents, signatures, membres, journal, numérotation
Droit que Léa n’a pas: Tout le reste, comptabilité et CRM compris

Léa ne peut pas attribuer ce rôle. Le Président, qui détient tous les droits, n’est jamais limité.

Ce qui se passe si la règle n'est pas respectée

À l’attribution, à l’invitation, à son renvoi et à la copie de son lien : « Ce rôle donne des droits que vous n’avez pas. Seul un membre qui les détient tous peut l’attribuer. »
Dans la grille d’un rôle : « Vous ne pouvez pas ajouter à un rôle des droits que vous n’avez pas : », suivi du nom de chaque droit manquant, par exemple Factures : Émettre.

Geste	Droit nécessaire	Ce que le plafond compare
Attribuer un rôle à un membre	Rôles : Assigner	Tous les droits du rôle attribué.
Inviter avec un rôle, renvoyer l’invitation, copier son lien	Utilisateurs : Inviter	Tous les droits du rôle de l’invitation.
Enregistrer la grille d’un rôle	Rôles : Administration complète	Seulement les droits que vous ajoutez. Décocher reste toujours possible.
Créer un lien de réinitialisation de mot de passe	Utilisateurs : Réinitialiser le mot de passe	Tous les droits du membre concerné.

Quand le refus tombe, demandez à un membre qui détient tous ces droits, le président en général, de faire le geste à votre place. Pour les détails des écrans, voir Créer un rôle et régler ses droits et Inviter un membre.

Le dernier super-administrateur

1Vous retirezUn rôle, une case de la grille, ou le compte d’un membre.
2SimulationJuniorManage regarde qui resterait avec l’administration complète.
3Il en reste unAu moins un membre actif garde tout.Sinon : Personne ne resterait : l’opération est refusée.
4Écriture faiteLe changement est enregistré.

JuniorManage simule l’écriture avant de la faire.

La JE garde toujours un membre actif qui a l’administration complète

Sans lui, plus personne ne pourrait attribuer les rôles ni réactiver un compte.

Exemple : Camille est la seule Présidente active

Membres actifs avec l’administration complète: 1 (Camille)
Vous tentez de: La désactiver, la retirer de la JE, lui retirer le rôle Président, ou décocher les jokers du rôle

Les quatre gestes sont refusés tant qu’un autre membre actif n’a pas reçu un rôle d’administration complète.

Ce qui se passe si la règle n'est pas respectée

Désactiver ou retirer ce membre : « C’est le dernier membre actif qui a l’administration complète. Donnez ce rôle à un autre membre d’abord. »
Lui retirer le rôle : « Ce rôle est la dernière administration complète détenue par un membre actif », avec la marche à suivre.
Décocher les jokers du rôle : « Ce rôle porte la dernière administration complète d’un membre actif », avec la marche à suivre.
Décocher la gestion des rôles sur tous les rôles : « Au moins un rôle doit conserver la gestion des rôles ».

On ne retire pas ses propres rôles : « Vous ne pouvez pas retirer vos propres rôles. Demandez à un autre membre qui gère les rôles de le faire. »
On ne se désactive pas et on ne se retire pas soi-même : « Vous ne pouvez pas faire cette action sur votre propre compte. »
On ne désactive pas le président désigné de la JE : « Ce membre est le président de la JE. Choisissez d’abord un autre président dans Paramètres, Organisation. »
Un membre garde au moins un rôle : le dernier ne se retire pas.

Le lien de réinitialisation du mot de passe

1Vous créez le lienMenu du membre, Réinitialiser le mot de passe, Créer le lien.
2Contrôle des droitsLe membre ne doit détenir aucun droit que vous n’avez pas.Sinon : « Ce membre a des droits que vous n’avez pas. Seul un membre qui les détient tous peut réinitialiser son mot de passe. »
3Vous le transmettezLe lien ne s’affiche qu’une fois : copiez-le et envoyez-le en privé.
4Le membre l’ouvreLes mêmes conditions sont revérifiées à ce moment.Sinon : Si les droits ont changé entre-temps ou si vous avez quitté la JE, le lien est refusé : « Ce lien n’est plus valable », avec qui demander.
5Nouveau mot de passeSes autres sessions se ferment au plus tard cinq minutes plus tard.

JuniorManage n’envoie aucun e-mail : le lien passe par vos mains.

Le lien est valable 48 heures et ne sert qu’une fois.
Créer un nouveau lien annule les précédents.
Il faut le droit Utilisateurs : Réinitialiser le mot de passe. Le lien permet de se connecter au compte : voilà pourquoi vous ne pouvez pas en créer un pour un membre plus puissant que vous.
Pour votre propre compte, le message est « Changez votre propre mot de passe depuis votre profil. » Un compte désactivé n’en reçoit pas : « Ce compte est désactivé : il ne pourrait pas se connecter. »

Les pages protégées

Une page qui montre des données vérifie votre droit de lecture avant de charger quoi que ce soit. Sans le droit, elle affiche Accès refusé et rien de la fiche ne parvient à votre navigateur.

Ce que vous lisez	Ce que vous voyez
Une page dont le droit est connu	Une phrase de la forme : Pour consulter l’espace de stockage, votre rôle doit comporter le droit Organisation : Lire. Le droit est écrit comme dans la grille des rôles.
Une page sans précision	La phrase « Votre rôle ne donne pas accès à cette page. »

Dans les deux cas, l’écran ajoute qui demander : un membre qui gère les rôles de votre JE, le président en général, ajoute le droit à votre rôle ou vous attribue un rôle qui le porte. Le bouton Retour au tableau de bord ramène à l’accueil.

La connexion

Règle	Valeur	Ce qui se passe
Essais par adresse e-mail	10 en 15 minutes	« Trop de tentatives de connexion. Réessayez dans N minutes. », avec le conseil de demander un lien de réinitialisation.
Essais depuis une même adresse IP	30 en une minute	Le même message.
Adresse inconnue ou mot de passe faux	À chaque essai	« Email ou mot de passe incorrect », identique dans les deux cas : on ne peut pas deviner quelles adresses ont un compte.
Compte désactivé	Après le bon mot de passe	« Ce compte a été désactivé. Contactez un administrateur. »
Durée d’une session	7 jours au plus	Au-delà, il faut se reconnecter.
Revérification du compte	Toutes les 5 minutes	Un compte désactivé ou un mot de passe changé depuis la connexion ferme la session.
Mot de passe	8 caractères au moins	Une majuscule et un chiffre au minimum.