Configurer une application d’authentification

Objectif

Configurer une application d’authentification pour que la connexion demande un code à six chiffres en plus de votre mot de passe.

Les comptes de plateforme doivent en avoir une. Le Shell et le Centre de contrôle d’administration contiennent le dossier commercial de chaque client : la première fois que vous vous connectez sans application d’authentification, vous êtes conduit directement à cet écran et ne pouvez aller nulle part ailleurs tant que ce n’est pas fait. Cela prend environ une minute.

Si vous êtes un client qui se connecte à parsware.com, c’est facultatif — proposé, jamais exigé.

Prérequis

• Une application d’authentification sur votre téléphone. Microsoft Authenticator, Google Authenticator, 1Password, Bitwarden et Authy fonctionnent tous — il s’agit de la connexion en deux étapes standard, pas d’une fonctionnalité Microsoft : utilisez celle que vous avez déjà plutôt que d’en installer une autre.
• Un endroit sûr pour conserver dix codes de récupération. Un gestionnaire de mots de passe est idéal ; une photo dans votre pellicule ne l’est pas.

Étapes

1. Connectez-vous avec votre adresse e-mail et votre mot de passe, comme d’habitude. Si votre compte n’a pas encore d’application d’authentification, l’écran Configurer une application d’authentification apparaît de lui-même.

2. Ouvrez votre application d’authentification et scannez le code carré affiché à l’écran.

   Si l’appareil photo ne parvient pas à le lire, utilisez plutôt la clé imprimée en dessous : dans votre application, choisissez d’ajouter un compte manuellement, puis saisissez la clé exactement telle qu’elle est affichée. Les espaces ne sont là que pour la lisibilité — votre application les ignorera.

3. Votre application affiche maintenant un code à six chiffres qui change toutes les trente secondes. Saisissez le code en cours dans Saisissez le code à six chiffres de votre application et sélectionnez Vérifier.

   S’il est refusé, la cause habituelle est l’horloge de votre téléphone. Les codes en deux étapes sont calculés à partir de l’heure : un téléphone décalé d’une minute produit des codes que la plateforme n’acceptera pas. Activez la date et l’heure automatiques sur le téléphone et réessayez.

4. Enregistrez vos codes de récupération. Dix codes apparaissent. Chacun vous connecte une fois si vous n’avez pas votre téléphone.

   C’est la seule fois où ils sont affichés. La plateforme les stocke comme elle stocke un mot de passe : personne — pas même le support — ne pourra vous les relire plus tard.

5. Cochez J’ai enregistré ces codes en lieu sûr et sélectionnez Terminer la configuration.

6. Reconnectez-vous, en saisissant cette fois un code de votre application lorsqu’il vous est demandé.

   On vous demande de vous reconnecter parce que la connexion limitée qui vous a amené à l’écran de configuration ne peut délibérément rien faire d’autre.

Et ensuite

Désormais, la connexion demande un code après votre mot de passe. Certaines actions en redemandent un même lorsque vous êtes connecté — modifier les rôles de quelqu’un, par exemple. C’est délibéré : ce sont les actions avec lesquelles quelqu’un qui s’approcherait d’un ordinateur portable déverrouillé ferait de vrais dégâts ; la plateforme vous demande donc de prouver que c’est bien vous, et pas seulement que la session est ouverte.

Si vous perdez votre téléphone

Utilisez l’un de vos codes de récupération à la place du code à six chiffres. Chacun ne fonctionne qu’une fois.

Si vous avez perdu votre téléphone et vos codes de récupération, le support ne peut pas désactiver la connexion en deux étapes pour vous. Ce n’est pas de la mauvaise volonté — « j’ai perdu mon téléphone, merci de désactiver ma connexion en deux étapes » est exactement ce que dirait quelqu’un qui tente de pénétrer dans votre compte, et un support qui accepte est un support qui a supprimé la protection pour tout le monde. La récupération d’un tel compte est un acte d’administration délibéré, effectué sur le serveur par la personne qui gère votre déploiement.

Ce contre quoi cela vous protège, et ce contre quoi cela ne vous protège pas

Cela empêche quelqu’un qui possède votre mot de passe — à cause d’un mot de passe réutilisé, d’une fuite ou d’une supposition — de se connecter à votre place.

Cela n’empêche pas une fausse page de connexion convaincante : un site qui recueille votre mot de passe et votre code peut utiliser les deux dans les trente secondes. Traitez une page de connexion atteinte depuis un lien dans un e-mail avec la même méfiance que n’importe quelle autre, et vérifiez que la barre d’adresse affiche bien l’adresse attendue.