Fonctionnement des décisions d'accès

Sur cette page

Cette page explique le modèle derrière chaque déverrouillage : qui peut franchir une porte, dans quel ordre les vérifications s'exécutent, et comment les Access Policies, les autorisations et les contrôles de sécurité interagissent. Lisez-la en premier : toutes les autres pages s'appuient sur ces concepts.

Les voies d'autorisation cumulatives

Un utilisateur peut être autorisé à franchir une porte par n'importe quelle voie de politique ou d'autorisation. Satisfaire une seule voie suffit ; une voie ne retire jamais un accès accordé par une autre.

Voie	Description	Où la configurer
Access Policies	Plusieurs politiques nommées qui ne font qu'autoriser. Chaque politique définit Who, Where et When.	Settings → Access Policies
Autorisations permanentes	Autorisations explicites pour une personne : à l'échelle de l'installation, pour des portes sélectionnées ou pour des Access Scopes sélectionnées, éventuellement avec leurs propres horaires.	Users → ouvrir un utilisateur → Access Control → Additional permanent access
Access Time Windows	Accès temporaire géré par un administrateur pour une personne et des cibles sélectionnées (installation, porte ou portée).	Users → ouvrir un utilisateur → Access Time Windows
Access Time Windows d'intégration	Fenêtres source en lecture seule pour une personne synchronisée, mappées à partir de clés de portée logiques de la source.	Données source et mappages de Settings → Sync settings

Une politique ne correspond que lorsque Who ET Where ET When correspondent. Les politiques sont combinées par un OU. Dans Who, les conditions de type de personne ou de statut et les tags sont des alternatives ; dans When, les fenêtres Weekly et One-time sont des alternatives. Where peut inclure toutes les portes de l'installation, des Access Scopes, des portes individuelles et des exclusions.

Exemple : une politique « Active members » peut couvrir la portée Front entrances en mode Anytime, tandis qu'une politique « Staff » distincte couvre toutes les portes de l'installation sauf le local technique. Un agent d'entretien qui ne correspond à aucune des deux peut tout de même recevoir une autorisation permanente pour la portée Service entries.

Les autorisations permanentes et les fenêtres d'administrateur ou d'intégration restent distinctes et cumulatives. Les modifications de politiques et l'import automatique ne les absorbent ni ne les suppriment.

Le personnel Performance Hub synchronisé dans Users obtient l'accès aux portes via la politique modifiable Performance Hub staff, comme pour toute autre politique. Consultez Synchronisation et intégrations.

La séquence de décision complète

Lorsqu'un utilisateur appuie sur Unlock dans l'application mobile, le serveur effectue les vérifications suivantes, dans cet ordre. La première vérification en échec refuse le déverrouillage et enregistre le motif dans les Journaux d'accès.

L'accès de l'utilisateur est-il activé ? Le commutateur Access enabled sur la ligne de l'utilisateur dans Users est un coupe-circuit administrateur. Les utilisateurs supprimés, désactivés ou bloqués par la synchronisation ne peuvent pas déverrouiller, quelles que soient les politiques ou les autorisations. (Par exemple : access_disabled.)
La porte est-elle bloquée ou en maintenance ? Un blockAllAccess explicite refuse toutes les voies d'accès des membres. Le mode maintenance Force closed maintient la porte verrouillée et hors service pour les membres ; Force open maintient la porte déverrouillée. Les administrateurs peuvent déverrouiller une porte à distance ; chaque déverrouillage administrateur est enregistré dans les Journaux d'accès.
Une voie d'autorisation cumulative est-elle satisfaite ?
- Voie des politiques : toute politique nommée activée dont Who, Where et When correspondent tous autorise l'accès.
- Voie des autorisations permanentes : une autorisation portant sur l'installation, la porte ou une Access Scope contenant la porte autorise l'accès lorsque ses horaires facultatifs correspondent.
- Voie des fenêtres utilisateur : une Access Time Window gérée par un administrateur est active et cible cette porte, l'installation ou une Access Scope contenant la porte.
- Voie des fenêtres d'intégration : une fenêtre source à jour est active et son mappage scope_key configuré cible cette porte. Les fenêtres source obsolètes ou non mappées sont refusées par défaut.
- Si aucune n'est satisfaite → refusé (no_matching_policy_or_grant)
Vérification de la geofence (si elle est activée). À partir de la position signalée par le téléphone :
- Si le téléphone n'a pas pu fournir de position → refusé (location_unavailable)
- Si la mesure GPS est moins précise que le paramètre Require GPS accuracy better than → refusé (gps_too_imprecise)
- Si la distance entre l'utilisateur et le centre de la geofence dépasse rayon + précision GPS + marge de précision → refusé (outside_geofence)
- Le serveur fait foi : une position falsifiée sur le téléphone est tout de même rejetée côté serveur.
Le contrôleur de porte est-il en ligne ? Si le contrôleur ne s'est pas signalé (signal de présence au cours des 5 dernières minutes), le déverrouillage ne peut pas être transmis (device_offline). Si la commande est envoyée mais que le contrôleur ne la confirme pas, l'événement est enregistré comme Timed out.
Déverrouillage. Le relais se libère pendant la Hold time de la porte (de 1 à 30 secondes, 10 par défaut), puis se reverrouille automatiquement. L'événement est enregistré comme Confirmed unlocked dès que le contrôleur le confirme.

