Dans un CHU, l’accès aux outils numériques ne se joue pas de la même façon selon que l’agent se trouve dans les murs de l’établissement ou chez lui. Portail interne et extranet coexistent, mais leurs périmètres, leurs niveaux de sécurité et leurs publics ne se recoupent qu’en partie. Pour les agents titulaires, la distinction reste assez lisible. Pour les contractuels, les intérimaires ou les vacataires, la situation se complique nettement.
Accès agent CHU sans identifiant permanent : le cas des contractuels et intérimaires
Les guides d’accès publiés par les CHU décrivent presque toujours un parcours pensé pour l’agent titulaire : un identifiant nominatif, un mot de passe rattaché à l’annuaire institutionnel, une adresse mail @chu. Ce schéma suppose une intégration RH complète dans le système d’information hospitalier.
A lire aussi : Dents résine Capdentaire et teintes A à D : réussir l'intégration couleur au fauteuil
Les agents contractuels de courte durée et les intérimaires ne bénéficient pas systématiquement de ce parcours. Leur arrivée dans le SI dépend du délai de création de compte par la DSI locale, qui peut varier de quelques heures à plusieurs jours selon la charge et les procédures internes.
Pendant ce délai, l’accès au portail interne reste bloqué. L’agent ne peut consulter ni ses plannings sur un outil de gestion du temps de travail, ni sa messagerie professionnelle, ni les documents RH internes. Certains établissements attribuent un compte temporaire ou générique, mais cette pratique pose des problèmes de traçabilité et de conformité avec les politiques de sécurité.
A lire en complément : Bi de os en coulisses : méthodes, outils et résultats obtenus
L’extranet, accessible depuis l’extérieur, n’offre pas de solution de repli fiable dans ce cas. Sans identifiant actif dans l’annuaire, l’authentification échoue aussi bien sur le portail interne que sur l’extranet. Les retours terrain divergent sur ce point : certains CHU de taille moyenne ont mis en place des circuits accélérés de provisionnement de comptes pour les profils temporaires, d’autres n’ont pas formalisé de procédure spécifique.
Portail interne CHU : périmètre fonctionnel et conditions d’accès
Le portail interne (souvent appelé intranet) regroupe les services accessibles uniquement depuis le réseau de l’établissement. L’agent doit être connecté physiquement au réseau filaire ou Wi-Fi du CHU, ou passer par un VPN institutionnel autorisé.
Les ressources disponibles varient d’un établissement à l’autre, mais un socle commun se dégage :
- Messagerie professionnelle et annuaire interne, rattachés à l’identifiant agent
- Gestion du temps de travail (type Chronos au CHU de Montpellier), avec consultation et validation des plannings
- Documents RH, fiches de paie dématérialisées et procédures administratives internes
- Accès aux applications métier (dossier patient informatisé, logiciels de prescription) pour les profils habilités
L’authentification repose sur l’annuaire centralisé de l’établissement (Active Directory ou équivalent). Un seul identifiant donne accès à l’ensemble des services internes, ce qui simplifie la gestion mais rend la création de compte d’autant plus critique pour les nouveaux arrivants.
Depuis mi-2025, certains CHU comme celui de Grenoble Alpes ont déployé des assistants IA pour la recherche documentaire au sein de leur portail interne, selon le rapport ANSSI « Sécurité des SI hospitaliers 2025 ». Ces outils accélèrent l’accès aux procédures RH et paie sans ouvrir de brèche de sécurité, une approche qui reste cantonnée à l’intranet et ne concerne pas l’extranet.
Extranet agent CHU : ce qui change par rapport au portail interne
L’extranet permet aux agents d’accéder à une partie des services depuis l’extérieur de l’établissement, via un navigateur web classique. Le CHU de Montpellier, par exemple, propose un portail extranet donnant accès à la messagerie, aux actualités internes et à la gestion du temps de travail.
Le périmètre de l’extranet est toujours plus restreint que celui du portail interne. Les applications métier sensibles (dossier patient, prescription) ne sont généralement pas exposées sur l’extranet. L’accès se limite aux services administratifs et à la communication interne.
Les mécanismes de sécurité diffèrent aussi. L’extranet impose une couche d’authentification renforcée, parfois un VPN institutionnel ou une double authentification. Le rapport ANSSI d’octobre 2025 souligne que les accès extranet sont une cible privilégiée des tentatives de phishing dans les CHU français, ce qui a conduit plusieurs établissements à recommander l’usage exclusif du VPN pour les connexions sensibles.
Mobilité et modules collaboratifs sur extranet
Les CHU de taille moyenne ont pris une direction différente. Au CHU d’Angers, par exemple, l’extranet intègre depuis 2025 des modules collaboratifs délocalisés destinés aux équipes nomades (urgences, SAMU), selon le guide HAS « Digitalisation des CHU intermédiaires » d’avril 2026. Cette approche favorise la mobilité des agents sur le terrain, un besoin que les portails internes classiques ne couvrent pas puisqu’ils supposent une connexion au réseau local.
Sécurité et authentification : portail interne versus extranet en milieu hospitalier
La différence de sécurité entre les deux accès ne se résume pas à un mot de passe plus complexe. Le portail interne bénéficie de la protection périmétrique du réseau hospitalier : pare-feu, segmentation réseau, supervision en temps réel. L’agent qui se connecte depuis un poste du CHU est déjà dans un environnement contrôlé.
L’extranet, exposé sur internet, nécessite des protections supplémentaires :
- Authentification multifacteur (MFA) de plus en plus généralisée
- Chiffrement des flux via HTTPS et, dans certains cas, tunnel VPN obligatoire
- Journalisation renforcée des connexions pour détecter les accès anormaux
Les incidents de phishing ciblant les accès extranet agents ont augmenté de manière notable dans les CHU français en 2025-2026, d’après les retours du Forum des SIH de mars 2026. Le VPN institutionnel est désormais recommandé pour toute connexion interne sensible depuis l’extérieur, y compris pour la simple consultation de la messagerie.
Pour les agents contractuels ou intérimaires, cette exigence de sécurité ajoute une difficulté supplémentaire : sans identifiant permanent, la configuration du VPN sur un poste personnel n’est pas toujours possible, ce qui limite de fait leur accès à distance.
La frontière entre portail interne et extranet dans les CHU reflète un arbitrage permanent entre accessibilité et protection des données de santé. Les agents titulaires naviguent entre les deux espaces avec un identifiant unique. Les agents temporaires, eux, restent tributaires de la rapidité d’intégration dans le SI, un maillon que la plupart des établissements n’ont pas encore totalement industrialisé.
