Un mot de passe seul peut être deviné, hameçonné ou réutilisé. Un second facteur rend un mot de passe volé inutile. Hermetry prend en charge les clés d’accès (passkeys) et les codes à usage unique, peut exiger un second facteur pour chaque membre, et le redemande avant certaines actions à fort impact. Cette page explique chacun de ces éléments.
Seconds facteurs
| Facteur | Fonctionnement | Robustesse |
|---|---|---|
| Passkey | Une empreinte digitale, le visage, le code PIN de l’appareil ou une clé de sécurité matérielle. Résistant à l’hameçonnage : il ne fonctionne que sur la véritable adresse de Hermetry. | Maximale. Une connexion par passkey compte à elle seule comme un second facteur complété. |
| Application d’authentification | Un code temporel (TOTP) généré par une application sur votre téléphone, avec des codes de secours. | Élevée. |
| E-mail / SMS | Un code à usage unique envoyé à votre adresse ou à votre téléphone. | Plus faible : les comptes de messagerie et les numéros de téléphone peuvent être détournés. |
À la connexion, un compte doté d’un facteur par code passe par l’étape Vérification en deux étapes : choisissez la Méthode de vérification (Application d’authentification, E-mail ou SMS), sélectionnez Envoyer le code si nécessaire, saisissez le Code et cliquez sur Vérifier.
| Message | Signification |
|---|---|
| « Ce code n’a pas fonctionné. Réessayez. » / « Ce code n’est pas correct. Vérifiez-le et réessayez. » | Code erroné. |
| « Ce code a expiré. Envoyez-en un nouveau. » | Les codes e-mail et SMS sont de courte durée. |
| « Trop de codes erronés. Veuillez patienter quelques minutes et réessayer. » | Le facteur est bloqué pendant un certain temps après plusieurs codes erronés. |
| « Cette organisation exige une vérification en deux étapes. Reconnectez-vous et effectuez-la. » | Votre organisation exige un second facteur et cette session n’en a aucun. |
En cours de développement : la configuration d’une application d’authentification, de codes par e-mail ou de codes SMS depuis Mon profil est en cours de développement. Aujourd’hui, chaque membre peut ajouter lui-même une passkey ; utilisez-la comme second facteur.
Passkeys
Ajouter une passkey
- Ouvrez Mon profil > Passkeys (« Authentification par biométrie ou clé matérielle »).
- Sélectionnez Ajouter une passkey et suivez les étapes de votre navigateur.
- Donnez-lui un nom, par exemple « ordinateur portable professionnel » (Renommer, de 1 à 64 caractères).
Chaque personne peut enregistrer jusqu’à 10 passkeys. L’authentificateur doit confirmer que c’est bien vous au moyen d’un code PIN, d’une empreinte digitale ou du visage ; un authentificateur qui ne le peut pas est refusé : « Cet authentificateur ne peut pas confirmer qu’il s’agit de vous par un code PIN, une empreinte digitale ou le visage, il ne peut donc pas être enregistré. »
Ajouter une passkey de secours
Avec une seule passkey, la page affiche l’avertissement Ajouter une passkey de secours : « Vous n’avez qu’une passkey. Si vous perdez cet appareil, vous pourriez être bloqué : enregistrez une deuxième passkey sur un autre appareil ou une clé matérielle. » Sélectionnez Ajouter une passkey de secours.
Se connecter avec une passkey
Sur la page de connexion, sélectionnez Se connecter avec une passkey. Vous pouvez vous connecter sans saisir de mot de passe, ni même votre e-mail, lorsque votre passkey est stockée sur l’appareil. La page indique « Connecté avec une passkey ».
La liste indique la date d’Ajout et de Dernière utilisation de chaque passkey. Supprimer en retire une : « Vous ne pourrez plus l’utiliser pour vous connecter. »
Exiger la vérification en deux étapes pour tous
Un propriétaire peut exiger un second facteur pour chaque membre :
- Assurez-vous que votre propre compte dispose d’un second facteur et que vous vous êtes connecté avec celui-ci. Sinon, la page indique : « Configurez d’abord un second facteur pour votre propre compte (une application d’authentification ou une passkey, sur votre page de compte), puis connectez-vous avec lui. L’exiger pour tous sans qu’ils en aient un vous bloquerait. »
- Ouvrez Paramètres > Politique de connexion : « Qui peut ouvrir cet espace de travail : vérification en deux étapes pour chaque membre, et les adresses IP autorisées ou bloquées ».
- Activez Exiger la vérification en deux étapes pour chaque membre et confirmez avec Exiger-la : « Désormais, chaque membre doit effectuer un second facteur à la connexion. Les membres qui n’en ont pas configuré ne peuvent pas ouvrir cet espace de travail tant qu’ils n’en ajoutent pas un. »
Dès lors, chaque requête doit provenir d’une session ayant effectué un second facteur. Les membres sans second facteur peuvent toujours se connecter, ajouter une passkey depuis Mon profil, puis se reconnecter avec elle.
Prévenez vos membres avant de l’activer.
Confirmation des actions à fort impact (step-up)
Certaines actions vous demandent de prouver à nouveau votre identité, même dans une session ayant déjà utilisé un second facteur : Confirmer votre identité — « Cette action nécessite un second facteur. La confirmation est valable pour cette seule action pendant cinq minutes. » Choisissez Confirmer avec une passkey ou saisissez le Code de votre application d’authentification. « Les codes de secours ne peuvent pas confirmer une action. »
Si vous n’avez ni l’un ni l’autre : « Aucune méthode de confirmation n’est disponible. Configurez une passkey ou une application d’authentification dans vos paramètres de sécurité. »
Les opérateurs de Hermetry peuvent aussi exiger une confirmation renforcée sur une session jugée suspecte : la session reste connectée, mais rien ne fonctionne tant que le second facteur n’est pas confirmé à nouveau.
Codes de secours
Lorsqu’une application d’authentification est configurée, Hermetry fournit quatre codes de secours de la forme 1234-5678. Chacun ne fonctionne qu’une fois, à la connexion, à la place d’un code de l’application. Conservez-les hors ligne. Ils ne peuvent pas confirmer les actions à fort impact.
Facteur perdu
- Utilisez une autre passkey ou un code de secours.
- Si vous n’en avez plus aucun, demandez au propriétaire de votre organisation de contacter le support de Hermetry. La réinitialisation de la configuration à deux facteurs d’une personne est effectuée par Hermetry et consignée dans le journal d’audit (
auth.two_factor_reset_by_admin).
Voir aussi
- Sessions, verrouillage et appareils de confiance
- Authentification unique
- Politiques d’accès : refuser une action sauf si la session a utilisé un second facteur ou une passkey (
subject.acr)