Qu'est-ce qu'un compte de service ?
Un compte de service est une identité créée spécifiquement pour une application, un script ou un workflow automatisé, afin qu'il puisse s'authentifier et interagir avec d'autres systèmes, sans intervention d'une personne physique. Les comptes de service sont très répandus dans les environnements cloud, les bases de données, les pipelines CI/CD et les intégrations internes, partout où un système doit en appeler un autre sans qu'un humain ne se connecte à chaque fois. Ils disposent généralement d'un ensemble fixe de droits et d'identifiants — mot de passe, clé API ou certificat — permettant au processus associé d'exécuter des tâches comme la synchronisation de données, les sauvegardes ou la communication inter-services. Conçus pour l'automatisation, ils sont souvent configurés une seule fois puis laissés actifs indéfiniment, contrairement aux comptes utilisateurs humains soumis à des connexions régulières et des revues de cycle de vie.
Pourquoi c'est important
Les comptes de service comptent parmi les identités non humaines les plus répandues et les plus négligées des environnements d'entreprise. Créés rapidement pour débloquer un projet, dotés de droits élargis par facilité, ils restent souvent actifs pendant des années, survivant au projet, à l'équipe, voire à la personne qui les a créés. N'effectuant pas de connexion interactive, ils échappent le plus souvent aux revues d'accès et aux alertes d'anomalie qui protègent les comptes humains, ce qui en fait un point d'entrée discret et idéal pour un attaquant en cas de compromission ou d'abandon. Dans les environnements cloud en particulier, un seul compte de service sur-privilégié peut permettre un mouvement latéral entre plusieurs systèmes. Avec des identités non humaines qui dépassent désormais les effectifs humains dans un rapport de 45 pour 1 dans de nombreuses organisations, et l'Objectif 13 du ReCyF (NIS2) qui impose explicitement la supervision des comptes de service dès octobre 2026, les comptes de service non gérés représentent à la fois un risque direct de compromission et un écart de conformité croissant.
Comment Cydenti vous aide
Cydenti découvre automatiquement les comptes de service à travers vos fournisseurs cloud, plateformes SaaS et outils d'infrastructure, puis suit dans la durée leurs propriétaires, leurs droits et leur usage réel. Cette visibilité permet d'identifier les comptes de service dormants, sur-privilégiés ou orphelins après la fin d'un projet ou le départ d'un collaborateur, et de recalibrer les accès avant qu'ils ne deviennent un risque. Plutôt que de traquer manuellement chaque intégration, les équipes sécurité disposent d'une vision continuellement mise à jour des risques réels liés aux comptes de service.
Explorer →Questions fréquentes
Quelle est la différence entre un compte de service et un compte technique ?
Les deux termes sont proches et parfois utilisés indifféremment. Un compte de service désigne généralement une identité utilisée par une application ou un processus automatisé pour accéder à d'autres systèmes, souvent dans le cadre d'une plateforme cloud spécifique. Un compte technique est un terme plus large englobant tout compte non personnel utilisé pour l'administration système, l'intégration ou des tâches automatisées, dont les comptes de service constituent une catégorie.
Comment sécuriser ses comptes de service ?
Les bonnes pratiques incluent l'application du principe de moindre privilège, la désignation d'un propriétaire humain clair, la rotation régulière des identifiants, la désactivation des comptes inutilisés, et le maintien d'un inventaire à jour. Une surveillance continue de l'activité anormale et une détection automatisée des comptes orphelins ou dormants réduisent significativement le risque associé.
Découvrez les identités machines que vous ignoriez posséder
— en 27 minutes, gratuitement.
L’application de NIS2 commence le 1er octobre 2026. L’Audit Flash livre votre photographie complète d’exposition NHI — comptes de service, identifiants orphelins, autorisations OAuth, agents IA — avec un premier rapport en 3 heures. Sans engagement.
Sans engagement · Données hébergées en France · Réponse sous 24h