--- title: "Comment régler mots de passe, blocage et sessions ?" description: "Régler les règles des mots de passe (longueur, majuscule, refus des mots de passe de fuites publiques), le blocage des comptes et les sessions, puis enregistrer." url: https://docs.restoplus.net/parametrage/politique-de-securite/ --- # Comment régler mots de passe, blocage et sessions ? Cet écran fixe les règles de sécurité de votre entreprise : la solidité exigée des mots de passe, le blocage après trop d'essais ratés, la déconnexion des postes laissés sans activité, et la double authentification. Ces règles valent pour tous les comptes de l'entreprise. Vous réglez uniquement la vôtre : l'entreprise vient de votre connexion, vous ne la choisissez pas. ## Avant de commencer - Cet écran est réservé aux administrateurs : le super-administrateur et l'administrateur d'entreprise. - Pour enregistrer, il faut un compte rattaché à une entreprise. Un super-administrateur, qui n'appartient à aucune entreprise, peut ouvrir l'écran mais son enregistrement est refusé : « Un compte hors entreprise n'a pas de politique de sécurité à régler. Connectez-vous avec un compte rattaché à une entreprise. » - Sur chaque image, le cadre rouge montre où agir. Le numéro est celui de l'étape. ## Ouvrir l'écran L'écran se trouve dans la page **Paramétrage**, sous le nom **Sécurité**. Son titre est **Politique de sécurité**. ### Étape 1 ![Politique de sécurité (Paramétrage) : menu « Sécurité » pour accéder à l'écran](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-ecran.webp) **Action :** Dans le menu de gauche, cliquez sur **Paramétrage**, puis sur la carte **Sécurité**. Aussi sur cette image : **Au moins une minuscule**, **Au moins un chiffre**, **Au moins un caractère spécial**. L'écran est fait de quatre blocs : **Mots de passe**, **Protection contre les tentatives répétées**, **Sessions sur l’application web** et **Double authentification**, puis un bouton **Enregistrer** en bas. Rien n'est enregistré avant un clic sur ce bouton. ### Étape 2 ![Politique de sécurité RestoPlus (Paramétrage) : vue d'ensemble de l'écran pour régler mots de passe, blocage et sessions](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-valeurs-par-defaut.webp) **Action :** Lisez l'encadré bleu en haut : « Ces valeurs sont celles par défaut : votre entreprise n’a encore rien réglé. Enregistrer les rendra explicites. » Cet encadré n'apparaît que tant que l'entreprise n'a jamais enregistré cet écran : les valeurs affichées sont alors celles du logiciel. Après un premier enregistrement, il disparaît. ## Mots de passe ### Étape 3 ![Politique de sécurité (Paramétrage) : bloc « Mots de passe »](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-mots-de-passe.webp) **Action :** Regardez le bloc **Mots de passe**. Il contient la longueur minimale, quatre cases de composition, la case des fuites publiques, et une remarque : l'expiration périodique des mots de passe n'est volontairement pas proposée, parce qu'elle pousse à des variantes prévisibles. ### Étape 4 — **Longueur minimale** ![Politique de sécurité (Paramétrage) : champ « Longueur minimale » pour refuser les mots de passe trop courts](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-longueur.webp) **Action :** Dans **Longueur minimale**, écrivez le nombre de caractères minimal. - **À quoi ça sert :** Refuser les mots de passe trop courts. - **Obligatoire :** Oui. - **Exemple :** 12 - **Si vous vous trompez :** Entre 8 et 128. Hors de cette plage, l'enregistrement est refusé : « La longueur minimale doit être comprise entre 8 et 128 caractères. » ### Étape 5 — **Au moins une majuscule** ![Politique de sécurité (Paramétrage) : case « Au moins une majuscule » (cochée)](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-majuscule.webp) **Action :** Cochez ou décochez les cases **Au moins une majuscule**, **Au moins une minuscule**, **Au moins un chiffre** et **Au moins un caractère spécial**. - **À quoi ça sert :** Exiger que chaque mot de passe contienne ces sortes de caractères. - **Obligatoire :** Non. - **Exemple :** Majuscule et chiffre cochés - **Si vous vous trompez :** Les quatre cases se règlent indépendamment. La règle s'applique au prochain mot de passe qu'une personne choisit ou qu'un administrateur lui donne : un mot de passe refusé s'accompagne de la liste des règles à respecter. ### Étape 6 — **Refuser les mots de passe connus des fuites publiques** ![Politique de sécurité (Paramétrage) : case « Refuser les mots de passe connus des fuites publiques »](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-fuites.webp) **Action :** Regardez la case **Refuser les mots de passe connus des fuites publiques**. - **À quoi ça sert :** Refuser un mot de passe qui figure dans une liste de mots de passe déjà volés ailleurs. - **Obligatoire :** Non. - **Exemple :** Cochée - **Si vous vous trompez :** Le texte de l'écran précise : « Le mot de passe ne quitte jamais le serveur : seule une empreinte partielle est comparée. » ## Protection contre les tentatives répétées ### Étape 7 ![Politique de sécurité (Paramétrage) : bloc « Protection contre les tentatives répétées »](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-blocage.webp) **Action :** Regardez le bloc **Protection contre les tentatives répétées**. Après un certain nombre de mots de passe faux de suite, le compte se verrouille pour une durée donnée. Les comptes verrouillés se lisent, et se débloquent, dans **Sessions**. ### Étape 8 — **Échecs