Sécuriser la connexion

Les règles de mot de passe, le verrouillage après des erreurs et la double authentification se règlent dans l'écran Configuration système (Administration › Instance et exploitation › Configuration), catégorie Authentication. Cet écran est réservé aux administrateurs. Chaque réglage se change avec Modifier, et Historique montre ses valeurs passées. Un réglage absent de la liste s'ajoute avec + Ajouter, en indiquant sa clé exacte.

Les fournisseurs de connexion (formulaire, Microsoft 365, Google Workspace, OpenID Connect, inscription libre) se règlent ailleurs : voir la page « Régler la connexion ».

Règles de mot de passe

Elles s'appliquent à tout nouveau mot de passe (inscription, changement, réinitialisation) :

Verrouillage temporaire

Après plusieurs mots de passe erronés de suite, le compte est verrouillé un moment, puis de plus en plus longtemps si les erreurs reprennent :

Pendant le verrouillage, toute tentative est refusée sans que le mot de passe soit vérifié, et elle ne prolonge pas le verrouillage. Le titulaire du compte est prévenu par e-mail. Le compte garde le statut Actif pendant ce verrouillage : la liste des utilisateurs ne le montre pas, et le bouton Déverrouiller n'apparaît pas (il ne concerne que le statut Verrouillé, qu'aucune action actuelle ne pose plus). Le verrouillage se lève de lui-même à la fin du délai ; pour le lever tout de suite, réinitialisez le mot de passe d'un compte local depuis l'administration des utilisateurs.

Double authentification

Un utilisateur peut protéger son compte par un second facteur : un code reçu par e-mail, par SMS, par l'un ou l'autre, ou donné par une application d'authentification. Il reçoit aussi des codes de secours, utilisables une seule fois si le second facteur est perdu.

Rendre la double authentification obligatoire. Passez le réglage auth.require2fa à true (false par défaut). Elle est alors exigée de tout compte qui se connecte avec un mot de passe local ; un compte sans mot de passe local, qui se connecte uniquement par un fournisseur d'identité (Microsoft 365, Google Workspace, OpenID Connect), n'est pas concerné. Un utilisateur qui n'a pas encore de second facteur doit en configurer un à sa prochaine connexion. Une dispense temporaire (30 jours au plus) peut être accordée à un compte depuis l'administration des utilisateurs.

Rendre la double authentification obligatoire pour les seuls administrateurs. Passez le réglage auth.require2fa.admins à true (false par défaut). Elle est alors exigée, de la même façon, des seuls comptes administrateurs : membres des groupes ADMINS ou DEVS. Les autres comptes gardent le choix, y compris les membres des groupes d'administration d'un module (par exemple les administrateurs du Service Desk) : pour eux aussi, rendez-la obligatoire avec auth.require2fa. Un administrateur qui n'a pas encore de second facteur doit en configurer un à sa prochaine connexion ; il ne peut plus le désactiver lui-même, et la dispense temporaire s'applique aussi. Le réglage est sans effet quand auth.require2fa vaut true, qui l'impose déjà à tous. Dans l'administration des utilisateurs, la fiche d'un administrateur indique « obligatoire pour les administrateurs », comme sa page de profil.

Réglages des codes envoyés par e-mail ou SMS :

Appareils de confiance. Avec auth.trustedDevices.enabled à true (false par défaut), la page de saisie du code propose la case « Ne plus me demander sur cet appareil pendant 30 jours ».

Autres réglages

• Auth:AccessDenied:Contact : texte affiché sur la page « Accès refusé » pour indiquer à qui demander un accès (service, adresse e-mail, lien). Vide, rien n'est affiché.
• Quand un administrateur réinitialise le mot de passe d'un compte, toutes les sessions ouvertes de ce compte sont fermées.