Guide de Salesforce Security Health Check

Un bilan de santé Salesforce n'est peut-être pas quelque chose que la plupart des équipes attendent avec impatience, mais cela vaut vraiment la peine d'être fait avant que les utilisateurs ne commencent à se plaindre et que des problèmes ne commencent à freiner les équipes. Avec Salesforce, de petits problèmes peuvent facilement affaiblir la confiance dans l’ensemble du système, une erreur à la fois.

Le contrôle de sécurité natif de Salesforce donne aux administrateurs un premier aperçu solide de la configuration de sécurité en comparant certains paramètres à un référentiel standard ou personnalisé. Toutefois, ce pourcentage ne reflète qu’une partie de la situation.

Nous allons expliquer comment effectuer ce contrôle, déterminer quels constats méritent réellement votre attention, apporter des modifications sans bloquer les utilisateurs ni les intégrations, et décider quand un bilan plus large de l’instance Salesforce est nécessaire pour examiner les données, les accès, les automatisations, le code, les licences, les performances, les intégrations, la sauvegarde et la restauration.

Qu’est-ce qu’un bilan de santé Salesforce ?

Salesforce Health Check est la page de sécurité de la Configuration qui compare les paramètres actuels d’une organisation à la référence de Salesforce ou à une référence personnalisée fondée sur la politique de l’entreprise. Elle fournit un score sur 100, puis indique les paramètres qui s’écartent le plus de la norme sélectionnée.

Les écarts présentant un risque élevé pèsent davantage : un seul contrôle de session insuffisant peut donc faire baisser le résultat plus que plusieurs problèmes mineurs.

L’outil examine les règles relatives aux mots de passe, les paramètres de session, les contrôles de connexion, les plages d’adresses IP de confiance, la protection contre le détournement de clics et certains paramètres de certificats ou de jetons. Salesforce déploie également des contrôles portant sur la MFA, SAML, la fermeture forcée des sessions après une réinitialisation du mot de passe et la proportion d’utilisateurs internes actifs auxquels le profil System Administrator est attribué. Ces nouveaux contrôles n’apparaîtront pas dans toutes les instances en même temps, mais ils méritent d’être pris en compte.

C’est la terminologie qui prête à confusion. Les personnes qui cherchent des conseils sur les bilans de santé Salesforce trouvent souvent deux prestations très différentes présentées comme s’il s’agissait de la même chose.

Salesforce Security Health Check désigne généralement la fonctionnalité native accessible dans Setup. Le bilan de santé d’une instance Salesforce est une démarche plus large. Il peut faire intervenir un partenaire Salesforce certifié et porte sur l’architecture, les autorisations, la qualité des données, Flow et Apex, les intégrations, les licences, le stockage, les performances, la sauvegarde, les rapports et la question de savoir si les utilisateurs continuent à utiliser correctement le CRM.

Pourquoi effectuer régulièrement des bilans de santé Salesforce

Salesforce devient rarement difficile à gérer à cause d’une seule mise en production désastreuse. La situation se dégrade au fil de décisions qui semblent chacune raisonnables. Un responsable a besoin d’un accès pendant deux semaines. Une intégration se voit attribuer un utilisateur dédié. Quelqu’un installe un package pour un projet pilote. Un flux Flow est copié parce que modifier l’original paraît risqué. Puis personne ne revient sur ces décisions.

L’examen régulier d’un rapport de bilan de santé Salesforce permet de repérer ce qui subsiste :

Il est facile de sous-estimer cette dernière ligne. L’étude State of Data and Analytics 2026 de Salesforce a révélé que les responsables des données considèrent que 26 % des données de leur organisation ne sont pas fiables. Par ailleurs, 84 % ont déclaré que leurs stratégies de données nécessitaient un travail de fond avant que leurs projets d’IA puissent aboutir.

L’objectif d’un bilan de santé régulier de Salesforce est de repérer le compte qui aurait dû être fermé, le flux Flow qui se déclenche deux fois ou le champ qui fausse un rapport destiné au conseil d’administration. Cela réduit l’exposition des données, fournit de meilleurs éléments probants aux équipes de conformité, stabilise les mises en production et aide les utilisateurs à faire suffisamment confiance à Salesforce pour cesser de le recréer dans des feuilles de calcul.