Les fenêtres One-time et les fenêtres Weekly bornées utilisent des bornes entières en secondes Unix et des intervalles semi-ouverts [from, to) : le début est inclus et la fin ne l'est pas. Les plages Weekly utilisent le fuseau horaire IANA déclaré et les règles locales d'heure murale et d'heure d'été. Consultez Plannings des Access Policies.

Les nouveaux clients reçoivent le détail outside_access_time_window ainsi que la prochaine disponibilité structurée pour une porte accessible uniquement lors d'une fenêtre future. Pendant la période de transition pour la compatibilité, les anciens clients continuent de recevoir outside_access_hours comme motif principal, afin que la porte reste désactivée en toute sécurité et visible.

Configuration existante

La configuration d'accès existante est importée automatiquement dans les Access Policies. L'import conserve les personnes qui avaient accès, les portes ou Access Scopes qu'elles pouvaient utiliser et les horaires applicables, sous forme de valeurs Who, Where et When dans les politiques. Les administrateurs gèrent directement les politiques obtenues ; il n'existe ni mode de déploiement ni procédure de conversion manuelle.

L'héritage de la geofence reste indépendant des Access Policies. Les correspondances de politique passent toujours par la geofence effective et par tous les autres contrôles de sécurité et d'appareil.

La connexion à l'application mobile (code à usage unique par SMS ou par e-mail) sert uniquement à l'authentification : elle prouve l'identité de l'utilisateur. Elle n'accorde pas à elle seule l'accès aux portes. Chaque déverrouillage est autorisé individuellement selon la séquence de décision ci-dessus. Un utilisateur peut être connecté à l'application et voir tout de même « You don't have access to this door. »