avant blocage** ![Politique de sécurité (Paramétrage) : champ « Échecs avant blocage » pour limiter les essais de mot de passe](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-echecs.webp) **Action :** Dans **Échecs avant blocage**, écrivez le nombre d'essais ratés qui verrouille le compte. - **À quoi ça sert :** Limiter les essais de mot de passe. - **Obligatoire :** Oui. - **Exemple :** 5 - **Si vous vous trompez :** Entre 3 et 100. Hors de cette plage : « Le nombre d'échecs avant blocage doit être compris entre 3 et 100. » ### Étape 9 — **Durée du blocage (minutes)** ![Politique de sécurité (Paramétrage) : champ « Durée du blocage (minutes) »](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-duree-blocage.webp) **Action :** Dans **Durée du blocage (minutes)**, écrivez la durée du verrouillage. - **À quoi ça sert :** Dire pendant combien de temps le compte reste fermé. - **Obligatoire :** Oui. - **Exemple :** 15 - **Si vous vous trompez :** Entre 1 minute et 1 440 minutes (24 heures). Hors de cette plage : « La durée de blocage doit être comprise entre 1 minute et 24 heures. » ## Sessions sur l’application web ### Étape 10 ![Politique de sécurité (Paramétrage) : bloc « Sessions sur l’application web »](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-sessions.webp) **Action :** Regardez le bloc **Sessions sur l’application web**. Le texte du bloc précise : un poste laissé sans activité se déconnecte seul, après un préavis à l'écran ; même en activité, la session se ferme au bout de la durée maximale et il faut se reconnecter ; la règle ne s'applique ni aux caisses ni à l'application mobile. ### Étape 11 — **Déconnexion après inactivité (minutes)** ![Politique de sécurité (Paramétrage) : champ « Déconnexion après inactivité (minutes) »](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-inactivite.webp) **Action :** Dans **Déconnexion après inactivité (minutes)**, écrivez le délai. - **À quoi ça sert :** Déconnecter un poste que personne n'utilise, pour qu'il ne reste pas ouvert. - **Obligatoire :** Oui. - **Exemple :** 60 - **Si vous vous trompez :** Entre 5 minutes et 8 heures (480 minutes). Hors de cette plage : « Le délai d'inactivité doit être compris entre 5 minutes et 8 heures. » ### Étape 12 — **Durée maximale d’une session (heures)** ![Politique de sécurité (Paramétrage) : champ « Durée maximale d’une session (heures) » pour forcer une reconnexion régulière](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-duree-session.webp) **Action :** Dans **Durée maximale d’une session (heures)**, écrivez la durée. - **À quoi ça sert :** Forcer une reconnexion régulière, même pour quelqu'un qui travaille sans arrêt. - **Obligatoire :** Oui. - **Exemple :** 10 - **Si vous vous trompez :** Entre 1 et 72 heures. Hors de cette plage : « La durée maximale d'une session doit être comprise entre 1 et 72 heures. » La durée maximale ne peut pas être plus courte que le délai d'inactivité ; sinon : « La durée maximale d'une session ne peut pas être plus courte que le délai d'inactivité : ce délai n'aurait plus aucun effet. » ## Double authentification La double authentification demande, en plus du mot de passe, un code qu'affiche le téléphone de la personne. ### Étape 13 — **Non exigée — chacun peut l’activer s’il le souhaite** ![Politique de sécurité (Paramétrage) : champ « Double authentification » (après choix)](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-double-authentification.webp) **Action :** Choisissez l'une des trois options de **Double authentification**. Aussi sur cette image : **Exigée des administrateurs**, **Exigée de tous les utilisateurs**. - **À quoi ça sert :** Décider qui doit utiliser la double authentification. - **Obligatoire :** Non. - **Exemple :** Exigée des administrateurs - **Si vous vous trompez :** **Non exigée — chacun peut l’activer s’il le souhaite** : personne n'y est obligé. **Exigée des administrateurs** : les comptes administrateurs doivent l'avoir. **Exigée de tous les utilisateurs** : tous les comptes. Une personne qui a perdu son téléphone se dépanne depuis **Utilisateurs**, avec **Retirer le 2FA**. ## Enregistrer ### Étape 14 — **Enregistrer** ![Politique de sécurité (Paramétrage) : bouton « Enregistrer » pour garder la politique de sécurité](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-enregistrer.webp) **Action :** Cliquez sur **Enregistrer**. - **À quoi ça sert :** Garder la politique de sécurité. Pendant l'envoi, le bouton s'appelle **Enregistrement…**. ### Étape 15 ![Politique de sécurité (Paramétrage) : le message vert](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-message.webp) **Action :** Lisez le message vert : « Politique enregistrée. » L'encadré bleu des valeurs par défaut a disparu : les règles sont maintenant explicites. ### Étape 16 ![Politique de sécurité (Paramétrage) : champ « Longueur minimale » pour enregistrer](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-valeur-hors-bornes.webp) **Action :** Dans **Longueur minimale**, écrivez une valeur trop petite, par exemple 3, puis cliquez sur **Enregistrer**. ### Étape 17 ![Politique de sécurité (Paramétrage) : le message rouge en haut de l'écran](https://docs.restoplus.net/parametrage/politique-de-securite/politique-de-securite-erreur.webp) **Action :** Lisez le message rouge en haut de l'écran. Rien n'est enregistré. Corrigez la valeur puis enregistrez à nouveau. Quand le serveur ne donne pas de cause, le message est « L'enregistrement a échoué. »