Une session correspond à un navigateur ou une application où vous êtes connecté. Cette page explique la durée de vie des sessions, la manière dont vous et vos administrateurs pouvez y mettre fin, ce qui se passe après des échecs de connexion, comment les connexions inhabituelles sont signalées et comment les appareils de confiance évitent le deuxième facteur.
Durée d’une session
| Règle | Effet |
|---|---|
| Inactivité | Une session non utilisée pendant un certain temps prend fin ; vous devez vous reconnecter. |
| Durée de vie absolue | Chaque session prend fin après une durée de vie maximale, même si elle est utilisée, et plus longue si vous cochez « Se souvenir de moi » lors de la connexion. |
| Sessions par personne | 10 sessions actives au maximum par personne dans une même organisation. Une connexion supplémentaire met fin à la plus ancienne. |
| Une session par navigateur | Une nouvelle connexion dans le même navigateur remplace la session de ce navigateur. |
Les jetons d’accès sont de courte durée et renouvelés en arrière-plan. Si un jeton de renouvellement est utilisé deux fois, toutes les sessions de cette personne prennent fin, car cela signifie qu’un jeton a été copié.
Mettre fin aux sessions
| Qui | Comment |
|---|---|
| Vous | Mon profil > Sécurité > Sessions actives : Se déconnecter sur une session (« L’appareil utilisant cette session est déconnecté immédiatement. S’il s’agit de celui que vous utilisez, vous êtes aussi déconnecté. ») ou Déconnecter toutes les autres sessions (« Tous les autres appareils connectés à votre compte sont déconnectés immédiatement. La session que vous utilisez reste active. »). |
| Un administrateur | Membres > membre > Se déconnecter : le membre est déconnecté de cette organisation sur tous les appareils. « Il peut se reconnecter ; pour l’en empêcher, suspendez-le. » |
| Automatiquement | Un changement de rôle, une suspension ou une suppression met immédiatement fin aux sessions du membre dans l’organisation. Toutes les sessions d’une organisation suspendue prennent fin. |
Chaque entrée de Sessions actives affiche l’Appareil, l’Adresse IP, l’Emplacement, Début, Dernière activité et Expire le.
Verrouillage après des échecs de connexion
| Paramètre | Emplacement | Valeur par défaut |
|---|---|---|
| Verrouiller un compte après (échecs de connexion) | Paramètres > Authentification et SSO | 5. « 1 à 5. La limite intégrée est de 5 ; un nombre plus bas verrouille plus tôt. » |
| Durée du verrouillage | Définie par la plateforme | 15 minutes par défaut |
Un compte verrouillé affiche « Ce compte est verrouillé après trop d’échecs de connexion. Réessayez plus tard ou réinitialisez votre mot de passe. » Le verrou est vérifié avant le mot de passe, de sorte qu’un compte verrouillé ne donne aucune indication sur l’exactitude du mot de passe. Un CAPTCHA peut être demandé après quelques échecs lorsqu’un fournisseur de CAPTCHA est installé. Chaque verrouillage est écrit auth.account_locked dans le journal d’audit et déclenche le webhook auth.account_locked.
Les codes de deuxième facteur erronés sont également limités : « Trop de codes erronés. Les codes de vérification sont suspendus pendant n minutes. »
Verrouillages de sécurité
Les opérateurs de Hermetry peuvent appliquer un verrouillage de sécurité sur un compte. Il met fin à toutes les sessions et refuse toutes les méthodes de connexion jusqu’à sa levée : « Ce compte est verrouillé pour des raisons de sécurité. Toutes les méthodes de connexion sont bloquées jusqu’à son déverrouillage. Contactez le support. » La personne en est informée par e-mail.
Connexions inhabituelles
Chaque connexion est comparée à la connexion précédente de la personne. Hermetry signale les déplacements impossibles, un nouveau pays, un réseau d’anonymisation (proxy, VPN ou Tor), une nouvelle adresse et un nouveau navigateur ou système d’exploitation. Chaque connexion inhabituelle écrit une ligne d’audit auth.login_anomaly, avec une gravité allant de faible (nouvelle adresse ou appareil) à élevée (déplacement impossible ou Tor), et déclenche le webhook security.login_anomaly. Le pare-feu IA utilise les mêmes signaux.
Appareils de confiance
Lorsque vous choisissez de faire confiance à un navigateur lors de la connexion, il ne demande plus le deuxième facteur pendant un certain temps : 30 jours par défaut (la plateforme définit la valeur, au maximum 30). Le navigateur demande toujours le mot de passe.
Mon profil > Sécurité affiche vos Appareils de confiance avec Approuvé depuis, Vu pour la dernière fois et Approuvé jusqu’au. Révoquer un appareil, ou Tout révoquer : « La prochaine connexion sur chaque appareil de confiance demandera à nouveau votre code de connexion. Personne n’est déconnecté. »
Révoquez les appareils de confiance lorsqu’un ordinateur portable est perdu ou partagé.
Listes d’accès IP
Un Propriétaire peut restreindre les adresses autorisées à accéder à l’organisation : Paramètres > Politique de connexion > Listes d’accès IP.
| Champ | Signification |
|---|---|
| Adresses autorisées (vide autorise toutes les adresses) | Adresses IPv4 ou IPv6 et blocs CIDR, séparés par des virgules, des espaces ou des retours à la ligne. Lorsqu’elle est renseignée, toute autre adresse est refusée. |
| Adresses bloquées | Adresses toujours refusées. |
« Une liste qui refuserait votre propre adresse n’est pas enregistrée. » Une requête refusée reçoit 403 (TENANT_IP_NOT_ALLOWED), avec la même réponse pour les deux listes. Les listes s’appliquent aux requêtes des membres dans l’organisation. La connexion elle-même et les requêtes avec des clés d’API ne sont pas contrôlées par elles ; les clés d’API ont leurs propres réseaux autorisés (voir Durcissement des clés d’API).
Inscription
Paramètres > Authentification et SSO > Inscription et vérification :
| Paramètre | Signification |
|---|---|
| Autoriser l’inscription publique | « Lorsque désactivé, seuls les administrateurs peuvent créer de nouveaux comptes. » Les invitations fonctionnent toujours. |
| Exiger la vérification de l’e-mail | « Les utilisateurs doivent vérifier leur e-mail avant d’accéder à la plateforme. » |
Pour une organisation IoT, laissez l’inscription publique désactivée et invitez les personnes.