La double authentification

Comment ça marche

À la connexion, après votre adresse e-mail et votre mot de passe, le logiciel vous demande un code à 6 chiffres. Ce code, vous êtes seul à pouvoir l'obtenir. Vous choisissez une fois pour toutes comment le recevoir :

La connexion par Google demande elle aussi le code, à chaque fois. La connexion par lien envoyé par e-mail le demande également, sauf sur un appareil de confiance, comme la connexion par mot de passe. Votre compte reste protégé, que vous vous connectiez par mot de passe, par Google ou par lien.

L'activer, en deux minutes

1. Ouvrez la page « Mes informations » de votre compte : ouvrir la page Mes informations.
2. Dans le bloc « Informations de connexion », repérez la ligne « Double authentification : » et cliquez sur le bouton à côté.
3. Choisissez votre méthode : e-mail, SMS ou application d'authentification, puis continuez.
4. Confirmez avec un premier code. Par e-mail ou par SMS, saisissez le code reçu. Avec une application, scannez le QR code affiché avec votre téléphone, puis saisissez le code que l'application vous donne.
5. Enregistrez vos codes de récupération, qui s'affichent juste après. C'est l'étape à ne pas sauter : voyez la section suivante.

Tant que le premier code n'est pas confirmé, rien n'est activé. Si vous fermez la fenêtre en cours de route, la page vous le signale par « Une configuration de double authentification est en cours mais n'a pas été finalisée. », avec un bouton « Annuler la configuration » pour repartir de zéro.

Un e-mail « Authentification à deux facteurs activée » vous confirme le changement. Si vous recevez ce message sans être à l'origine de la modification, prévenez tout de suite votre administrateur.

Les codes de récupération : votre roue de secours

À l'activation, le logiciel vous donne 10 codes de récupération, de la forme ABCD-1234. Si un jour vous n'avez plus accès à votre téléphone ou à votre boîte e-mail, l'un de ces codes remplace le code habituel et vous laisse entrer. Chaque code ne sert qu'une seule fois.

Où les ranger

• Imprimés, dans un tiroir fermé ou le coffre de l'établissement.
• Ou dans un gestionnaire de mots de passe.
• Jamais seulement sur le téléphone qui reçoit vos codes, ni dans la boîte e-mail qui les reçoit : le jour où vous les perdez, vous perdriez aussi la roue de secours.

Les compter, les renouveler

Sur la page Mes informations, la carte « Codes de récupération » indique combien de codes restent utilisables. Le bouton « Régénérer mes codes » en crée 10 nouveaux, après avoir vérifié votre identité. Les anciens cessent aussitôt de fonctionner. Renouvelez-les dès que vous en avez utilisé un, ou si vous pensez que quelqu'un a pu les voir.

Se connecter au quotidien

1. Saisissez votre adresse e-mail et votre mot de passe, comme d'habitude.
2. Saisissez le code à 6 chiffres : celui reçu par e-mail ou par SMS, ou celui affiché en ce moment par votre application.
3. Sur votre ordinateur de travail, laissez cochée la case qui fait confiance à cet appareil : le logiciel ne vous redemandera pas de code sur cet appareil pendant 30 jours.

Chaque nouvel appareil de confiance vous vaut un e-mail « Nouvel appareil de confiance ajouté ». La liste de vos appareils de confiance se trouve sur la page Mes informations, où vous pouvez en retirer un, ou tous, à tout moment.

Pour une opération sensible (désactiver la double authentification, changer de méthode, régénérer les codes de récupération), le logiciel vous demande de confirmer votre identité : votre mot de passe actuel, ou un code de vérification, ou un code de récupération.

Les bons réflexes

• Un code ne se donne à personne. Ni à un collègue, ni à quelqu'un qui vous appelle en se présentant comme le support. Il ne sert qu'à vous, et seulement au moment où vous vous connectez.
• Un code que vous n'avez pas demandé est une alerte. Quelqu'un connaît sans doute votre mot de passe : changez-le et prévenez votre administrateur.
• Pas d'appareil de confiance sur un ordinateur public ou partagé avec des personnes extérieures. Décochez la case avant de valider le code.
• Changement de téléphone ? Avec l'application ou le SMS, passez d'abord par la page Mes informations pour changer de méthode, avant de rendre ou de réinitialiser l'ancien téléphone.
• Gardez votre numéro et votre adresse e-mail à jour : c'est là que partent vos codes.
• Avec une application d'authentification, laissez le téléphone régler son heure automatiquement : un téléphone qui retarde donne des codes refusés.

L'exiger pour vos utilisateurs

Un administrateur du compte peut rendre la double authentification obligatoire, pour toute l'équipe ou pour certaines personnes seulement. Les deux réglages sont sur l'écran Configuration, Utilisateurs : ouvrir la gestion des utilisateurs.

Ce que vit l'utilisateur concerné : dès sa prochaine action dans le logiciel, même s'il est déjà connecté, une fenêtre lui demande de choisir sa méthode et de l'activer avant de continuer. Il n'y a pas de délai : prévenez votre équipe avant d'enregistrer le réglage, et dites-lui de garder ses codes de récupération.

