Exigez l’authentification à deux facteurs

Les mots de passe se font hameçonner ; les codes à six chiffres d’un téléphone, eux, ne voyagent généralement pas avec. En quelques minutes, chaque connexion à votre organisation exigera les deux.

L’authentification à deux facteurs ici, c’est TOTP — les codes standard d’application d’authentification. N’importe quelle application fonctionne : 1Password, Google Authenticator, Authy, celle intégrée à votre gestionnaire de mots de passe.

1. Inscrivez-vous d’abord vous-même

Avant de l’exiger pour tout le monde, configurez-la sur votre propre compte — vous voudrez avoir parcouru le chemin que vous êtes sur le point d’imposer.

Dans les paramètres de Votre compte, ouvrez la section authentification à deux facteurs et démarrez l’inscription. Vous obtenez un code QR — scannez-le avec votre application d’authentification (ou saisissez le secret à la main) — et confirmez avec le premier code que l’application affiche. Le secret est affiché une seule fois, à l’inscription ; il n’y a aucun moyen de le relire plus tard.

Vous recevez aussi des codes de récupération : des codes à usage unique qui remplacent votre téléphone si vous le perdez. Rangez-les comme les secrets qu’ils sont — un gestionnaire de mots de passe, pas un post-it.

2. Exigez-la pour l’organisation

En tant qu’Owner, ouvrez Admin → Authentification et réglez la politique pour exiger l’authentification à deux facteurs. À partir de cet instant, chaque connexion à votre organisation demande un mot de passe et un code.

Ce que vivent vos coéquipiers :

• Déjà inscrits — rien ne change, sauf la demande de code à la connexion.
• Pas encore inscrits — ils passent par l’inscription avant de pouvoir continuer. Personne n’est bloqué dehors ; on les fait entrer.

Vous voyez d’un coup d’œil qui est inscrit : Admin → Utilisateurs affiche une colonne 2FA.

Les petites lignes, dites simplement

• Le plus strict l’emporte entre organisations. Si une personne appartient à plusieurs organisations FortressFlag et que l’une d’elles exige la 2FA, cette personne se connecte avec la 2FA partout. Votre politique peut relever l’exigence d’un coéquipier partagé dans ses autres organisations — un vrai coût, et nous préférons que vous l’appreniez de nous.
• Un téléphone perdu signifie une réinscription — un code de récupération lui permet d’entrer, et se réinscrire crée un nouveau secret. Il n’existe aucun chemin de support qui relise un ancien secret ; c’est une fonctionnalité.

Où aller ensuite

• Réinitialisez votre mot de passe — une réinitialisation ne contourne jamais la double authentification
• Connectez Okta — si votre entreprise fonctionne avec un fournisseur d’identité, le SSO peut remplacer entièrement les mots de passe
• Rôles et sécurité — la surface de politique est réservée à l’Owner