Configurer l'authentification à deux facteurs

L'authentification à deux facteurs (2FA) protège votre compte avec une seconde preuve d'identité en plus de votre mot de passe, de sorte qu'un mot de passe volé seul ne permet pas d'accéder à votre compte. Comme second facteur, vous pouvez utiliser une application d'authentification, des passkeys, ou les deux. Ce guide vous accompagne pour activer la 2FA avec une application d'authentification, enregistrer votre code de secours, et vous indique quoi faire si vous perdez votre téléphone. Pour comprendre comment la 2FA s'intègre à la connexion et à la sécurité du compte dans son ensemble, voir Authentification.

Où la trouver

Tout ce qui suit se passe sur votre page Profil, sous l'onglet Sécurité, dans la carte nommée Sécurité. Ouvrir dans Mirox — menu Profil ▸ Profil ▸ Sécurité.

Avant de commencer

  • Installez sur votre téléphone (ou un équivalent de bureau) une application d'authentification qui génère des mots de passe à usage unique basés sur le temps (TOTP). La plupart des applications d'authentification standard fonctionnent.
  • Prévoyez un endroit sûr pour un code de secours : un gestionnaire de mots de passe, ou un papier rangé sous clé.
  • La configuration ne peut pas vous bloquer. La 2FA ne s'active qu'après la saisie d'un code valide.
  • L'application d'authentification se configure dans l'application web. L'application mobile demande votre code ou votre passkey à la connexion et, depuis la version 1.1.2, peut ajouter des passkeys elle-même dans Réglages ▸ Compte ▸ Passkeys.

Activer l'authentification à deux facteurs

Sur la carte Sécurité, le badge de statut affiche Désactivée tant que vous n'avez pas activé la 2FA.

  1. Ouvrez votre Profil et sélectionnez l'onglet Sécurité.
  2. Dans la carte Sécurité, cliquez sur Activer. Une boîte de dialogue de configuration s'ouvre avec trois étapes.
  3. Scannez le QR code. Dans votre application d'authentification, ajoutez un nouveau compte et scannez le QR code affiché dans la boîte de dialogue. Si vous ne pouvez pas le scanner, copiez le secret sous Saisie manuelle et tapez-le dans l'application à la main. Cliquez sur Suivant.
  4. Enregistrez votre code de secours. La boîte de dialogue affiche votre code de secours (voir Enregistrer votre code de secours ci-dessous). Conservez-le avant de continuer. Cliquez sur Suivant.
  5. Vérifiez et activez. Saisissez le code à 6 chiffres actuel de votre application d'authentification et cliquez sur Vérifier et activer.

Une fois vérifiée, le badge de statut passe à Activée et affiche la date d'activation de la 2FA.

Ce qui change une fois la 2FA activée

  • Chaque connexion demande un code. Après votre mot de passe, vous saisissez le code à 6 chiffres actuel de votre application d'authentification, ou vous confirmez avec votre passkey si vous en avez une. C'est pareil dans le navigateur et dans l'application mobile.
  • Vous vous connectez peut-être un peu plus souvent. Si votre organisation a fixé un intervalle de revérification 2FA, Mirox vous demande de vous reconnecter un certain temps après la dernière saisie de votre code. Par défaut, il n'y a pas de tel intervalle. Vous vous connectez avec votre mot de passe et un code ou votre passkey, puis vous reprenez là où vous étiez. Voir Gérer vos sessions.
  • Vous pouvez utiliser le proxy d'équipement. Ouvrir l'interface web d'un équipement via le Proxy n'est possible qu'avec la 2FA sur votre compte.

Gardez votre application d'authentification avec vous

Sans code en cours de validité — ni passkey — vous ne pouvez pas vous connecter. Gardez l'application d'authentification sur un appareil que vous transportez, et conservez votre code de secours ailleurs.

Enregistrer votre code de secours

Lorsque vous activez la 2FA, vous recevez un seul code de secours de 8 caractères. C'est votre moyen de revenir si vous perdez l'accès à votre application d'authentification, alors traitez-le comme une clé de rechange.

  • Copiez le code (utilisez le bouton de copie à côté) et conservez-le dans un endroit sûr, séparé de votre téléphone.
  • Le code est affiché une seule fois, pendant la configuration. Vous ne détenez qu'un seul code de secours à la fois. Il ne s'agit pas d'une liste imprimable de dix codes.
  • Le code de secours ne se saisit que sur l'écran de connexion, à la place du code à 6 chiffres.
  • Utiliser le code de secours vous connecte et désactive l'application d'authentification sur votre compte. Une passkey reste en place. Aucun nouveau code de secours n'est émis. Vous configurez ensuite la 2FA à nouveau et recevez alors un nouveau code de secours.

