Authentification multifacteur

L’authentification multifacteur (MFA, appelée validation en deux étapes dans le tableau de bord) ajoute une seconde étape à la connexion au tableau de bord. Frontmail prend en charge les applications d’authentification TOTP (1Password, Google Authenticator, Microsoft Authenticator, Authy, Aegis…) avec des codes de secours.

Activation

1. Vérifiez d’abord votre adresse e-mail – la validation en deux étapes ne peut être activée que pour une adresse vérifiée (pour que personne ne puisse bloquer le titulaire d’une boîte mail hors d’un compte créé avec son adresse). Ouvrez ensuite Paramètres → Sécurité (Connexion et sécurité) et cliquez sur Activer à côté de Validation en deux étapes.
2. Confirmez avec votre mot de passe.
3. Scannez le QR code avec votre application d’authentification (ou saisissez manuellement la clé affichée en dessous).
4. Saisissez le code à 6 chiffres affiché par l’application.
5. Enregistrez les 10 codes de secours et confirmez avec Je les ai enregistrés – chaque code vous permet de vous connecter une fois si vous perdez votre téléphone. Vous ne les reverrez plus.

Vous recevez un e-mail chaque fois que la validation en deux étapes est activée ou désactivée. Nouveaux codes de secours remplace tous vos codes de secours ; Désactiver désactive la validation en deux étapes (les deux demandent votre mot de passe).

Connexion

Après votre e-mail et votre mot de passe, saisissez le code actuel de votre application – ou choisissez Utiliser plutôt un code de secours. Cochez Faire confiance à cet appareil pendant 30 jours pour ne plus avoir à saisir le code dans ce navigateur.

Le code est demandé avec chaque méthode de connexion : e-mail et mot de passe, lien de connexion envoyé par e-mail (magic link) et Google / GitHub. Après le lien ou le fournisseur, le tableau de bord affiche l’étape de validation avant de vous connecter. Un appareil de confiance la saute pour toutes les méthodes.

Liens de connexion ouverts sur un autre appareil

Un lien de connexion reçu par e-mail fonctionne immédiatement dans le navigateur où vous l’avez demandé. Ouvert dans un autre navigateur ou sur un autre appareil, il affiche d’abord Poursuivre la connexion ? avec l’adresse e-mail du compte – ne continuez que si vous venez de demander ce lien. De même, un lien de vérification d’e-mail ouvert ailleurs vérifie l’adresse mais ne connecte pas ce navigateur. Cela empêche un lien envoyé par quelqu’un d’autre de vous connecter discrètement à son compte.

Appareil perdu ?

Connectez-vous avec l’un de vos codes de secours, puis désactivez et réactivez la validation en deux étapes pour configurer le nouvel appareil – vous recevez aussi de nouveaux codes de secours. Si vous n’avez plus de codes de secours, contactez le support depuis l’adresse e-mail du compte ; pour votre sécurité, la récupération du compte exige une vérification d’identité et prend du temps.

Changer l’e-mail de connexion

Paramètres → Sécurité → Changer d’e-mail demande votre mot de passe actuel (les comptes sans mot de passe doivent s’être connectés au cours des 15 dernières minutes). Frontmail envoie ensuite un e-mail à votre adresse actuelle pour approuver le changement ; ce n’est qu’après cette approbation que la nouvelle adresse reçoit son lien de confirmation. L’ancienne adresse reçoit aussi une notification une fois le changement effectué. Une session volée ne suffit donc pas à déplacer le compte vers une autre boîte mail.

Superadmins

Les comptes du personnel Frontmail disposant d’un accès superadmin doivent avoir activé la validation en deux étapes et s’être connectés au cours de la dernière heure pour utiliser les outils d’administration.

Sessions

Paramètres → Sessions (Sessions actives) liste tous les appareils où vous êtes connecté, avec le navigateur, l’adresse IP et l’heure de connexion. Déconnectez des sessions individuelles ou choisissez Se déconnecter partout ailleurs. Vous recevez aussi un e-mail lorsque quelqu’un se connecte depuis un nouvel appareil.

La MFA s’applique à l’accès au tableau de bord. Les clés d’API ne sont pas concernées – protégez-les comme décrit dans Clés publiques et privées.

Dans le tableau de bord

Consultez Paramètres du compte pour une visite guidée de la page Paramètres.