Une obligation posée par l'administrateur ne peut pas être retirée par l'utilisateur lui-même. Sur sa page Mes informations, un message l'explique : « La double authentification a été rendue obligatoire pour votre compte par un administrateur. Vous ne pouvez pas la désactiver. »

Qui peut régler ces obligations : le contact principal du compte, ou un utilisateur qui a à la fois les droits de configuration et de gestion des utilisateurs.

Postes et accès partagés

Un poste d'accueil, un guichet d'état civil, une caisse où plusieurs personnes se relaient : la double authentification fonctionne aussi dans ces cas-là.

• Sur un poste réservé au service, situé dans un bureau fermé au public, vous pouvez faire confiance à l'appareil au moment de saisir le code : le code n'est plus redemandé pendant 30 jours. Si plusieurs agents se succèdent sur le même navigateur, le code peut leur être redemandé plus souvent.
• Plusieurs personnes sur un même accès : c'est possible, en choisissant la méthode par e-mail vers une boîte de service que toutes lisent (par exemple la boîte de l'accueil), et en rangeant les codes de récupération chez le responsable du service.

Bon à savoir : pour se protéger des attaques, le logiciel accepte au plus 10 tentatives de connexion par minute depuis une même adresse internet. Derrière la connexion internet d'une mairie ou d'un groupe, tous les postes partagent souvent la même adresse : un lundi matin où tout le monde se connecte en même temps, ce plafond peut être atteint. Voyez la section suivante.

Je n'arrive pas à me connecter

Regardez le message affiché : il dit presque toujours quoi faire.

« Trop de tentatives de connexion. Veuillez patienter quelques minutes. »

Le plafond de connexions est atteint : 10 par minute pour une même adresse internet, 5 par minute pour une même adresse e-mail. Ce n'est pas votre mot de passe. Attendez une à deux minutes, le blocage se lève tout seul, puis réessayez une seule fois.

Un message d'identifiants incorrects, ou « Aucun compte n'est associé à cette adresse email. »

L'adresse ou le mot de passe ne correspondent pas. Vérifiez l'adresse, puis utilisez la page Mot de passe oublié : un lien de réinitialisation, valable 60 minutes, vous est envoyé par e-mail. Votre double authentification reste en place.

Le code n'arrive pas

Par e-mail, regardez dans les courriers indésirables. Sinon, l'écran du code propose de renvoyer un code, après un court délai d'attente affiché à l'écran. Par SMS, vérifiez que le téléphone capte et que le numéro enregistré est le bon. Si l'écran affiche « Trop de demandes de code », patientez quelques instants avant d'en demander un autre.

« Code invalide », avec le nombre de tentatives restantes

Le code est faux, ou il a dépassé ses 20 minutes de validité, ou vous en avez reçu un plus récent : utilisez toujours le dernier reçu. Avec une application, saisissez le code affiché en ce moment, et vérifiez que l'heure du téléphone est réglée automatiquement.

« Ce code a déjà été utilisé »

Avec une application d'authentification : attendez que le code suivant s'affiche, puis saisissez-le.

« Trop de tentatives échouées. Veuillez réessayer dans … minute(s). »

Après 3 codes faux, la saisie est bloquée pendant 15 minutes au plus. Patientez le temps indiqué, puis réessayez avec un code tout juste reçu ou affiché.

« Token invalide ou expiré »

La connexion en cours a duré plus de 20 minutes. Recommencez depuis votre adresse e-mail et votre mot de passe.

J'ai perdu mon téléphone, ou je n'ai plus accès à ma boîte e-mail

Sur l'écran du code, choisissez d'utiliser un code de récupération et saisissez-en un. Une fois connecté, passez sur la page Mes informations pour changer de méthode et régénérer vos codes.

Je n'ai plus ni mon téléphone, ni mes codes de récupération

Seul votre administrateur, ou notre support, peut vous débloquer : voyez la section suivante.

Demander l'aide de votre administrateur

Le contact principal du compte peut retirer la double authentification d'un utilisateur bloqué. Sur l'écran Configuration, Utilisateurs, il ouvre la fiche de la personne puis, sous « Double authentification », il la désactive. L'écran le prévient : « Attention : seul l'utilisateur pourra réactiver la double authentification. »

L'utilisateur reçoit alors l'e-mail « Authentification à deux facteurs désactivée », qui lui indique que ses codes de récupération sont supprimés. Il se reconnecte avec son seul mot de passe, puis réactive sa double authentification avec une nouvelle méthode et garde ses nouveaux codes.

Personne ne peut désactiver sa propre double authentification depuis la fiche utilisateur : chacun passe par sa page Mes informations, qui vérifie son identité.

Vous êtes vous-même le contact principal du compte, ou votre administrateur ne parvient pas à vous débloquer ? Contactez notre équipe en précisant votre établissement et l'adresse e-mail de votre compte.

Changer de méthode ou la désactiver

Sur la page Mes informations, le même bouton de la ligne « Double authentification : » permet de passer à une autre méthode, ou de désactiver la double authentification. Le logiciel vous demande d'abord de confirmer votre identité.

La désactivation n'est pas possible quand la double authentification est exigée pour votre compte ou par votre établissement : la page vous l'indique. Et sans elle, votre compte n'est plus protégé que par votre mot de passe : nous vous recommandons de la garder.