Mot de passe et 2FA

Réglages → Sécurité. Trois cartes, rangées selon ce qu’elles protègent : le mot de passe qui ouvre le compte, le second facteur qui le renforce, et la liste des appareils actuellement connectés.

Changer votre mot de passe

Saisissez le mot de passe actuel, le nouveau, puis sa confirmation. Le nouveau mot de passe doit compter au moins 12 caractères et au plus 200 ; tous les caractères sont acceptés, et aucune règle n’impose de chiffre ou de symbole.

La longueur ne suffit pas pour autant. L’API évalue le mot de passe et refuse celui qui se devine facilement, même s’il est assez long, en indiquant ce qui le rend prévisible : un mot courant, une suite de touches du clavier, une date, un motif répété. motdepasse12345 fait quinze caractères et sera refusé.

Changer de mot de passe ferme toutes les autres sessions, sur tous les appareils, et conserve celle que vous utilisez. C’est le moyen le plus rapide de couper une session qui vous paraît suspecte.

Double authentification

Le second facteur est un code à six chiffres, fourni par une application d’authentification et demandé après le mot de passe à chaque connexion. Il reste désactivé tant que vous ne l’activez pas.

1. Appuyez sur Activer. Un QR code apparaît, avec en dessous la même clé écrite en clair, pour les applications qui ne savent pas scanner.

2. Scannez-le, saisissez dans le champ le code à six chiffres affiché par l’application, puis confirmez. Le code est vérifié avant toute activation : si le QR code a été mal scanné, l’erreur apparaît tout de suite, et pas à votre prochaine connexion.

3. Dix codes de récupération s’affichent, sous la forme abcd-2345. Copiez-les, ou téléchargez-les dans le fichier badlen-codes-recuperation.txt. Le bouton qui ferme le panneau reste désactivé tant que vous n’avez pas coché la case confirmant que vous les avez rangés en lieu sûr.

Les codes ne s'affichent qu'une fois

Une fois le panneau fermé, il n’en reste aucune copie. Si vous les perdez, Régénérer les codes, sur la même carte, en crée une nouvelle série. Il vous faut d’abord un code de l’application, ou l’un des anciens codes de récupération si c’est l’application que vous avez perdue : une nouvelle série vaut elle-même second facteur. L’ancienne série cesse de fonctionner dès que la nouvelle est créée.

Chaque code de récupération ne sert qu’une fois, à la place de l’application, et la carte indique combien il vous en reste. Utilisez-en un pour vous connecter si vous avez perdu votre téléphone, puis régénérez la série.

Un code de l’application ne sert qu’une fois, lui aussi : pour vous reconnecter dans les trente secondes où il reste affiché, la connexion vous dit qu’il vient de servir et attend le suivant.

Pour désactiver la double authentification, appuyez sur Désactiver et saisissez un code de l’application. Le secret enregistré et les codes de récupération restants sont effacés en même temps.

Quand aucun code ne peut être vérifié

Une instance restaurée avec une autre SECRET_ENCRYPTION_KEY contient un secret qu’elle ne peut pas déchiffrer : aucun code ne pourra donc jamais être accepté. Dans ce seul cas, c’est votre mot de passe qui vous est demandé à la place d’un code, et la page Restaurer sous une autre clé explique la marche à suivre.

Appareils connectés

Chaque session ouverte apparaît avec son navigateur, son adresse IP, sa date d’ouverture, sa date de dernière utilisation et sa date d’expiration. Tant que vous l’utilisez, une session se renouvelle environ tous les quarts d’heure, et son expiration recule d’autant : sept jours après la dernière utilisation, sauf si l’instance est configurée autrement. Votre session est signalée par session actuelle.

Révoquer ferme l’une d’elles. Déconnecter les autres les ferme toutes, sauf la vôtre, d’un seul clic. Aucune de ces actions ne demande de mot de passe, puisqu’elles ne sont accessibles que depuis votre propre session.

Une session ouverte sans cocher Se souvenir de moi reste une session de navigateur à chaque renouvellement comme après un changement de mot de passe : fermer le navigateur y met fin. Et un même code ne passe pas deux fois, même envoyé deux fois au même instant : le code de l’application comme le code de récupération sont consommés par la première requête qui les présente.