Membres, invitations et liens de partage : qui peut accéder à vos fichiers ?

Trois chemins mènent à un même fichier — être membre de l'espace, avoir accepté une invitation, ou détenir un lien de partage. Les fermer demande trois gestes différents.

La question revient toujours dans les mêmes termes : « j'ai retiré cette personne, est-ce qu'elle voit encore le document ? » La réponse dépend entièrement du chemin par lequel elle y accédait. Et comme les trois chemins se ressemblent à l'usage — on clique, le fichier s'ouvre — on les confond facilement. Cette confusion ne produit jamais de message d'erreur : elle produit un document qui reste lisible par quelqu'un qu'on croyait dehors.

Un espace est un contenant : il a ses dossiers, ses fichiers, son stockage et ses membres. Rejoindre un espace, c'est obtenir un accès à tout ce qu'il contient, dans la limite de son rôle. Ce n'est pas un accès fichier par fichier : c'est un accès à l'ensemble, qui suit automatiquement ce qu'on y ajoute demain.

Quatre rôles existent. Le lecteur consulte et télécharge. L'éditeur importe, range, renomme et met à la corbeille. L'administrateur gère en plus les membres et les liens. Le propriétaire, seul, dispose de l'espace lui-même. Un rôle supérieur peut tout ce que peut l'inférieur — changer le rôle de quelqu'un ne lui retire jamais quelque chose par surprise.

Créer une invitation ne donne aucun accès. Tant que la personne ne l'a pas acceptée, elle n'est pas membre, elle ne voit rien, et elle n'apparaît pas dans la liste des membres — elle apparaît dans « Invitations en attente », qui est une liste distincte.

C'est une distinction qui paraît évidente écrite ainsi, et qui se perd à l'écran dès que les deux listes se suivent. Compter les invités parmi les membres fait croire qu'on a donné un accès qui n'existe pas encore — et, symétriquement, fait oublier de relancer quelqu'un qui n'a jamais reçu son lien.

Un lien de partage vise UNE ressource : un fichier, un dossier. Qui l'ouvre accède à cette ressource selon les paramètres du lien — sa date d'expiration, et le fait que le téléchargement soit autorisé ou non. Cette personne ne devient pas membre. Elle n'apparaît nulle part dans la liste des membres, et elle ne verra jamais le reste de l'espace.

C'est précisément ce qui rend le lien pratique : on ouvre une porte, pas la maison. Et c'est aussi ce qui le rend dangereux à oublier : la porte reste ouverte tant qu'on ne l'a pas refermée, indépendamment de tout ce qu'on fait par ailleurs sur les membres.

Trois besoins, trois mécanismes, et c'est le bon découpage. L'erreur fréquente consiste à faire entrer le pianiste dans l'espace « pour aller plus vite » : il obtient alors l'accès à tout, il faudra penser à l'en retirer, et personne ne se souviendra pourquoi il y était.

C'est ici que la confusion coûte cher. Les trois mécanismes se ferment séparément, et fermer l'un ne ferme pas les autres.

L'inverse est vrai aussi, et rassurant : révoquer un lien ne retire personne de l'espace. Les membres conservent l'accès qu'ils tiennent de leur rôle, et l'on peut refermer une porte externe sans désorganiser l'équipe.

Une révocation empêche les nouvelles demandes. Elle ne rappelle pas ce qui a déjà été téléchargé — un fichier copié sur un ordinateur y reste — et une adresse de téléchargement déjà signée reste utilisable jusqu'à sa propre expiration, qui se compte en minutes. Le produit ne promet donc jamais une révocation « immédiate » : il dit ce qu'il fait.

Copier l'adresse d'une page depuis la barre du navigateur et l'envoyer à quelqu'un ne lui donne aucun droit. C'est une adresse de navigation : elle désigne un endroit, elle n'ouvre rien. La personne qui la reçoit sans y avoir accès verra un refus — pas le fichier.

Cela paraît évident, et pourtant c'est une source régulière de « je t'ai envoyé le lien, tu ne l'as pas ? ». Pour donner un accès, il faut créer un lien de partage, ou faire entrer la personne dans l'espace. Le reste est une adresse.

Voir comment les accès sont vérifiés côté serveur