Paramétrage
Comment régler mots de passe, blocage et sessions ?
Régler les règles des mots de passe (longueur, majuscule, refus des mots de passe de fuites publiques), le blocage des comptes et les sessions, puis enregistrer.
Cet écran fixe les règles de sécurité de votre entreprise : la solidité exigée des mots de passe, le blocage après trop d'essais ratés, la déconnexion des postes laissés sans activité, et la double authentification. Ces règles valent pour tous les comptes de l'entreprise. Vous réglez uniquement la vôtre : l'entreprise vient de votre connexion, vous ne la choisissez pas.
Avant de commencer
- Cet écran est réservé aux administrateurs : le super-administrateur et l'administrateur d'entreprise.
- Pour enregistrer, il faut un compte rattaché à une entreprise. Un super-administrateur, qui n'appartient à aucune entreprise, peut ouvrir l'écran mais son enregistrement est refusé : « Un compte hors entreprise n'a pas de politique de sécurité à régler. Connectez-vous avec un compte rattaché à une entreprise. »
- Sur chaque image, le cadre rouge montre où agir. Le numéro est celui de l'étape.
Ouvrir l'écran
L'écran se trouve dans la page Paramétrage, sous le nom Sécurité. Son titre est Politique de sécurité.
Étape 1 : Dans le menu de gauche, cliquez sur Paramétrage, puis sur la carte Sécurité
#Aussi sur cette image : Au moins une minuscule, Au moins un chiffre, Au moins un caractère spécial.
L'écran est fait de quatre blocs : Mots de passe, Protection contre les tentatives répétées, Sessions sur l’application web et Double authentification, puis un bouton Enregistrer en bas. Rien n'est enregistré avant un clic sur ce bouton.
Étape 2 : Lisez l'encadré bleu en haut :
#« Ces valeurs sont celles par défaut : votre entreprise n’a encore rien réglé. Enregistrer les rendra explicites. »
Cet encadré n'apparaît que tant que l'entreprise n'a jamais enregistré cet écran : les valeurs affichées sont alors celles du logiciel. Après un premier enregistrement, il disparaît.
Vue d'ensemble de l'écran pour régler mots de passe, blocage et sessions
Mots de passe
Étape 3 : Regardez le bloc Mots de passe
#Il contient la longueur minimale, quatre cases de composition, la case des fuites publiques, et une remarque : l'expiration périodique des mots de passe n'est volontairement pas proposée, parce qu'elle pousse à des variantes prévisibles.
Étape 4 : Longueur minimale
#Action : Dans Longueur minimale, écrivez le nombre de caractères minimal.
- À quoi ça sert : Refuser les mots de passe trop courts.
- Obligatoire : Oui.
- Exemple : 12
- Si vous vous trompez : Entre 8 et 128. Hors de cette plage, l'enregistrement est refusé : « La longueur minimale doit être comprise entre 8 et 128 caractères. »
Étape 5 : Au moins une majuscule
#Action : Cochez ou décochez les cases Au moins une majuscule, Au moins une minuscule, Au moins un chiffre et Au moins un caractère spécial.
- À quoi ça sert : Exiger que chaque mot de passe contienne ces sortes de caractères.
- Obligatoire : Non.
- Exemple : Majuscule et chiffre cochés
- Si vous vous trompez : Les quatre cases se règlent indépendamment. La règle s'applique au prochain mot de passe qu'une personne choisit ou qu'un administrateur lui donne : un mot de passe refusé s'accompagne de la liste des règles à respecter.
Étape 6 : Refuser les mots de passe connus des fuites publiques
#Action : Regardez la case Refuser les mots de passe connus des fuites publiques.
- À quoi ça sert : Refuser un mot de passe qui figure dans une liste de mots de passe déjà volés ailleurs.
- Obligatoire : Non.
- Exemple : Cochée
- Si vous vous trompez : Le texte de l'écran précise : « Le mot de passe ne quitte jamais le serveur : seule une empreinte partielle est comparée. »
Protection contre les tentatives répétées
Étape 7 : Regardez le bloc Protection contre les tentatives répétées
#Après un certain nombre de mots de passe faux de suite, le compte se verrouille pour une durée donnée. Les comptes verrouillés se lisent, et se débloquent, dans Sessions.