Ne sautez pas cette étape

Si vous perdez votre application d'authentification et n'avez ni code de secours ni passkey, vous ne pouvez pas vous connecter par vous-même. Le support Mirox doit alors réinitialiser votre second facteur. Conservez le code avant de terminer la configuration.

Confirmer que votre application est synchronisée

Après la configuration, vous pouvez vérifier que votre authentificateur génère des codes valides sans rien changer sur votre compte.

  1. Sur la carte Sécurité, cliquez sur Vérifier la 2FA.
  2. Saisissez un code actuel de votre application d'authentification.
  3. Un message de succès confirme que le code est valide. Il s'agit d'un essai à blanc. Rien sur votre compte ne change.

Utilisez ceci à tout moment si vous n'êtes pas sûr que votre application est toujours synchronisée, par exemple après avoir transféré votre authentificateur sur un nouveau téléphone.

Gérer votre code de secours et la 2FA

La carte Sécurité vous offre trois actions une fois la 2FA activée :

  • Nouveaux codes de secours — Émettez un nouveau code de secours. Vous confirmez d'abord avec un code d'authentification actuel. Le code de secours précédent cesse aussitôt de fonctionner, alors notez le nouveau.
  • Vérifier la 2FA — Lancez la vérification sans modification décrite ci-dessus.
  • Désactiver — Désactivez la 2FA. Vous devez saisir un code d'authentification actuel pour confirmer. Votre compte revient à une connexion par mot de passe uniquement jusqu'à ce que vous réactiviez la 2FA, sauf si vous avez aussi une passkey.

Ce que vous perdez en désactivant la 2FA

Sans second facteur (application d'authentification ou passkey), vous ne pouvez plus ouvrir d'équipements via le Proxy. Si une organisation avec laquelle vous travaillez exige la 2FA, ses centrales vous sont masquées jusqu'à ce que vous en ayez de nouveau un. Voir Si une organisation exige la 2FA.

Passkeys

Une passkey permet à votre appareil de prouver que c’est bien vous : Face ID, Touch ID, Windows Hello ou une clé de sécurité au lieu d’un code saisi. Elle ne fonctionne que sur la vraie page de connexion de Mirox et ne peut donc pas être hameçonnée. Une passkey est un second facteur à elle seule : vous pouvez utiliser des passkeys à la place d’une application d’authentification, à côté d’elle, ou pas du tout. Partout où Mirox demande un second facteur, une passkey compte.

Ajouter une passkey :

  1. Ouvrez votre Profil, sélectionnez l’onglet Sécurité et, dans la carte Sécurité, cliquez sur Ajouter une passkey sous Passkeys. Dans l’application mobile : Réglages ▸ Compte ▸ Passkeys ▸ Ajouter une passkey.
  2. Confirmez que c’est bien vous : avec un code actuel si vous utilisez une application d’authentification, sinon avec votre mot de passe. Une passkey est un second facteur à elle seule.
  3. Suivez l’invite de votre appareil (Face ID, Touch ID, Windows Hello ou touchez votre clé de sécurité). Annuler l’invite n’ajoute rien.

La passkey apparaît dans la liste avec sa date d’ajout et de dernière utilisation. Renommez-la avec le crayon ou supprimez-la avec la corbeille. Ajoutez une passkey sur chaque appareil depuis lequel vous vous connectez, ou conservez aussi une application d’authentification, pour toujours avoir un facteur sous la main.

Se connecter avec une passkey : sur la page de connexion, choisissez Se connecter avec une passkey, saisissez votre e-mail et confirmez sur votre appareil. Vous êtes connecté sans mot de passe, second facteur compris. Si vous vous connectez plutôt avec votre mot de passe, l’écran du code propose Utiliser une passkey à côté du code à 6 chiffres ; le code de secours y reste disponible aussi.

Sur un appareil sans votre passkey : si une passkey est votre seul second facteur, l’écran du code propose Envoyer un code par e-mail. Mirox envoie un code à 6 chiffres à usage unique à l’adresse e-mail de votre compte ; il est valable peu de temps, et un seul code est actif à la fois. Saisissez-le pour terminer la connexion. L’application mobile propose aussi le code par e-mail. Les comptes avec une application d’authentification ne reçoivent pas de code par e-mail ; ils utilisent l’application ou le code de secours.

