Configurer l’authentification à deux facteurs
Authentification à deux facteurs et accès
Activez la 2FA dans Paramètres › Votre compte : scannez le QR code avec votre application d’authentification, confirmez le code et conservez les dix codes de secours à usage unique affichés lors de l’activation.
Lorsque l’organisation exige la 2FA et que vous ne l’avez pas encore configurée, vous devez le faire avant de continuer. La protection s’applique aussi aux requêtes du tableau de bord, et pas seulement à l’écran visible. Les actions nécessaires pour configurer la 2FA, confirmer votre identité ou vous déconnecter restent disponibles.
Si une action sensible vous demande de vérifier à nouveau votre identité, faites-le avant de réessayer. Les droits de l’équipe restent nécessaires : activer la 2FA ne donne pas le droit d’effectuer des remboursements ni d’administrer l’entreprise.
Se connecter avec la 2FA
Chaque code de votre application d’authentification n’est valable qu’une seule fois, et chaque code de secours est consommé dès qu’il est utilisé.
À partir du troisième code erroné dans la même journée, Cord vous envoie l’e-mail Tentative de connexion avec votre mot de passe (au maximum un par heure). La personne qui a fait la tentative a saisi votre mot de passe correct : si ce n’était pas vous, changez-le dans Paramètres › Votre compte et fermez les sessions que vous ne reconnaissez pas. Après dix codes erronés en 24 heures, la deuxième étape est suspendue, sauf depuis un réseau où vous avez déjà une session ouverte ; réinitialiser votre mot de passe lève la suspension.
La disponibilité des améliorations de septembre est en cours de vérification. Consultez le périmètre et l’état de publication ; contactez le support si une action décrite n’apparaît pas encore dans votre compte.
Déconnexion pour inactivité : mise en œuvre en cours de validation
Le délai que l’entreprise configure dans Paramètres › Sécurité est vérifié à l’entrée dans l’application, dans la facturation et dans les API internes protégées. Lorsqu’il expire, l’opération s’interrompt et vous devez vous reconnecter. Il est également vérifié lors de l’enregistrement d’une clé d’accès (passkey).
Consulter une page publique ou utiliser les parcours de récupération de la 2FA ne réinitialise pas ce délai. L’activité se mesure aux requêtes authentifiées vers les surfaces protégées, et non aux mouvements de la souris ; les requêtes automatiques de l’application peuvent aussi être prises en compte. La valeur zéro désactive la limite d’inactivité, mais conserve la durée de vie maximale de la session, les révocations et la suspension du compte.
La vérification et le renouvellement ont lieu en même temps, afin d’empêcher que des requêtes simultanées renouvellent une session déjà expirée. Ce renforcement dispose de tests locaux ; il reste à vérifier sa publication et le parcours de connexion complet.