Ce que vous achetez n'est pas une serrure, c'est un référentiel
Sur les reprises de parc que nous menons dans la Marne et en Île-de-France, la mécanique fonctionne presque toujours. Ce qui ne fonctionne plus, c'est tout le reste : des badges actifs au nom de personnes parties depuis des mois, des groupes d'accès empilés au fil des années et jamais nettoyés, une plage horaire qui laisse un bâtiment ouvert le samedi matin parce que plus personne n'ose y toucher.
Un système de contrôle d'accès, c'est un référentiel de personnes, un référentiel de portes et une matrice de droits qui croise les deux dans le temps. Le matériel n'est que l'organe d'exécution. Tant que cette matrice n'est pas tenue, l'installation la plus récente ne vaut pas mieux qu'un trousseau dont vous auriez perdu le compte des copies.
Là où les électriciens s'arrêtent — la ventouse alimentée, le lecteur fixé, le bouton poussoir raccordé — commence ce qui fait tenir le dispositif dans la durée : le chiffrement du bus, la synchronisation avec l'annuaire d'entreprise, la politique de révocation et la recette incendie.
Les composants, et ce qui se joue sur chacun
Une porte contrôlée réunit six fonctions distinctes. Chacune peut faire échouer l'ensemble, et chacune se chiffre séparément dans nos études.
Unité de traitement
Le contrôleur porte la décision. Il conserve les droits en mémoire locale et continue d'autoriser ou de refuser même si le serveur est injoignable, en stockant les événements pour les remonter au retour du lien. Nous dimensionnons le nombre de portes par unité et l'autonomie sur batterie : quatre heures minimum.
Lecteurs
Format mural, encastré, à clavier, antivandale IK10 pour les accès extérieurs. Le point déterminant n'est pas l'esthétique mais le protocole : un lecteur qui parle OSDP v2 avec canal sécurisé, et non du Wiegand en clair, sur un bus RS-485 supervisé.
Organes de porte
Ventouse électromagnétique de 300 à 500 daN pour les portes coupe-feu et les issues de secours, gâche électrique à émission ou à rupture selon le sens de sûreté, serrure motorisée multipoint sur les accès principaux, crémone motorisée sur les portes à deux vantaux. Le choix se fait au vantail, pas au catalogue.
Contrôle de position et supervision
Contact de position et contact de condamnation : sans eux, vous savez qu'un droit a été accordé, pas que la porte s'est refermée. Ce sont eux qui produisent les alarmes de porte forcée et de porte laissée ouverte.
Sortie et issues de secours
Bouton poussoir de sortie, barre anti-panique avec contrôle de fonctionnement, déclencheur manuel vert à bris de glace. En sortie, la règle est simple : rien ne doit exiger une connaissance particulière ni un badge pour évacuer.
Clés mécaniques résiduelles
Aucun site n'électrifie 100 % de ses portes : locaux techniques, armoires, gaines. Nous reprenons l'organigramme mécanique et posons une règle de restitution, sans quoi le contrôle d'accès ne couvre qu'une partie du risque.
Technologies de badge : ce qui se clone et ce qui résiste
C'est le choix le plus structurant de votre projet, et celui sur lequel on vous laisse le plus souvent dans le flou. Un badge n'est pas un objet : c'est un protocole cryptographique.
| Technologie | Sécurité réelle | Clonage | Notre recommandation |
|---|---|---|---|
| EM 125 kHz / Prox | Aucun chiffrement, le badge diffuse un identifiant en clair | Copie en boutique pour quelques euros | Parc historique uniquement, migration à programmer |
| Mifare Classic 1K | Chiffrement Crypto1, cassé publiquement depuis 2008 | Duplication en moins de deux minutes avec un lecteur à moins de 50 € | Ne plus déployer, remplacer par étapes |
| Mifare DESFire EV1 / EV2 | AES-128, authentification mutuelle lecteur-badge | Pas de clonage documenté en exploitation normale | Acceptable, à condition de diversifier les clés |
| Mifare DESFire EV3 | AES-128 et protections renforcées contre les attaques par canal auxiliaire | Aucun | Notre standard sur les installations neuves |
| HID Seos | Conteneur chiffré indépendant du support, clés gérées par l'émetteur | Aucun | Pertinent si vous visez badge et smartphone avec un seul référentiel |
| Smartphone NFC / BLE | Clé stockée dans l'élément sécurisé du terminal | Attaque relais théorique, contrée par mesure de temps de vol | Excellent complément, rarement un remplacement total |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Le point aveugle des installations existantes : le lien entre le lecteur et le contrôleur. Le Wiegand, encore majoritaire, transmet le numéro de badge en clair sur deux fils. Un boîtier posé derrière un lecteur extérieur capte les identifiants qui passent et les rejoue ensuite. Le protocole OSDP v2 avec Secure Channel chiffre ce dialogue en AES-128, supervise la présence du lecteur et détecte l'arrachement. Passer un badge DESFire sur un bus Wiegand revient à poser une porte blindée sur un cadre en aggloméré : nous traitons les deux bouts de la chaîne.
