Double authentification

Activer

Dans Sécurité, scannez le code affiché avec votre application d’authentification, ou saisissez la clé à la main si vous n’avez pas de caméra. Votre mot de passe est demandé pour commencer.

Activer ou désactiver son second facteur ferme toutes vos sessions, sur tous vos appareils. C’est le même mécanisme qu’un changement de mot de passe. Il faut se reconnecter, et c’est voulu.

Les codes de secours

10 codes, montrés une seule fois, à l’activation. Téléchargez-les ou notez-les à ce moment-là : la base n’en garde que l’empreinte, et personne (pas même nous) ne peut vous les redonner.

Chaque code ne sert qu’une fois. L’écran Sécurité affiche combien il en reste.

Feuille perdue, codes presque épuisés, ou vus par quelqu’un d’autre ? Dans Sécurité, « Régénérer mes codes de secours » en donne 10 neufs, montrés une seule fois eux aussi. Les anciens cessent aussitôt de fonctionner, y compris ceux que vous n’aviez pas utilisés. Personne n’est déconnecté.

Il faut le code à six chiffres de votre application, pas un code de secours. Les codes de secours sont justement ce que ce geste protège : s’il suffisait d’en tenir un pour annuler les autres, une feuille entrevue sur un bureau vaudrait votre compte.

Si vous les perdez tous et votre téléphone avec : un administrateur de votre organisation peut retirer votre second facteur. Il ne peut pas le faire pour lui-même, et la personne concernée en est prévenue par e-mail.

Changer son mot de passe

Dans Sécurité, sous « Mot de passe ». Votre mot de passe actuel est demandé, et un code si la double authentification est active : celui de votre application, ou un code de secours. Le nouveau mot de passe suit la même règle qu’à l’inscription, douze caractères au moins.

Changer son mot de passe ferme toutes vos sessions, sur tous vos appareils, celle d’où vous le changez comprise. Vous vous reconnectez avec le nouveau. Les clés d’API, elles, continuent de fonctionner : une clé se révoque depuis l’écran des clés.

Un compte créé avec « Continuer avec Google » n’a pas de mot de passe, et l’écran le dit. Pour en poser un, passez par « Mot de passe oublié » : le lien reçu par e-mail prouve que l’adresse est la vôtre, et le bouton Google continue de marcher.

L’exiger de toute une équipe

Un administrateur peut rendre le second facteur obligatoire pour l’organisation. L’écran affiche alors combien de membres ne l’ont pas encore activé.

• Personne n’est expulsé : les sessions ouvertes restent ouvertes, et personne ne perd un brouillon en cours. Le membre concerné est conduit vers l’écran Sécurité à sa prochaine action.
• Les invitations passent toujours. On ne peut pas activer un second facteur sur un compte qu’on n’a pas encore.
• Les clés d’API et le serveur MCP ne sont pas concernés. Il n’y a personne devant une clé : lui réclamer six chiffres couperait votre ordonnanceur dans la seconde. La liste des clés encore valables est affichée à côté du réglage, précisément pour cette raison.
• Se connecter avec un compte Google reste un premier facteur, pas une dispense : rien ne nous dit si ce compte-là a sa propre validation en deux étapes.