Étape 8 : Échecs avant blocage
#Action : Dans Échecs avant blocage, écrivez le nombre d'essais ratés qui verrouille le compte.
- À quoi ça sert : Limiter les essais de mot de passe.
- Obligatoire : Oui.
- Exemple : 5
- Si vous vous trompez : Entre 3 et 100. Hors de cette plage : « Le nombre d'échecs avant blocage doit être compris entre 3 et 100. »
Étape 9 : Durée du blocage (minutes)
#Action : Dans Durée du blocage (minutes), écrivez la durée du verrouillage.
- À quoi ça sert : Dire pendant combien de temps le compte reste fermé.
- Obligatoire : Oui.
- Exemple : 15
- Si vous vous trompez : Entre 1 minute et 1 440 minutes (24 heures). Hors de cette plage : « La durée de blocage doit être comprise entre 1 minute et 24 heures. »
Sessions sur l’application web
Étape 10 : Regardez le bloc Sessions sur l’application web
#Le texte du bloc précise : un poste laissé sans activité se déconnecte seul, après un préavis à l'écran ; même en activité, la session se ferme au bout de la durée maximale et il faut se reconnecter ; la règle ne s'applique ni aux caisses ni à l'application mobile.
Étape 11 : Déconnexion après inactivité (minutes)
#Action : Dans Déconnexion après inactivité (minutes), écrivez le délai.
- À quoi ça sert : Déconnecter un poste que personne n'utilise, pour qu'il ne reste pas ouvert.
- Obligatoire : Oui.
- Exemple : 60
- Si vous vous trompez : Entre 5 minutes et 8 heures (480 minutes). Hors de cette plage : « Le délai d'inactivité doit être compris entre 5 minutes et 8 heures. »
Étape 12 : Durée maximale d’une session (heures)
#Action : Dans Durée maximale d’une session (heures), écrivez la durée.
- À quoi ça sert : Forcer une reconnexion régulière, même pour quelqu'un qui travaille sans arrêt.
- Obligatoire : Oui.
- Exemple : 10
- Si vous vous trompez : Entre 1 et 72 heures. Hors de cette plage : « La durée maximale d'une session doit être comprise entre 1 et 72 heures. » La durée maximale ne peut pas être plus courte que le délai d'inactivité ; sinon : « La durée maximale d'une session ne peut pas être plus courte que le délai d'inactivité : ce délai n'aurait plus aucun effet. »
Double authentification
La double authentification demande, en plus du mot de passe, un code qu'affiche le téléphone de la personne.
Étape 13 : Non exigée — chacun peut l’activer s’il le souhaite
#Action : Choisissez l'une des trois options de Double authentification.
Aussi sur cette image : Exigée des administrateurs, Exigée de tous les utilisateurs.
- À quoi ça sert : Décider qui doit utiliser la double authentification.
- Obligatoire : Non.
- Exemple : Exigée des administrateurs
- Si vous vous trompez : Non exigée — chacun peut l’activer s’il le souhaite : personne n'y est obligé. Exigée des administrateurs : les comptes administrateurs doivent l'avoir. Exigée de tous les utilisateurs : tous les comptes. Une personne qui a perdu son téléphone se dépanne depuis Utilisateurs, avec Retirer le 2FA.
Enregistrer
Étape 14 : Enregistrer
#Action : Cliquez sur Enregistrer.
- À quoi ça sert : Garder la politique de sécurité.
Pendant l'envoi, le bouton s'appelle Enregistrement….
Étape 15 : Lisez le message vert :
#« Politique enregistrée. »
L'encadré bleu des valeurs par défaut a disparu : les règles sont maintenant explicites.
Étape 16 : Dans Longueur minimale, écrivez une valeur trop petite, par exemple 3, puis cliquez sur Enregistrer
#
Étape 17 : Lisez le message rouge en haut de l'écran
#Rien n'est enregistré. Corrigez la valeur puis enregistrez à nouveau. Quand le serveur ne donne pas de cause, le message est « L'enregistrement a échoué. »
