Utilisateurs, rôles et authentification à deux facteurs

Module 7: Collaborer, applications et sécurité · Temps de lecture : 11 minutes

Objectif d'apprentissage : à l'issue de cette leçon, vous saurez organiser en toute sécurité les utilisateurs et administrateurs de votre nouveau service, choisir la forme d'authentification à deux facteurs adaptée et mettre en place une routine fixe pour les collègues qui arrivent et qui partent.

Notions clés : un compte par personne, administrateur, propriétaire, rôle, moindre privilège, authentification à deux facteurs (2FA), TOTP, passkey, clé de sécurité, WebAuthn, codes de secours, mot de passe d'application, révocation de session, authentification unique (SSO), arrivée et départ (onboarding et offboarding), transfert de propriété

Un changement de prestataire est l'occasion de faire le ménage

Lors de l'inventaire (leçon 3.1), il est apparu que la Bakkerij De Korrel disposait de 15 comptes Google pour 12 personnes. Deux appartiennent à des personnes parties depuis longtemps, et un compte winkel@example.com est utilisé par quatre personnes avec le même mot de passe, affiché sur un post-it près de la caisse. C'est une situation très fréquente. Lors du passage à un nouveau service, vous ne reprenez pas ces habitudes, mais vous en profitez pour tout remettre en ordre.

Un compte par personne

La règle de base : chaque personne doit avoir son propre compte, avec son propre mot de passe et sa propre deuxième étape. Pourquoi ?

• Vous savez qui a fait quoi (activité, versions, qui a partagé quoi).
• Si quelqu'un part, vous désactivez un seul compte et personne n'a besoin d'apprendre un nouveau mot de passe.
• L'authentification à deux facteurs ne fonctionne bien que si la deuxième étape est liée à une seule personne.

Les adresses partagées comme winkel@example.com ou info@example.com continuent d'exister, mais sous forme de boîte aux lettres partagée, d'alias ou de groupe : plusieurs personnes y accèdent avec leur propre compte. La façon dont cela s'appelle et fonctionne varie selon le prestataire (leçon 4.4).

Rôles : qui peut faire quoi ?

Dans tout service cloud, il existe au moins trois niveaux :

Deux règles de base :

1. Moindre privilège. N'accordez à chacun que les droits dont il a besoin. Un boulanger n'a pas besoin de pouvoir créer des utilisateurs.
2. Au moins deux administrateurs. S'il n'y en a qu'un seul, et qu'il est malade, en vacances ou qu'il a quitté l'organisation, personne ne peut réinitialiser un mot de passe ni résilier le service. Il faut deux administrateurs, chacun avec son propre compte et sa propre deuxième étape, et les informations du compte administrateur chez le prestataire (le contrat) doivent être au nom de l'organisation, pas d'une seule personne.

Attention à la différence entre la gestion du forfait et l'accès aux fichiers. Un bon service permet à un administrateur de gérer les comptes sans pouvoir consulter les fichiers des autres. Mais celui qui peut réinitialiser un mot de passe peut ensuite se connecter en tant que cette personne, si la deuxième étape est envoyée à une adresse qu'il peut lire. Choisissez donc pour chaque utilisateur sa propre adresse e-mail comme adresse de récupération et de réception des codes.

Authentification à deux facteurs : pourquoi et laquelle

Un mot de passe seul ne suffit pas. Les mots de passe fuient lors de violations de données sur d'autres sites, sont devinés ou soutirés par hameçonnage. Le Nationaal Cyber Security Centrum (NCSC, l'organisme néerlandais de cybersécurité) recommande l'authentification à deux facteurs partout où c'est possible. Avec l'authentification à deux facteurs (2FA), en plus de votre mot de passe, vous avez besoin de quelque chose que vous possédez : votre téléphone, une clé ou votre boîte aux lettres.

Le TOTP signifie time-based one-time password, décrit dans la RFC 6238. Le service et votre application partagent une clé secrète unique (que vous récupérez via un QR code) et calculent tous deux le même code à partir de la clé et de l'heure. C'est pourquoi l'horloge de votre téléphone doit être exacte.

