Authentification et sécurité

Les comptes

La plateforme authentifie elle-même ses utilisateurs : chaque compte a une adresse électronique et un mot de passe, que le serveur conserve sous forme hachée. À la connexion, le serveur émet ses propres jetons d'accès signés.

Aucun annuaire d'entreprise (LDAP, Active Directory) ni aucune fédération d'identité (OIDC, SAML) n'est branché aujourd'hui : les comptes se créent dans la plateforme, à l'invitation d'un administrateur de l'organisation (Habilitations ▸ Membres & rôles) ou depuis la console d'administration.

La seule connexion unique de la plateforme mène au centre d'aide : depuis l'application, le tiroir Aide & Support l'ouvre déjà connecté, par un jeton à usage unique, ou par une assertion signée sur une installation sur site.

La double authentification

• Le second facteur est un code à six chiffres (TOTP), produit par une application d'authentification.
• Chaque membre l'active ou la désactive dans Mon profil. Une organisation peut l'imposer à tous ses membres (Paramètres ▸ Sécurité) ; un membre qui ne l'a pas encore activée l'enrôle alors à sa prochaine connexion.
• La plateforme ne propose pas de codes de secours. Un appareil perdu se traite par une réinitialisation : par un administrateur de l'organisation (Habilitations), ou par l'éditeur depuis la console (Sécurité) ; les sessions du compte sont alors fermées, et l'opération est journalisée.

Les sessions

• Le jeton d'accès vaut 15 minutes, et se renouvelle pendant un jour ; une session inactive pendant 30 minutes se ferme. Ce sont les durées par défaut ; l'éditeur les règle.
• Chaque utilisateur voit ses sessions actives dans Mon profil et peut les révoquer.
• La réinitialisation d'un mot de passe ou du second facteur ferme les sessions ouvertes du compte.

Le verrouillage

Après cinq échecs de connexion, le compte se verrouille quinze minutes ; chaque nouveau verrouillage double la durée, jusqu'à vingt-quatre heures. Une adresse IP qui accumule les échecs est freinée à son tour. Les connexions réussies, échouées et verrouillées sont journalisées.

Les mots de passe

Un mot de passe oublié ne se réinitialise pas par courriel : un administrateur de l'organisation le réinitialise, et un mot de passe temporaire s'affiche une seule fois. Le membre le change à sa connexion suivante. Voir Habilitations.