Glossaire

Terme	Définition
Contrôleur de porte	L'appareil associé à une porte ou à un portail qui actionne le relais de la serrure. Apparaît comme une « porte » dans ce module et comme un appareil dans Gestion d'appareils.
Porte	Un contrôleur de porte enregistré dans votre installation, avec un nom, une étiquette d'emplacement, une icône et des paramètres.
Ligne utilisateur	La fiche d'une personne dans cette installation, dans l'onglet Users. Créée manuellement, par import CSV ou par synchronisation. Contient les identifiants de contact, le type, le statut, les tags, les autorisations et l'état de l'application.
Source	L'origine d'une ligne utilisateur : Manually added, External Integration, CCTV/Computer Vision ou Performance Hub staff.
Access Policy	Une politique nommée qui ne fait qu'autoriser, contenant Who, Where et When. Les trois doivent correspondre ; les politiques sont combinées par un OU.
Condition de type de personne	Une condition Who de politique contenant un type de personne et, éventuellement, des statuts d'adhésion. Aucun statut signifie n'importe quel statut.
Tag	Une étiquette attribuée à un utilisateur. Les tags synchronisés proviennent de l'intégration et sont écrasés à chaque synchronisation ; les tags personnalisés sont gérés par les administrateurs et ne sont jamais écrasés. Les deux peuvent satisfaire les conditions Who des politiques.
Horaires d'ouverture / plage horaire	Plages horaires par jour de la semaine (par exemple lun. 06:00–22:00) qui limitent les moments où les politiques ou les autorisations accordent l'accès. Vide = toujours autorisé. Les heures utilisent le fuseau horaire de l'installation.
Access Time Window	Une période Weekly ou One-time utilisée dans le planning d'une politique ou dans une voie d'autorisation distincte d'administrateur ou d'intégration.
Autorisation individuelle	Un accès explicite accordé à un utilisateur : À l'échelle de l'installation (toutes les portes), des portes précises ou des Access Scopes précises, éventuellement avec ses propres horaires d'ouverture.
Portée d'accès	Un ensemble nommé de portes (par exemple « Main entrances », « Staff-only ») utilisé comme cible de politique ou d'autorisation et pour les paramètres de geofence au niveau de la portée. Également appelé groupe de portes en interne.
Exclusion de politique	Une porte ou une Access Scope retirée de la correspondance Where d'une politique. Elle ne refuse pas l'accès accordé par une autre voie de politique ou d'autorisation.
Geofence	Un cercle autour de l'installation (centre + rayon). Lorsqu'elle est activée, les utilisateurs doivent se trouver physiquement à l'intérieur (compte tenu de la précision GPS et de la marge) pour déverrouiller.
Marge de précision	Mètres supplémentaires ajoutés au rayon de la geofence pour absorber les variations GPS normales. 25 m par défaut.
Mode maintenance	Paramètre par porte qui retire une porte du fonctionnement normal : Normal, Force open (maintenue déverrouillée) ou Force closed (maintenue verrouillée et hors service pour les membres).
Block all access	Un blocage de sécurité par porte qui prévaut sur les politiques et les autorisations individuelles pour cette porte, sans recourir au mode maintenance. Le déverrouillage administrateur reste disponible.
Hold time	Durée pendant laquelle le relais reste libéré après un déverrouillage avant de se reverrouiller. Plage de 1 à 30 secondes, 10 par défaut.
Planning de déverrouillage automatique	Un planning par porte qui maintient la porte déverrouillée pendant les heures de présence du personnel de l'installation ou selon un planning personnalisé. Indépendant des Access Policies.
Lock now	Verrouille une porte que le planning de déverrouillage automatique maintient ouverte, jusqu'au prochain changement du planning. Resume schedule annule cette action.
Access enabled	Le coupe-circuit par utilisateur. Désactivé = l'utilisateur ne peut rien déverrouiller.
Dissocié	Un utilisateur synchronisé dont le commutateur Track source updates est désactivé. Les synchronisations ignorent la ligne, ce qui préserve les modifications des administrateurs.
Invitation	L'e-mail envoyé à un utilisateur avec des liens pour télécharger l'application mobile. Suivie par utilisateur (Not invited / Invited / Send failed).
Connexion par code à usage unique	La connexion sans mot de passe de l'application mobile : un code à usage unique envoyé au téléphone ou à l'e-mail de l'utilisateur.
Remplacement administrateur / Déverrouillage administrateur	Un déverrouillage déclenché depuis Performance Hub par un administrateur (onglet Doors → Open, ou Unlock door dans le panneau de la porte). Chaque déverrouillage administrateur est enregistré dans les Journaux d'accès avec le compte de l'administrateur.
Verrouillage de l'application	Réauthentification sur l'appareil imposée par l'installation (Face ID / Touch ID / biométrie Android / code) avant de pouvoir utiliser l'application.
Message de l'application	Une carte d'annonce sur le tableau de bord de l'application : à l'échelle de l'installation, par utilisateur ou définie automatiquement par une règle App Messaging.
Événement d'accès	Un enregistrement dans les Journaux d'accès : une tentative de déverrouillage et son résultat.

Access Policies : Who, Where, When et import automatique
Plannings des Access Policies : Anytime, Weekly et One-time
Access Scopes : ensembles de portes réutilisables
Geofencing : vérifications de la position
Users : autorisations individuelles et coupe-circuit
Référence : chaque motif de refus et chaque valeur par défaut dans un seul tableau
Les portes peuvent également être incluses dans les réponses Duress. Consultez Actions de réponse dans Duress.