Trois architectures, trois manières d'exploiter
Autonome, porte par porte
Un lecteur, une petite centrale locale, une liste de badges programmée sur place. Cela convient à un local isolé, à un atelier de quelques personnes, à une porte de dépôt. Le coût d'entrée est faible, mais chaque modification de droit impose un déplacement et personne ne sait dire qui possède encore un badge valide. Au-delà de cinq ou six portes, elle coûte plus cher qu'elle ne rapporte.
Centralisé sur serveur
Les contrôleurs sont raccordés au réseau informatique et pilotés depuis un serveur hébergé chez vous. C'est l'architecture la plus répandue dans l'industrie et le tertiaire de taille moyenne : maîtrise complète de la base, intégration facile avec l'annuaire et la vidéo, pas de dépendance à un lien internet. Elle suppose en contrepartie un serveur à maintenir, sauvegarder et mettre à jour, et un réseau correctement cloisonné : des contrôleurs sur le même VLAN que la bureautique, c'est une porte d'entrée offerte.
Cloud
La console est hébergée par l'éditeur, les contrôleurs remontent en HTTPS sortant. Mise à jour continue, pas de serveur local, ouverture de droit depuis un téléphone où que vous soyez. C'est l'option que nous recommandons le plus souvent aux structures multi-implantations et aux sites sans informatique sur place — voir notre page contrôle d'accès multisite. Les deux questions à poser avant de signer : où sont hébergées les données, et que se passe-t-il pendant une coupure internet ?
Plages horaires, groupes d'accès, anti-passback
La qualité d'un paramétrage se mesure au nombre de règles, et il doit être petit. Nous construisons systématiquement une matrice courte : cinq à dix groupes d'accès qui correspondent à des fonctions réelles — production, maintenance, administration, prestataires de nettoyage, direction — et trois à cinq plages horaires. Au-delà, plus personne ne sait ce que fait le système.
L'anti-passback interdit qu'un badge entre deux fois de suite sans être sorti. Il sert à empêcher le prêt de badge par-dessus un tourniquet, et surtout à fiabiliser la liste des personnes présentes en zone. En version stricte, il bloque l'accès ; en version souple, il autorise et génère une alerte. Le choix se discute avant la mise en service, jamais après.
Dernier point, rarement traité : tout droit accordé à un intérimaire, un prestataire ou un stagiaire doit porter une date de fin dès sa création.
Dix situations, dix réponses différentes
Un site de production, un immeuble tertiaire partagé et un réseau de trente agences bancaires ne posent pas le même problème. Chaque page détaille ce qui change réellement.
Contrôle d'accès multisite
Une console unique, des droits délégués par site, un fonctionnement qui survit à la coupure du lien WAN.
En savoir plusBadge sur smartphone
NFC, Bluetooth, Apple Wallet et Google Wallet : enrôlement à distance, révocation immédiate.
En savoir plusCouplage annuaire / Active Directory
Arrivées et départs synchronisés avec l'IT : le badge meurt en même temps que le compte.
En savoir plusBiométrie
Ce que la CNIL autorise vraiment, le gabarit sur support individuel, et quand il faut y renoncer.
En savoir plusInterphonie IP
Platines audio et vidéo en SIP, report d'appel sur smartphone, conformité PMR.
En savoir plusGestion des visiteurs
Préenregistrement, badge éphémère, registre de présence exploitable en évacuation.
En savoir plusSites industriels
IP67, lecture avec gants, habilitations vérifiées avant ouverture, comptage en zone.
En savoir plusTertiaire et coworking
Accès par étage et par locataire, ascenseurs, réservation d'espace liée au droit d'accès.
En savoir plusSerrures connectées
Cylindres et béquilles électroniques sans câblage, pour les portes qu'on ne peut pas percer.
En savoir plusCouplage anti-intrusion
Mise en service de l'alarme par badge, séquence vidéo associée à chaque porte forcée.
En savoir plusSécurité incendie, accessibilité, droit du travail
Le contrôle d'accès touche trois corpus réglementaires qui se contredisent en apparence : il faut empêcher d'entrer, garantir de pouvoir sortir, et ne pas transformer le dispositif en outil de surveillance des salariés. L'ordre de priorité, lui, ne se discute pas.
