Protéger ton compte avec un second facteur

Le second facteur ajoute une protection à ton mot de passe : à chaque connexion, après le mot de passe, le site te demande un code à 6 chiffres affiché par une application de ton téléphone. Quelqu'un qui aurait deviné ou volé ton mot de passe ne peut donc pas entrer sans ton téléphone.

Il est proposé aux enseignants (tu choisis de l'activer ou non) et obligatoire pour le compte administrateur du site.

Ce qu'il te faut

Ton téléphone (ou une tablette).
Une application d'authentification, gratuite. Les plus courantes :
- Google Authenticator (Android et iPhone) ;
- Microsoft Authenticator (Android et iPhone) ;
- Aegis (Android) ou 2FAS (Android et iPhone), sans compte à créer.
Installe-la depuis le Play Store (Android) ou l'App Store (iPhone). N'importe laquelle convient : elles fonctionnent toutes de la même façon.
Une dizaine de minutes, et de quoi noter tes codes de secours (papier et stylo, ou gestionnaire de mots de passe).

Activer le second facteur, pas à pas

Connecte-toi, puis va dans « Mon compte » et clique sur « Sécurité du compte » (adresse /account/securite).
Dans « Activer le second facteur », saisis ton mot de passe, puis « Afficher le QR code ». Le site affiche un carré noir et blanc (le QR code) et, juste dessous, une clé de 32 lettres et chiffres.
Sur ton téléphone, ouvre l'application d'authentification et choisis « Ajouter » (souvent un bouton +), puis :
- « Scanner un QR code » : vise le carré affiché sur l'écran de ton ordinateur ;
- ou, si tu fais l'activation depuis ton téléphone lui-même (tu ne peux pas scanner ton propre écran) : choisis « Saisir une clé » et recopie la clé affichée sous le QR code. Le nom du compte n'a pas d'importance ; le type est « basé sur l'heure ».
L'application affiche alors une ligne Qoreq avec un code à 6 chiffres qui change toutes les 30 secondes.
Recopie ce code dans le champ « Code à 6 chiffres » du site, puis « Activer ». Tu as 15 minutes après l'affichage du QR code ; passé ce délai, recommence à l'étape 2.
Le site affiche 10 codes de secours. Note-les tout de suite : ils ne seront plus jamais affichés. Le bouton « Copier les codes » les copie pour les coller dans un gestionnaire de mots de passe. Coche « J'ai noté mes codes de secours », puis « Terminé ».

Les autres sessions ouvertes sur ton compte sont fermées, et un email te confirme l'activation.

Garder les codes de secours

Chaque code de secours permet une connexion si tu n'as plus ton téléphone (perdu, volé, changé, application supprimée). Il ne sert qu'une fois. Garde-les ailleurs que dans ton téléphone : sur une feuille rangée chez toi, ou dans un gestionnaire de mots de passe.

Quand il ne te reste que 2 codes ou moins, la page « Sécurité du compte » t'invite à en générer de nouveaux : « Générer de nouveaux codes » remplace tous les anciens.

Se connecter

Saisis ton email et ton mot de passe, comme d'habitude.
Le site demande le code à 6 chiffres : ouvre l'application, recopie le code de la ligne Qoreq, puis « Valider ».

Tu as 5 minutes et 5 essais ; ensuite, le site te ramène au mot de passe. Un code ne sert qu'une fois : si tu te reconnectes dans la même demi-minute, attends le code suivant.

Plus de téléphone ? Clique sur « Utiliser un code de secours » et saisis un de tes codes (avec ou sans tirets, majuscules ou minuscules). Une fois connecté, va dans « Sécurité du compte » pour associer ton nouveau téléphone et générer de nouveaux codes.

Les messages que tu peux voir

`INVALID_TOTP_CODE`

« Code incorrect ou déjà utilisé. » Vérifie que tu lis bien la ligne Qoreq de l'application et que le code n'a pas changé entre-temps. Si tous les codes sont refusés, l'heure de ton téléphone est probablement fausse : dans les réglages du téléphone, active l'heure automatique. Après 10 codes faux en 24 heures, la connexion est bloquée jusqu'au lendemain (« Mot de passe oublié ? » lève ce blocage).

`LOGIN_CHALLENGE_EXPIRED`

« La saisie du code a expiré. » Plus de 5 minutes ou 5 essais depuis le mot de passe : saisis à nouveau ton mot de passe.

`TOTP_SETUP_EXPIRED`

« L'activation a expiré. » Plus de 15 minutes depuis l'affichage du QR code : recommence l'activation, un nouveau QR code s'affiche (supprime l'ancienne ligne Qoreq de l'application si elle y est restée).

`TOTP_ENROLLMENT_REQUIRED`

Compte administrateur : le site ne s'ouvre qu'une fois le second facteur activé. La page « Sécurité du compte » s'affiche directement après la connexion.

Changer de téléphone

Sur la page « Sécurité du compte », « Associer un autre téléphone » : saisis ton mot de passe et un code de l'ancien téléphone (ou un code de secours), puis suis les mêmes étapes que pour l'activation. L'ancien téléphone cesse de donner des codes valables dès que tu as validé le premier code du nouveau.

Désactiver le second facteur

Sur la page « Sécurité du compte », « Désactiver le second facteur », avec ton mot de passe et un code (ou un code de secours). Le compte administrateur ne peut pas le désactiver.

Téléphone et codes de secours perdus

Écris à l'administrateur du site (vois Contact). Il vérifiera que la demande vient bien de toi, par un autre moyen que l'email, puis retirera le second facteur de ton compte. Tu te connectes ensuite avec ton mot de passe seul, et tu peux réactiver le second facteur.

Un mot de passe oublié se réinitialise toujours avec « Mot de passe oublié ? » : la réinitialisation ne retire pas le second facteur, le code reste demandé à la connexion.