Chaque nouvel outil SaaS élargit votre surface : données hébergées ailleurs, OAuth, facturation, sous-traitants. Vous n’éviterez pas le SaaS — vous pouvez éviter d’acheter à l’aveugle. Cette checklist sert avant d’entrer la carte bleue, pas après le lock-in.
L’objectif n’est pas un RFP de 40 pages. C’est dix questions utiles et le courage d’écarter un outil sexy qui échoue aux évidences.
Disclaimer : article de sensibilisation. Blackwall Security n’est pas un cabinet juridique ni un prestataire d’audit ou de réponse à incident.
Avant l’essai : besoin et données
Quelle donnée va y entrer ? Publique, interne, personnelle client, secrets (clés API) ? Plus la sensibilité monte, plus les exigences montent. Si l’outil n’a besoin que de métadonnées, n’y sync pas toute la CRM « pour voir ».
Qui l’utilisera ? Solo, équipe, freelances ? Le modèle d’accès doit permettre la révocation individuelle. Un siège partagé « marketing@ » est une dette d’offboarding garantie.
Checklist sécurité
- SSO/SAML ou MFA obligatoire pour tous
- Journal d’audit connexions/exports
- Rôles granulaires (pas tous admin)
- HTTPS + chiffrement au repos documenté
- Export de vos données (CSV/API)
- Hébergement / sous-traitance documentés (région UE si besoin)
- Page status + contact sécurité
- Scopes OAuth minimaux
- Suppression compte/données documentée
- Transparence sur incidents passés
Signaux d’alerte
Pas de MFA. Mot de passe envoyé en clair. Support qui demande votre secret. OAuth « lire tout Drive ». Zéro doc sécurité. Prix imbattable avec zéro hygiène identité.
Pendant l’évaluation
Compte d’essai sur email pro non-admin. Testez MFA, défauts de partage, révocation user. Demandez un DPA si PII clients (UE). Vérifiez ce qui reste après suppression (tokens, webhooks, copies).
Après l’achat
Inventaire d’accès, admins limités, intégrations inutiles off, revue trimestrielle sièges et tokens. Croisez risque fournisseurs et réglages Workspace/365.
Quand dire non
Prod, paiements ou données clients sensibles + échec MFA/rôles/export = cherchez ailleurs. Documentez en une ligne l’acceptation (« MFA ok, UE, DPA, owner=X »). À l’upgrade de plan, revérifiez SSO/logs — souvent le contrôle manquant était dans l’offre supérieure.
Choisir un SaaS, c’est choisir un partenaire de risque. Le playbook couches 3 et 5 reste votre boussole.
Pour aller plus loin
Revenez au Guide sécurité pour fondateurs pour situer ce sujet dans la séquence des contrôles. Croisez avec la stack minimale : si les bases identité / appareils / sauvegardes manquent, traitez-les avant d’optimiser le détail.
Si votre contexte sort du cadre (secteur régulé, clients enterprise exigeants, incident en cours), passez par la page Contact pour suggérer un guide — et pour un incident live, faites appel à un spécialiste. Ce texte reste de la sensibilisation pragmatique, pas une prestation.
Enfin, bloquez 45 minutes dans le calendrier cette semaine pour appliquer au moins une action concrète de cet article. La lecture sans passage à l’acte n’améliore pas votre posture — l’habitude, si.