Vérification en deux étapes
Dans un environnement cloud, un mot de passe est suivi d'un code provenant d'une application d'authentification. Configuration, connexion, codes de récupération et procédure à suivre en cas de perte d'un téléphone par un administrateur.
Un déploiement accessible à tous sur Internet ne s'ouvre pas avec un simple mot de passe. Après avoir saisi un mot de passe correct, un code à six chiffres vous est demandé via une application d'authentification sur votre téléphone : Google Authenticator, Microsoft Authenticator, 1Password, Authy ou toute autre application capable de lire un code QR. Un mot de passe volé ou deviné ne permettra alors d'accéder à aucun service.
Depuis le 16 octobre, vous pouvez également utiliser un code d’accès, Windows Hello, Touch ID, Face ID ou votre empreinte digitale, ou un code PIN sur un appareil de confiance, dans Personnalisation > Méthodes de connexion. L’application d’authentification et les codes de récupération restent fonctionnels. Consultez la section « Codes d’accès, empreinte digitale ou visage et code PIN » ; les administrateurs peuvent consulter la section « Méthodes de connexion pour administrateurs », où « Réinitialiser les méthodes de connexion » remplace « Réinitialiser l’authentification à deux facteurs ».
| Où vous vous connectez | Vous avez demandé un code ? |
|---|---|
| Un déploiement dans le cloud (Google Cloud Run, Kubernetes, Azure App Service) | Oui, à chaque fois que vous vous connectez avec un mot de passe. |
| Une copie exécutée sur votre propre machine avec Docker | Non. L'étape de code est désactivée à cet endroit. |
| Authentification unique via l'annuaire de votre entreprise | Non. Votre répertoire demande sa propre deuxième étape, et TRANXACT ne la demande pas deux fois. |
Configuration — la première fois que vous vous connectez
Aucune action préalable n'est requise. Lors de votre première connexion à un déploiement cloud, la page de connexion vous invite à configurer la vérification en deux étapes avant toute autre action.
- Saisissez votre adresse e-mail et votre mot de passe comme d'habitude.
- Ouvrez l'application d'authentification sur votre téléphone, ajoutez un compte et scannez le code QR affiché à l'écran. Si vous ne parvenez pas à le scanner, choisissez « Saisir la clé » et entrez la clé affichée à l'écran.
- Saisissez le code à six chiffres affiché par l'application, puis choisissez « Vérifier » et « Activer ».
- Conservez précieusement les dix codes de récupération : copiez-les, téléchargez-les ou notez-les. Ils ne seront affichés qu’une seule fois.
- Cochez la case « J’ai enregistré ces codes en lieu sûr » et continuez. Vous êtes connecté(e).
L'installation prend quinze minutes. Si ce délai est écoulé ou si vous fermez la page, reconnectez-vous pour obtenir un nouveau code QR ; rien ne sera activé tant que le code n'aura pas été validé.
Se connecter ensuite
- Saisissez votre adresse e-mail et votre mot de passe.
- Ouvrez l'application et saisissez le code à six chiffres affiché pour TRANXACT. Ce code change toutes les trente secondes ; un code qui vient de changer reste valable.
- Choisissez Vérifier.
- Chaque code ne fonctionne qu'une seule fois. Si un code que vous venez d'utiliser est refusé, attendez le suivant.
- Après cinq tentatives infructueuses, vous serez redirigé vers la page de mot de passe. Les tentatives de saisie incorrectes sont comptabilisées de la même manière qu'un mot de passe erroné pour entraîner le blocage de votre compte.
- L'étape de saisie du code dure cinq minutes. Ensuite, saisissez à nouveau votre mot de passe.
Codes de récupération
Si vous n'avez pas votre téléphone sous la main, choisissez « Utiliser un code de récupération » à l'étape du code et saisissez l'un des dix codes enregistrés. Chaque code est valable une seule fois, et l'écran vous indique le nombre de codes restants. Dans Personnalisation → Vérification en deux étapes, vous pouvez créer un nouveau jeu de dix codes à tout moment avec un code valide ; le jeu précédent devient alors inutilisable.
Un nouveau téléphone
- Ouvrez la section Personnalisation et faites défiler jusqu'à Vérification en deux étapes.
- Choisissez « Déplacer vers un nouveau téléphone » et saisissez un code provenant de l’ancien téléphone ou un code de récupération.
- Scannez le nouveau code QR avec le nouveau téléphone et saisissez le code affiché. L'ancien téléphone cesse immédiatement de fonctionner et vous recevez dix nouveaux codes de récupération.
Téléphone et codes perdus : à l’attention des administrateurs
La section Plateforme → Utilisateurs comporte une colonne « Réinitialisation en deux étapes » : « Activée » pour les utilisateurs ayant configuré la sécurité, et « À la prochaine connexion » pour ceux ne s’étant pas connectés depuis son activation. Si vous avez perdu votre téléphone et vos codes de récupération, sélectionnez « Réinitialiser la sécurité en deux étapes » sur la ligne correspondante.
- Leur application d'authentification et leurs codes de récupération cessent de fonctionner.
- Chaque session qu'ils organisent se termine immédiatement.
- Lors de leur prochaine connexion, ils ont configuré un nouvel authentificateur, exactement comme la première fois.
- La réinitialisation est consignée dans le journal d'audit. Personne ne peut voir ni modifier la clé d'une autre personne.
La réinitialisation est le seul moyen de récupérer l'accès à un compte bloqué. Assurez-vous donc qu'il s'agit bien de la personne concernée, par téléphone ou en personne, avant de procéder à la réinitialisation. Toute personne qui parvient à convaincre un administrateur d'effectuer une réinitialisation obtient l'accès au compte dès qu'elle connaît le mot de passe.
L'authentification à deux facteurs et l'interface du comptable sont ouvertes par un utilisateur déjà connecté, ce qui évite de lui redemander un code. Il en va de même pour les tâches planifiées et les clés API, qui ne nécessitent pas de mot de passe.
La console de l'opérateur
La console opérateur d'un environnement mutualisé (TMA) fonctionne de la même manière pour tous les opérateurs : un code après le mot de passe, des codes de récupération et la possibilité de réinitialiser l'authentification à deux facteurs sur l'écran « Opérateurs » pour un autre opérateur. Si personne ne parvient à se connecter, exécutez la commande `npm run operator --reset-mfa <email>` dans le cluster.