Comment effectuer un contrôle avec Salesforce Security Health Check

Salesforce propose son outil natif Health Check dans Setup. Tout administrateur disposant des autorisations adéquates peut y accéder sans rien installer. Ouvrir la page est simple. Déterminer si une recommandation risque de perturber le SSO, de bloquer un utilisateur ou de rendre une intégration indisponible demande davantage de réflexion.

Ne restez pas bloqué sur la question « combien de temps prend un bilan de santé Salesforce ? » : suivez la bonne démarche.

Transformez le score en plan de correction

Obtenez un audit Salesforce qui relie les constats de sécurité aux risques métier, aux dépendances, aux responsables et aux travaux nécessaires pour y remédier en toute sécurité.

Commencez dès aujourd’hui

Étape 1. Ouvrez Health Check dans Setup de Salesforce

Suivez ce chemin :

Setup → Quick Find → Health Check

Le tableau de bord affiche le score actuel, l’appréciation correspondante, le référentiel sélectionné et les constats regroupés par niveau de risque. Chaque ligne compare la valeur actuelle de l’instance à celle attendue par ce référentiel, ce qui évite aux administrateurs de parcourir plusieurs menus de Setup avant de savoir où se situent les écarts.

Le contrôle de sécurité natif de Salesforce ne nécessite aucune application externe. Les utilisateurs doivent disposer de l’autorisation View Health Check, ou de l’accès Security Center correspondant, pour consulter la page et exporter un référentiel. L’importation d’un référentiel personnalisé nécessite l’autorisation Manage Health Check ou des autorisations Security Center appropriées.

Des alertes hebdomadaires signalant une baisse du score sont également disponibles. Salesforce les a activées par défaut pour les administrateurs système des environnements de production le 15 avril 2026 et permet aux équipes d’ajouter jusqu’à 100 destinataires. Utilisez une boîte de réception de sécurité ou d’administration surveillée pour éviter que l’alerte reste une semaine dans celle d’une personne en congé.

Étape 2. Sélectionnez le bon référentiel de sécurité

Salesforce vous propose deux choix :

• 

  Salesforce Baseline Standard : les valeurs et les catégories de risque recommandées par Salesforce.

• 

  Référentiel personnalisé : une norme d’entreprise approuvée qui reflète la politique interne, les exigences contractuelles ou le niveau de risque que l’entreprise a accepté d’assumer.

Une banque peut avoir besoin d’un référentiel adapté aux contrôles du secteur financier. Salesforce autorise jusqu’à cinq référentiels personnalisés. Chacun doit être créé à partir d’une copie exportée du référentiel standard, conserver tous les paramètres Health Check existants et ne pas dépasser 20 Ko.

Une entreprise du secteur de la santé peut définir des règles de session ou d’accès plus strictes parce que ses employés traitent des informations sensibles sur les patients. Ce référentiel personnalisé doit résulter d’une véritable réflexion sur les politiques à appliquer, associant les équipes Salesforce, informatique, sécurité et conformité. En cas de doute, un partenaire de conseil Salesforce comme Routine Automation peut vous guider dans les bonnes pratiques en matière de bilan de santé Salesforce.

Étape 3. Examinez le score de Salesforce Health Check

Le score de Salesforce Health Check vous indiquera dans quelle mesure vos paramètres actuels correspondent au référentiel sélectionné, en les classant selon un risque élevé, moyen ou faible. Il existe également des constats informatifs, mais ils n’influencent pas votre score.

Les appréciations officielles sont les suivantes :

Un score parfait prouve uniquement que chaque paramètre pris en compte correspond au référentiel choisi. L’instance peut toujours contenir des données de mauvaise qualité, des règles d’accès confuses, des flux Flow fragiles et un plan de restauration que personne n’a testé. Examinez les écarts avant de vous réjouir d’un score de 92 %. Un seul contrôle de session présentant un problème sérieux peut peser plus lourd qu’un écran rempli de contrôles mineurs réussis. Salesforce modifie également les indicateurs utilisés dans le calcul, ce qui peut faire évoluer le score après une mise à jour sans qu’aucun administrateur ait changé de paramètre.

