Les utilisateurs disposant d'un login/mot de passe peuvent accéder au back-office.

Même s'ils n'ont aucun rôle, ils peuvent lancer une recherche de fiche, et dans la liste de résultats, les fiches en Brouillon peuvent être supprimées :

Lorsqu'on clique sur l'action, la fiche est effectivement supprimée, il n'y a pas de contrôle sur la permission à ce moment non plus.

Il faudrait bloquer cette action si l'utilisateur n'a aucun rôle, et qu'il n'est pas rédacteur de la fiche.