La double authentification protège votre compte même si votre mot de passe est volé ou réutilisé ailleurs. L'activer prend deux minutes, depuis votre profil, et ne demande l'accord de personne.
Ce qu'il vous faut
- Au choix : un appareil avec empreinte ou reconnaissance faciale, une clé physique (type YubiKey), ou une application d'authentification.
- Un endroit pour ranger dix codes de secours : un gestionnaire de mots de passe, une impression ou un fichier, ailleurs que sur l'appareil qui servira à vous connecter.
Le chemin
1. Ouvrir votre profil
En bas de la barre latérale, cliquez sur votre nom, puis sur Profil, en tête du menu. Voir la fiche de l'écran Profil. Sur un compte tout neuf, la liste de démarrage du tableau de bord y mène aussi, par la ligne Activez la double authentification.
2. Lire l'état affiché
Dans le bloc Connexion et sécurité, la ligne Double authentification indique Inactive ou Activée. Tant qu'elle est inactive, un bandeau le rappelle : « Votre compte n'est protégé que par un mot de passe. Ajoutez un second facteur. »
3. Ouvrir la gestion de la double authentification
Cliquez sur Gérer ma double authentification : les méthodes et les codes de secours se déplient.
4. Choisir la méthode
Trois méthodes vous sont proposées :
- Clé d'accès (étiquette « Recommandé ») : votre empreinte ou votre visage, avec Touch ID ou Windows Hello. Une page contrefaite ne peut rien en tirer.
- Clé de sécurité (étiquette « Le plus strict ») : une clé physique que vous branchez ou approchez. Sa perte est définitive : gardez vos codes de secours.
- Application d'authentification : un code à six chiffres renouvelé toutes les trente secondes (Google Authenticator, Microsoft Authenticator, 1Password, Authy, Bitwarden).
Le SMS n'est pas proposé : un numéro de téléphone se détourne trop facilement.
5. Confirmer l'enrôlement
Pour une clé, cliquez sur Ajouter et suivez l'invite du navigateur. Pour l'application, cliquez sur Configurer, scannez le QR code, puis saisissez le premier code à six chiffres.
6. Mettre vos codes de secours à l'abri
Dix codes s'affichent aussitôt. Copiez-les, téléchargez-les ou imprimez-les, puis cochez « J'ai conservé mes codes en lieu sûr ». Ils ne seront plus jamais affichés.
Le bouton Générer des codes de secours reste grisé tant qu'aucun second facteur n'est ajouté.
Les codes de secours
Ils vous permettent de vous connecter si vous perdez votre téléphone ou votre clé.
- Chaque code ne sert qu'une fois.
- Le nombre de codes restants est affiché sous le bloc. Quand il en reste peu, générez un nouveau jeu : il remplace l'ancien.
- Personne, ni le support ni un administrateur, ne peut les retrouver pour vous.
Si vous perdez votre second facteur
Sur l'écran de vérification, cliquez sur Utiliser un code de secours et saisissez l'un de vos codes. Une fois connecté, enregistrez un nouveau facteur et générez un nouveau jeu de codes.
Sans code de secours, contactez le support : nous vérifierons votre identité avant de rétablir votre accès. Réinitialiser votre mot de passe ne suffit pas à retirer la double authentification.
Voir aussi J'ai perdu mon second facteur, comment me reconnecter ?.
Retirer un facteur
Pour retirer un facteur, la plateforme vous demande de confirmer votre identité (mot de passe, code ou clé). La confirmation reste valable dix minutes.
Votre dernier facteur ne se retire pas depuis la liste : utilisez Désactiver la double authentification si c'est bien ce que vous voulez.
Chaque changement de sécurité vous est notifié par e-mail. Si vous recevez un avis que vous n'attendiez pas, vérifiez vos sessions ouvertes sans attendre.
Pour les administrateurs : la couverture de la société
L'écran Sécurité de la société (carte Sécurité de Tous les outils, ou lien Sécurité sous votre profil) indique, dans le compteur Membres protégés, combien de comptes ont activé la double authentification. Son panneau liste ceux à qui il manque encore un second facteur : commencez par les comptes d'administration. Voir Comment surveiller la sécurité de mon compte ?.
Le réglage « double authentification imposée » signale les comptes non protégés ; il ne bloque pas encore l'accès. Qui voit cet écran se règle depuis Rôles et droits.
Si ça ne se passe pas comme prévu
- « Code invalide. Vérifiez l'heure de votre téléphone. » Activez la mise à l'heure automatique sur votre téléphone, puis réessayez.
- « La configuration a expiré. Recommencez. » Le QR code est valable un quart d'heure : relancez la configuration.
- « Les clés exigent une connexion sécurisée (HTTPS). » Vérifiez que l'adresse de la page commence par https.
- « Cette clé est déjà enregistrée. » Cet appareil est déjà enregistré sur votre compte.
- « Ce navigateur refuse la clé : l'adresse du site ne correspond pas à celle attendue. » Le souci vient de chez nous : signalez-le au support.
- « C'est votre dernier facteur. » Utilisez « Désactiver la double authentification ».
- « Trop de tentatives. » Patientez quelques minutes : dix essais sont possibles par tranche de dix minutes.