Étape 4. Traitez en priorité les constats à haut risque

Examinez d’abord le score de contrôle des risques élevés fourni par Salesforce, en particulier les constats liés aux points suivants :

Avant toute modification du paramètre, analysez ses répercussions. Vérifiez qui l’utilise, quels systèmes y font appel et si vous risquez de commencer la journée de demain avec des comptes verrouillés ou des traitements en échec.

Une restriction de session pourrait affecter les employés à distance. Une politique de connexion pourrait perturber le SSO. Le renforcement d’un contrôle lié aux API pourrait interrompre une synchronisation avec un ERP ou un traitement de facturation nocturne. Health Check inclut désormais un indicateur fondé sur le pourcentage d’utilisateurs internes actifs auxquels le profil System Administrator est attribué, mais il ne vous indiquera toujours pas quel administrateur précis dispose d’accès dont il n’a pas réellement besoin. Cela nécessite un examen distinct des autorisations.

Étape 5. Corrigez les risques manuellement ou à l’aide de l’outil natif

Les outils de contrôle de santé Salesforce offrent deux possibilités aux administrateurs :

• 

  Utilisez Edit pour ouvrir la page Setup correspondante et modifier un paramètre.

• 

  Utilisez Fix Risks pour appliquer les valeurs prises en charge du référentiel sélectionné sans quitter Health Check.

Fix Risks est pratique, mais faites preuve de prudence.

Avant toute modification importante, vérifiez les points suivants :

Certains constats ne peuvent pas être corrigés à l’aide du bouton natif et nécessitent une investigation manuelle. Quelle que soit la méthode choisie, testez si possible les modifications importantes dans une sandbox Salesforce représentative. Consignez d’abord le paramètre actuel, effectuez une sauvegarde appropriée des données et des métadonnées, puis vérifiez à nouveau le fonctionnement pour les utilisateurs et les intégrations après le déploiement. Une sauvegarde facilite la restauration, mais ne remplace pas un véritable plan de retour arrière.

Étape 6. Documentez les résultats et le plan d’action

À l’issue de Salesforce Health Check, l’équipe devrait disposer de plus qu’un pourcentage et une capture d’écran. Consignez :

Un bon rapport Salesforce Health Check conserve une trace des décisions. Il consigne les raisons pour lesquelles l’équipe a modifié un paramètre, reporté la modification d’un autre et accepté un troisième en l’état. Cela évite bien des conjectures lors des contrôles de conformité, des passations entre administrateurs et des revues ultérieures.

Comment interpréter un rapport Salesforce Health Check

Le score Health Check fourni par Salesforce devrait vous indiquer ce que Salesforce a détecté, pourquoi cela mérite votre attention et quelles mesures doivent suivre. Commencez par examiner cinq éléments dans les résultats de l’outil natif :

La formulation technique peut donner l’impression qu’un problème est moins important qu’il ne l’est. Un délai d’expiration de session trop permissif peut laisser une session authentifiée sans surveillance ouverte plus longtemps que ne l’autorise la politique de l’entreprise, ce qui présente un enjeu sur les ordinateurs partagés, les appareils perdus et les postes situés dans des lieux publics.

Répartissez les constats en trois catégories opérationnelles :

Les résultats de l’outil natif ne désignent pas de responsables, n’estiment pas les coûts, ne recensent pas les dépendances métier et ne définissent pas l’ordre des corrections. C’est pourquoi le rapport final doit aller au-delà d’une capture d’écran avec un score entouré en haut.

Ce que l’outil natif Salesforce Health Check ne couvre pas

L’outil natif Salesforce Security Health Check est utile, mais son rôle reste limité. Il compare certains paramètres de sécurité à un référentiel. Un score élevé ne prouve pas que l’instance est bien conçue, facile à maintenir, qu’elle fonctionne correctement, qu’elle utilise les licences à bon escient ou qu’elle est prête à accueillir quelques centaines d’utilisateurs supplémentaires.