Le déverrouillage sur alarme incendie
Dans un établissement recevant du public, toute issue de secours asservie doit se déverrouiller automatiquement lorsque le système de sécurité incendie passe en position de sécurité. Le lien se fait par une liaison filaire de sécurité en rupture de courant : la ventouse lâche parce qu'elle n'est plus alimentée, et non parce qu'un logiciel a reçu un ordre. Le principe est là : la sécurité des personnes doit reposer sur une absence d'énergie, jamais sur la bonne santé d'un serveur. Nous testons systématiquement cet asservissement en recette, déclencheur par déclencheur, et le procès-verbal correspondant fait partie du dossier remis.
Sortie libre et unité de passage
Toute porte d'évacuation s'ouvre par un geste simple, sans clé ni badge, avec un déclencheur manuel vert à proximité immédiate. Tourniquets et sas sont toujours doublés d'un portillon débrayable.
Accessibilité
Les lecteurs doivent rester atteignables par une personne en fauteuil : hauteur comprise entre 0,90 m et 1,30 m, à plus de 0,40 m d'un angle rentrant, avec un espace de manœuvre devant la porte. Les temporisations d'ouverture doivent être allongées sur les accès PMR, et un portillon large accompagne tout dispositif de contrôle des flux.
Traçabilité et droit du travail
Les journaux d'accès constituent un traitement de données à caractère personnel. Finalité déterminée, durée de conservation courte — trois mois suffisent dans la plupart des cas —, information des salariés, consultation du CSE, accès restreint et tracé. Un système d'accès n'a pas vocation à contrôler les horaires ; s'il alimente la gestion des temps, cela doit être annoncé et inscrit au registre des traitements. Le même raisonnement s'applique à la vidéo : nos confrères du pôle image le détaillent sur la page conformité RGPD et CNIL.
Questions fréquentes
Combien coûte un contrôle d'accès pour une entreprise ?
Comptez de 900 à 2 500 € par porte équipée, tout compris : lecteur, organe de porte, câblage, part de contrôleur, alimentation secourue et paramétrage. L'écart vient surtout du vantail et du chemin de câble. Une porte intérieure en faux plafond accessible se traite vite ; une porte extérieure vitrée sur un bâtiment classé, avec une serrure motorisée et un passage de câble à créer, peut tripler la ligne. À cela s'ajoute le logiciel, de 0 € en autonome à quelques euros par porte et par mois en cloud.
Peut-on garder les badges existants lors d'un changement de système ?
Techniquement oui dans la plupart des cas, à condition que les nouveaux lecteurs lisent la même technologie. Mais si votre parc est en 125 kHz ou en Mifare Classic, conserver ces badges revient à conserver la faille. Nous proposons alors une migration par étapes : lecteurs bi-technologie qui acceptent l'ancien et le nouveau format, remplacement progressif des supports sur six à douze mois, puis désactivation de l'ancienne technologie à une date annoncée. Le confort d'exploitation est préservé sans figer le niveau de sécurité.
Que se passe-t-il en cas de coupure de courant ou de réseau ?
Deux mécanismes indépendants. Côté énergie, chaque unité de traitement dispose d'une alimentation secourue qui tient au minimum quatre heures, et les organes de porte sont choisis selon le sens de sûreté voulu : une issue de secours se déverrouille, un local sensible reste fermé. Côté réseau, le contrôleur garde les droits et les plages horaires en mémoire locale : il continue d'autoriser et de refuser normalement, puis remonte les événements horodatés dès que le lien revient.
Le contrôle d'accès peut-il servir à gérer les horaires du personnel ?
C'est possible, et beaucoup d'éditeurs le proposent, mais cela change la nature du traitement. Le pointage a une autre finalité que la sûreté : il doit être annoncé aux salariés, présenté au CSE, inscrit séparément au registre des traitements, et les données d'horaires n'ont pas la même durée de conservation que les journaux d'accès. Techniquement, nous préférons souvent un export vers l'outil de gestion des temps plutôt qu'un usage direct des journaux, plus propre juridiquement et plus simple à auditer.
Intervenez-vous sur des bâtiments occupés, sans arrêter l'activité ?
C'est le cas de figure le plus fréquent. Nous travaillons par porte et par tranche horaire : le câblage se prépare en amont, la bascule d'une porte prend en général moins de deux heures, et nous maintenons une solution de repli mécanique pendant l'opération. Sur les sites qui ne peuvent pas s'arrêter — santé, agroalimentaire, centres d'appels — nous intervenons en soirée ou le samedi, avec un plan de bascule porte par porte validé avant le premier coup de perceuse.