Configurer et utiliser l'authentification à deux facteurs

L'authentification à deux facteurs (2FA) ajoute un code à usage unique à la connexion. Après vérification du compte et du mot de passe, l'utilisateur saisit, lorsque demandé, un code produit par une application d'authentification. Sans association préalable, il doit d'abord associer l'application. Ce chapitre concerne principalement la configuration et la connexion des administrateurs de la console. Vérifiez séparément, dans votre déploiement, les autres points d'accès utilisateur, l'authentification unique et les clients ; le commutateur de la console ne prouve pas que tous les accès sont protégés.

Les commandes ci-dessous utilisent les libellés anglais vérifiés de l'interface.

Préparer l'activation

1. Utilisez un compte administrateur autorisé à consulter et modifier les paramètres de plateforme. L'association d'une application dans l'espace personnel peut aussi nécessiter ces droits. Assurez-vous que des personnes gèrent les comptes et appareils d'authentification. Le réglage global touche plusieurs comptes : informez les personnes concernées et prévoyez un test contrôlé.
2. Préparez, pour un compte de test, un appareil protégé équipé d'une application de codes à usage unique et vérifiez son heure. Prévoyez un canal d'assistance en cas d'indisponibilité de l'appareil, conformément aux procédures de sécurité. Sans vérification du processus de récupération, ne promettez pas une récupération autonome.
3. Protégez les QR codes d'association et les codes de vérification. Ne les partagez pas par un canal non fiable et ne placez pas de captures du QR code dans un ticket, un chat ou un document public. N'effectuez pas l'association à la place d'une autre personne.

Activer l'exigence globale

1. Dans les paramètres système, ouvrez Authentication Security et trouvez Two-Factor Authentication (2FA). En cas d'échec du chargement, traitez d'abord le message ; ne déduisez pas la configuration réelle d'un affichage non confirmé.
2. Activez le commutateur et confirmez dans la boîte de dialogue. Vérifiez le message de réussite et l'état du commutateur ; rouvrez la page au besoin. L'affichage de la confirmation ou le déplacement du commutateur ne prouve pas l'enregistrement.
3. Lors d'un test contrôlé, reconnectez-vous avec un compte administrateur de test. Après vérification du compte et du mot de passe, associez l'application ou saisissez le code demandé, puis vérifiez la connexion. Le réglage global affecte aussi certains parcours utilisateurs employant la même authentification de compte : testez chaque accès pertinent avant utilisation. Un enregistrement réussi ne prouve ni la déconnexion immédiate de toutes les sessions existantes ni la validation de tous les accès.

Première association et connexions ultérieures

1. Si la connexion administrateur demande une première association, scannez le QR code avec l'application sur l'appareil personnel protégé. Saisissez le code à usage unique de l'entrée correspondant au compte actuel et confirmez.
2. Après association et connexion, protégez l'appareil. Lors d'une connexion ultérieure, saisissez le code courant de la même application lorsqu'il est demandé. Les codes changent ; ne réutilisez pas un code expiré.
3. Dans la console déjà ouverte, accédez à l'espace personnel et vérifiez Security Authentication sous Account Security. Lorsque la fonction est active, Authenticator App affiche l'état et l'action disponible Add ou Rebind. Avant une nouvelle association, assurez-vous de pouvoir la terminer et vous reconnecter ; ne fermez pas la session sans méthode de vérification utilisable.
4. Lorsque le commutateur global est désactivé, l'administrateur actuel peut activer individuellement Security Authentication dans son espace personnel et, si nécessaire, scanner le QR code et saisir le code. Une modification de sécurité du compte peut imposer une nouvelle connexion ; vérifiez le résultat avec ce compte.

Rebind permet d'ajouter l'application sur un nouvel appareil contrôlé, mais ne doit pas être considéré comme une révocation de l'ancien : son application peut encore produire des codes valides. En cas de perte ou de risque de divulgation, contactez rapidement un administrateur selon la procédure d'incident de sécurité des comptes. Ne considérez pas le risque éliminé par la seule nouvelle association.

Paramètre du compte après liaison dans l’espace personnel : terminer l’ajout ou la nouvelle liaison dans l’espace personnel active aussi l’authentification de sécurité du compte courant, même si l’exigence globale est déjà active. Si l’interrupteur global est ensuite désactivé, ce compte peut encore demander un code en raison de son propre réglage ; vérifiez son état selon la procédure de l’organisation. La première liaison proposée lors de la connexion est un autre processus et ne permet pas à elle seule de déduire l’état du réglage individuel.

Désactivation et effets

Désactivez le commutateur global dans Authentication Security, confirmez la boîte de dialogue et vérifiez l'enregistrement. La suppression de l'exigence globale réduit la protection du parcours concerné ; obtenez l'autorisation de l'organisation et évaluez les conséquences auparavant.

Désactiver le commutateur global ne supprime pas l'exigence à deux facteurs pour tous les comptes. Un compte dont la sécurité est activée individuellement peut encore demander un code. Lorsque l'exigence globale est active, le commutateur personnel ne peut pas être désactivé individuellement ; un administrateur habilité traite les changements selon la procédure de l'organisation.

Après modification, testez la connexion réelle avec un compte contrôlé. Ne supposez pas que les données d'association sont effacées ni que toutes les sessions existantes sont immédiatement invalidées.

Questions courantes

• Commutateur global impossible à modifier : vérifiez le droit de modification des paramètres, le réseau et le message d'enregistrement. Corrigez les erreurs de chargement ou d'enregistrement, puis rouvrez la page pour confirmer l'état.
• Code refusé après le scan : vérifiez l'entrée correspondant au compte, le code courant, l'heure de l'appareil et le réseau. En cas d'échecs répétés, suivez la procédure interne et évitez les tentatives excessives susceptibles de déclencher une protection de connexion.
• QR code absent ou association impossible lors de la connexion : revenez à la page de connexion, recommencez et vérifiez le réseau et les messages. Si le problème persiste, contactez l’administrateur ou le support sans transmettre le QR code ni le code de vérification.
• Échec du chargement ou de l’association dans l’espace personnel après connexion : vérifiez le réseau et le droit de consultation des paramètres de la plateforme. La lecture du QR code exige aussi ce droit ; la confirmation de l’association exige le droit de modification correspondant. Demandez à un administrateur autorisé de vérifier selon les procédures d’approbation et de moindre privilège, sans élargir les droits de façon générale pour le dépannage. Ce parcours diffère de la première association lors de la connexion.
• Appareil remplacé ou perdu : si vous pouvez encore vous connecter, utilisez Rebind dans l'espace personnel sur le nouvel appareil et vérifiez la connexion avec son code. Sinon, contactez l'administrateur autorisé à gérer la récupération. Celle-ci dépend de la configuration de l'organisation ; ne supposez pas l'existence d'une réinitialisation autonome ou de codes de secours. Rebind ne révoque pas à lui seul l'ancien appareil.
• Code toujours demandé après désactivation globale : vérifiez l'activation individuelle de la sécurité du compte. Décidez du maintien de l'exigence selon les autorisations internes ; ne désactivez pas arbitrairement la sécurité d'autres comptes pour dépanner.