Ce pourcentage peut laisser de nombreux problèmes de côté :

Workflow Rules et Process Builder constituent un avertissement utile. Salesforce a mis fin à leur prise en charge le 31 décembre 2025, mais d’anciens processus peuvent continuer à fonctionner en production. Health Check ne vous indiquera pas qu’une approbation essentielle dépend encore d’une automatisation que personne n’a testée récemment ni ne se sent à l’aise de modifier.

Lorsque ces questions se posent, le travail dépasse le cadre d’un tableau de bord de sécurité. Vous avez besoin d’un audit plus large de l’instance elle-même, ce qui pourrait vous amener à rechercher les meilleurs cabinets de conseil Salesforce.

Ce qu’un bilan complet d’une instance Salesforce devrait inclure

Un bilan de santé Salesforce commence généralement par le sentiment que quelque chose ne va pas. Les rapports semblent peut-être erronés, les mises en production prennent trop de temps ou personne ne sait qui est responsable d’une intégration. Une revue complète suit ces indices en examinant les autorisations, les données, les automatisations, les coûts et les performances.

Dans les environnements comptant de nombreuses intégrations, il peut être utile d’examiner les meilleurs services d’intégration Salesforce pour mieux déterminer si le problème nécessite un travail de configuration, un middleware ou une refonte. Les produits installés méritent le même examen.

Outils de bilan de santé Salesforce

Il faut préciser qu’aucun outil de bilan de santé Salesforce ne peut, à lui seul, vous dire si l’ensemble de l’instance est sécurisé, rapide, abordable, restaurable et agréable à maintenir. Chaque option détecte un type de problème différent. Le travail utile consiste à réunir les éléments recueillis, puis à les confronter aux activités réelles de l’entreprise.

Salesforce Optimizer était aussi une option, mais Salesforce l’a retiré le 1 juin 2026, après des retraits antérieurs pour les instances Hyperforce et les instances hors Hyperforce.

Security Center Essentials est gratuit dans toutes les éditions Salesforce et conserve 30 jours d’historique de Health Check. Scale Center est également gratuit dans les instances de production et les sandbox complètes prises en charge pour les clients Professional, Enterprise, Unlimited, Signature et Scale Test.

Si vous travaillez avec un partenaire comme Routine Automation pour des services de mise en œuvre de Salesforce, ce partenaire peut vous aider à choisir les bons outils de bilan de santé Salesforce. RA ne vend pas son propre outil d’analyse, mais peut sélectionner les outils appropriés, les compléter par les vérifications manuelles qu’ils ne peuvent pas effectuer et transformer les constats en un plan exploitable.

À quelle fréquence effectuer un bilan de santé Salesforce ?

Consultez la page de sécurité native chaque mois ou chaque trimestre. Effectuez une revue plus large de l’instance au moins une fois par an si la configuration est stable, et rapprochez les revues lorsque Salesforce évolue rapidement ou présente davantage de risques. Vous pouvez aussi envisager des vérifications supplémentaires après avoir ajouté les meilleures applications Salesforce à votre système.

Ces échéances ne sont pas des règles Salesforce. Ce sont des intervalles de travail. La bonne fréquence dépend du volume des mises en production, du code personnalisé, des systèmes connectés, des exigences de conformité, de la rotation du personnel et de l’ampleur des conséquences pour l’entreprise si Salesforce cessait de fonctionner correctement.

Les bonnes pratiques de bilan de santé Salesforce comprennent également des revues déclenchées par des événements. Un rappel annuel dans votre agenda ne sera pas très utile si une nouvelle connexion à un ERP, une acquisition, une refonte des autorisations ou une migration en masse modifie l’instance trois semaines plus tard.

Pouvez-vous effectuer vous-même un bilan de santé Salesforce ?

La vérification native ne nécessite pas de prestataire externe. Un administrateur Salesforce disposant des autorisations requises peut accéder au tableau de bord, examiner le score, comparer les paramètres actuels au référentiel, corriger les problèmes circonscrits et documenter le résultat.

Un administrateur interne peut généralement se charger des tâches suivantes :

Le travail se complique lorsque le score conduit à examiner le reste de l’instance. Un volume important de code Apex, plusieurs clouds Salesforce, plusieurs instances, des dizaines d’intégrations ou des règles de conformité strictes nécessitent la participation de davantage de personnes à la revue. Il en va de même lorsque personne n’est responsable de l’ensemble de l’architecture ou qu’un correctif de sécurité pourrait interrompre le SSO, la facturation, le service client ou un autre processus critique.

