Double authentification¶

La double authentification (ou validation en deux étapes) réduit considérablement le risque qu'un tiers accède à votre compte. Pour se connecter, il ne suffit plus de connaître votre identifiant et votre mot de passe : il faut aussi disposer de votre téléphone ou de votre application d'authentification.

Voler un mot de passe est plus facile qu'on ne le pense (site piraté où vous utilisiez le même mot de passe, mail d'hameçonnage, logiciel espion…). Avec la double authentification, votre compte reste protégé même si votre mot de passe est connu d'un tiers.

Deux méthodes au choix¶

	Par SMS	Par QrCode (application)
Fonctionnement	Un code est envoyé par SMS sur le numéro de votre compte à chaque connexion	Une application d'authentification génère le code
Ce qu'il faut	Un téléphone qui reçoit les SMS	Une application compatible (sur téléphone ou ordinateur)
Plusieurs appareils	Non : un seul numéro	Oui : vous pouvez enregistrer le même QrCode sur plusieurs appareils
Dépend du réseau mobile	Oui	Non

Nous vous conseillons la méthode QrCode en mode TOTP.

Activer n'est pas suffisant : réglez le pare-feu¶

La double authentification fonctionne en deux temps :

vous configurez et activez une méthode (SMS ou QrCode) ;
vous indiquez pour quelles adresses IP elle est demandée, avec la règle Double authentification du pare-feu, qui prend la valeur sms, QrCode ou non.

Par défaut, cette règle vaut non pour toutes les adresses (0.0.0.0/0) : tant que vous ne la modifiez pas, aucun code ne vous est demandé, même si une méthode est activée. Le manager le rappelle : « Bien que configurée et activée, la double authentification ne sera demandée que pour les adresses IP configurées en "SMS" (ou "QrCode") dans le pare-feu. »

Réglage conseillé

Après avoir activé la méthode QrCode, ouvrez Pare-feu : actions et définissez la règle Double authentification à QrCode sur la ligne 0.0.0.0/0. Le code sera alors demandé quelle que soit l'adresse IP depuis laquelle vous vous connectez.

Note

Si la règle demande une méthode que vous n'avez pas activée (par exemple QrCode alors qu'aucun QrCode n'est actif), le code n'est pas demandé. Vérifiez donc que la méthode choisie dans le pare-feu est bien activée.

Les réglages de double authentification se trouvent dans la partie Sécurité, qu'il faut d'abord déverrouiller.

Double authentification par QrCode¶

L'application d'authentification génère des codes à partir d'une clé secrète que vous lui transmettez en scannant un QrCode. Deux types de codes sont proposés :

TOTP : basé sur l'heure : le code change toutes les 30 secondes. C'est le mode conseillé, le plus sûr ;
HOTP : basé sur le compteur : le code reste valable sans limite de temps, mais ne peut être utilisé qu'une seule fois ; un bouton de l'application génère le code suivant.

Applications compatibles¶

Toute application compatible avec les codes TOTP/HOTP convient. Le manager cite notamment Google Authenticator, Microsoft Authenticator, FortiToken, OTP Auth ou AuthASAS sur téléphone. Sous Linux, l'outil en ligne de commande oathtool permet aussi de générer le code :

oathtool --base32 --totp "VOTRECLEBASE32"

Créer et activer le QrCode¶

Déverrouillez la partie Sécurité, puis cliquez sur QrCode dans le menu de gauche (ou sur Configurer la double authentification par QrCode).
Cliquez sur Créer un QrCode.
Choisissez le Type de code (TOTP : basé sur l'heure conseillé), puis cliquez sur Créer le QrCode.
La page affiche la Clé d'authentification et le QrCode. Scannez le QrCode avec votre application (ou saisissez la clé à la main).
Notez la clé et conservez-la en lieu sûr : elle vous permettra de reconfigurer une application si vous perdez votre téléphone.
Cliquez sur Activer la double authentification QrCode.
Saisissez votre Mot de passe et le Code généré par l'application, puis cliquez sur Valider ces informations.

Le statut passe à Double authentification activée. Par sécurité, la clé et le QrCode ne sont plus affichés tant que la double authentification est active.

N'oubliez pas de régler le pare-feu pour que le code soit demandé.

Recréer, désactiver ou supprimer le QrCode¶

Désactiver la double authentification QrCode : demande votre mot de passe et un code généré par l'application.
Une fois la double authentification désactivée, la clé et le QrCode sont de nouveau affichés, et deux boutons apparaissent :
- Recréer le QrCode : l'ancien QrCode cesse de fonctionner sur tous vos appareils et un nouveau est généré. Utilisez-le si vous pensez que votre clé a pu être copiée ;
- Supprimer le QrCode : le QrCode est supprimé, sans en créer de nouveau.

Si vous n'avez plus accès à votre application, utilisez la procédure QrCode perdu depuis la page de connexion : elle désactive la double authentification grâce à un code reçu par SMS. C'est pourquoi un numéro de téléphone valide est indispensable, même avec la méthode QrCode.

Double authentification par SMS¶

Activer¶

Déverrouillez la partie Sécurité, puis cliquez sur SMS dans le menu de gauche (ou sur Configurer la double authentification par SMS).
Vérifiez le Numéro de téléphone affiché. S'il n'est pas correct, modifiez-le d'abord depuis la page Paramètres de sécurité (bouton Modifier téléphone).
Cliquez sur Activer la double authentification SMS.
Dans la fenêtre qui s'ouvre, cliquez sur Recevoir le code de vérification. Un code valable 60 minutes vous est envoyé par SMS.
Saisissez votre Mot de passe et le Code reçu par SMS, puis cliquez sur Valider ces informations.

Le statut passe à Double authentification SMS activée. Réglez ensuite le pare-feu en choisissant sms pour la règle Double authentification.

À la connexion, un code est envoyé automatiquement par SMS. Il est valable 60 minutes et ne peut servir qu'une fois ; aucun nouveau code n'est envoyé pendant ce délai tant que le précédent n'a pas été utilisé.

Désactiver¶

Cliquez sur Désactiver la double authentification SMS, saisissez votre Mot de passe, puis cliquez sur Valider ces informations.

Note

Changer de numéro de téléphone désactive automatiquement la double authentification par SMS : réactivez-la avec le nouveau numéro.

Autorisations et notifications¶

Le pare-feu contrôle, adresse IP par adresse IP, qui peut gérer la double authentification (règles Gérer double authentification QrCode et Gérer double authentification SMS) et l'usage de la procédure QrCode perdu. Par défaut, vous recevez un email à chaque activation, désactivation, création, renouvellement ou suppression de votre double authentification.