Toutes vos passkeys perdues ? Connectez-vous avec votre mot de passe et le code par e-mail, puis ajoutez une nouvelle passkey ou activez une application d’authentification. Vous n’avez pas besoin du support pour cela.

Supprimer votre dernier second facteur

Vous pouvez supprimer votre dernière passkey, et vous pouvez désactiver la 2FA tant qu’une passkey reste ; Mirox vous avertit avant que votre compte ne se retrouve sans second facteur. Sans second facteur, le proxy d’équipement vous est fermé, et les centrales des organisations qui exigent la 2FA sont masquées jusqu’à ce que vous ajoutiez une passkey ou réactiviez la 2FA.

Si une organisation exige la 2FA

Par défaut, la 2FA relève de votre propre choix. Une organisation peut décider que ses centrales ne sont affichées qu'aux utilisateurs qui ont la 2FA. La règle vient de l'organisation propriétaire de la centrale : il peut donc s'agir de votre propre organisation ou d'un partenaire de coopération sur les centrales duquel vous travaillez.

  • Avant la date de début, rien ne change pour vous. La date est toujours fixée au moins 24 heures à l'avance : profitez de ce délai pour activer la 2FA.
  • À partir de la date de début, si vous n'avez pas la 2FA, vous ne voyez plus les centrales de cette organisation : ni dans les listes et les tableaux de bord, ni sur les pages des centrales, ni via le proxy d'équipement, ni dans les exports, ni dans Grafana. Grafana suit dans un délai d'environ une heure, aussi bien au début de la règle qu'après l'activation de votre 2FA.
  • Vous restez connecté. Votre profil, vos paramètres et les pages de l'organisation continuent de fonctionner, et un message dans l'en-tête vous invite à activer la 2FA.
  • Les notifications d'alarme continuent d'arriver, y compris pour les centrales masquées.
  • Dès que vous activez la 2FA, les centrales réapparaissent. Personne n'a besoin de vous débloquer.

Les centrales des autres organisations ne sont pas concernées. Les détails se trouvent sur la page Politique de sécurité de l'organisation.

Si vous perdez votre application d'authentification

Vous avez aussi une passkey : connectez-vous avec elle ; votre compte conserve son second facteur.

Vous avez encore votre code de secours :

  1. Connectez-vous avec votre adresse e-mail et votre mot de passe comme d'habitude.
  2. Sur l'écran à deux facteurs, choisissez Utiliser le code de secours et saisissez votre code de 8 caractères.

Le code de secours désactive l'application d'authentification

Se connecter avec votre code de secours termine la connexion et désactive l'application d'authentification sur votre compte ; une passkey reste en place. Le code de secours est alors consommé et aucun nouveau n'est émis. Allez sur la carte Sécurité et réactivez la 2FA avec un nouveau scan de QR code. D'ici là — sauf si vous avez une passkey — le proxy d'équipement vous est fermé, et les centrales des organisations qui exigent la 2FA sont masquées.

Vous n'avez ni code de secours ni passkey : contactez le support Mirox. Le support peut réinitialiser votre second facteur. Cela vous déconnecte partout, dans chaque navigateur et dans l'application mobile. Vous vous connectez ensuite avec votre mot de passe et configurez la 2FA à nouveau.

Les codes erronés comptent comme les mots de passe erronés

Un code à 6 chiffres erroné ou un code de secours erroné à la connexion compte comme un mot de passe erroné. Après 5 tentatives erronées en une heure, la connexion à votre compte est suspendue pendant 15 minutes. Voir Compte temporairement verrouillé.

Bonnes pratiques

  • Activez la 2FA sur chaque compte ayant accès aux opérations de la centrale. C'est la plus grande amélioration que vous puissiez apporter à la sécurité du compte.
  • Conservez votre code de secours dans un endroit accessible sans votre téléphone.
  • Lorsque vous remplacez ou réinitialisez votre téléphone, configurez d'abord l'authentificateur sur le nouvel appareil, puis lancez Vérifier la 2FA pour confirmer qu'il fonctionne avant d'effacer l'ancien.
  • Associez la 2FA à des revues régulières de vos sessions afin de pouvoir repérer et déconnecter tout appareil que vous ne reconnaissez pas.