Le temps compte aussi. Un administrateur compétent peut savoir exactement ce qu’il faut vérifier sans pour autant avoir la disponibilité nécessaire pour examiner des années d’autorisations, de versions de Flow, de journaux d’intégration et de packages abandonnés.

L’aide extérieure n’est pas obligatoire, mais le soutien d’un consultant proposant des services de bilan de santé Salesforce peut être utile lorsque les risques, la charge de travail ou la complexité technique dépassent ce que l’équipe interne peut prendre en charge sans compromettre la sécurité.

Ce que vous pouvez attendre des services de bilan de santé Salesforce

Des services professionnels de bilan de santé Salesforce devraient fournir davantage qu’un score automatisé et un long export d’avertissements. Les constats doivent être reliés aux workflows réels, à des responsables désignés, aux dépendances techniques et à un plan de correction que l’entreprise peut financer et planifier.

Une mission classique devrait comprendre quatre étapes :

Vous devriez également savoir qui examine l’instance, comment les éléments probants exportés sont protégés et quels rapports vous recevrez exactement.

Le bilan de santé d’instance Salesforce de Routine Automation en détail

Des entreprises comme Routine Automation effectuent un bilan de sécurité dans Salesforce, tandis qu’un bilan plus large de l’instance suit un processus rigoureux, étape par étape. L’équipe associe les diagnostics Salesforce à une analyse manuelle et à des échanges avec les personnes qui savent où le CRM pose problème.

La revue suit sept étapes :

1. Définir ce qui sera examiné : Confirmer le problème métier, les environnements inclus, les processus essentiels, les risques connus et les travaux déjà prévus dans la feuille de route.

2. Écouter les personnes qui utilisent Salesforce : Interroger les administrateurs, les développeurs, les équipes informatiques et de sécurité, les responsables de service et les utilisateurs au quotidien.

3. Examiner l’instance sous toutes ses coutures : Examiner la sécurité, les autorisations, les enregistrements, l’architecture, les automatisations, le code, les intégrations, le stockage, les packages, les licences et les rapports.

4. Déterminer ce qui compte : Distinguer l’encombrement sans conséquence des problèmes qui exposent les données, faussent les rapports, retardent le travail, augmentent les coûts ou menacent les mises en production.

5. Élaborer le rapport de bilan de santé Salesforce : Ajouter les preuves, les responsables, les dépendances, les estimations d’effort, les priorités et les actions recommandées.

6. Planifier les corrections : Distinguer les corrections urgentes des opérations de nettoyage, des modifications du code, des travaux d’architecture et de la gouvernance.

7. Poursuivre l’accompagnement pendant les corrections : Routine Automation peut prendre en charge la configuration, le développement, les tests, le déploiement et les revues ultérieures, selon les besoins.

L’objectif n’est pas d’obtenir un meilleur score dans l’outil natif. C’est de disposer d’une instance qui protège les données pertinentes, accompagne le fonctionnement actuel de l’entreprise et peut évoluer sans que chaque mise en production se transforme en fouilles archéologiques.

Préservez la santé de votre stratégie Salesforce

Salesforce Health Check mérite sa place dans les tâches régulières de l’administrateur. Il repère rapidement les paramètres de sécurité insuffisants et donne à l’équipe des éléments concrets à examiner. Ne laissez simplement pas un score de 95 % clore la discussion.

Ce pourcentage en dit très peu sur les enregistrements en double, le code Apex ancien, les flux Flow qui se concurrencent, les passages de relais défaillants, les licences gaspillées ou les rapports auxquels les utilisateurs ne font plus confiance depuis des mois. Utilisez l’outil natif pour une surveillance régulière, puis organisez une revue approfondie lorsque l’instance devient fortement personnalisée, connectée à des systèmes critiques ou étrangement stressante à modifier. Ce dernier signe est généralement révélateur.

Routine Automation peut vous aider à mener cette revue élargie, puis continuer à vous accompagner pour l’atelier, la planification technique, les tests et les travaux Salesforce qui suivent.