Les passkeys reposent sur la norme WebAuthn du W3C et de FIDO. Votre appareil crée une paire de clés pour chaque site. Comme la clé est liée à l'adresse réelle du site, un faux site ne peut rien en faire. De plus en plus de services prennent en charge les passkeys comme deuxième étape, voire à la place du mot de passe.

Codes de secours et le jour où vous perdez votre téléphone

Chaque deuxième étape peut disparaître : téléphone perdu, cassé, nouveau téléphone sans transfert de l'application. C'est pourquoi :

• Générez des codes de secours (généralement dix codes à usage unique chacun) et ne les conservez pas sur le même téléphone. Imprimez-les avec vos documents importants, ou conservez-les dans un gestionnaire de mots de passe (leçon 7.4).
• Activez au moins deux méthodes, par exemple application d'authentification plus code par e-mail, ou passkey plus codes de secours.
• Nouveau téléphone ? Transférez d'abord les comptes de l'application d'authentification, avant d'effacer ou de rendre l'ancien.

Si quelqu'un se retrouve malgré tout bloqué, l'administrateur peut aider (par exemple en modifiant l'adresse e-mail vers une adresse que l'utilisateur peut effectivement lire), ou le prestataire, après avoir vérifié l'identité du demandeur. Cela prend volontairement un peu de temps : un prestataire qui désactive la deuxième étape sans vérification aide tout autant un escroc.

Mots de passe d'application et sessions

Les applications incapables de saisir la deuxième étape reçoivent leur propre mot de passe d'application (leçon 7.2). Un par application et par appareil, avec un nom reconnaissable. Dans la liste des appareils et sessions, vous voyez où quelqu'un est connecté. C'est là que vous révoquez un téléphone volé ou un vieux portable. Consultez cette liste de temps en temps, et systématiquement à chaque départ.

Authentification unique (SSO)

Les organisations plus grandes permettent aux personnes de se connecter à plusieurs services avec un seul compte : l'authentification unique ou SSO, souvent via des standards comme SAML ou OpenID Connect. Attention : si vous utilisez actuellement « Se connecter avec Google » ou « Se connecter avec Microsoft » pour d'autres services (comptabilité, planification, boutique en ligne), vous perdrez cet accès en supprimant votre compte Google ou Microsoft. C'était l'une des liaisons cachées identifiées dans votre inventaire (leçon 3.1). Basculez ces services vers une connexion par e-mail et mot de passe, ou vers votre nouveau SSO, avant la résiliation.

Arrivée et départ : une routine fixe

La plupart des problèmes ne surviennent pas lors du changement de prestataire, mais un an plus tard, lorsque quelqu'un part et que personne ne sait quoi faire. Établissez donc dès maintenant une routine fixe (exercice E7.3) :

Nouveau collègue : créer le compte avec sa propre adresse e-mail, attribuer les groupes et licences, transmettre les informations en toute sécurité (mot de passe via un autre canal), effectuer ensemble la première connexion, configurer la deuxième étape et les codes de secours, installer les applications.

Collègue qui part : d'abord transférer la propriété des fichiers et dossiers (dans de nombreux services, un compte supprimé entraîne la perte définitive de tous les fichiers), transférer les agendas et dossiers partagés, libérer la licence, désactiver le compte (ne pas le supprimer immédiatement), révoquer les mots de passe d'application et les sessions, transférer les e-mails ou les conserver sous forme de boîte aux lettres partagée, et ne supprimer qu'après un délai convenu.

En pratique : à quoi cela ressemble chez un prestataire

Avec un forfait WebOké Nextcloud, personne n'est administrateur dans Nextcloud lui-même. Le propriétaire du forfait gère les utilisateurs dans Mon WebOké, sous Gestion des utilisateurs sur la page du forfait : ajouter un utilisateur, modifier un mot de passe, désactiver ou supprimer, et activer ou désactiver la licence Office. Chaque utilisateur configure sa propre sécurité dans Nextcloud, sous Paramètres, Sécurité : le code par e-mail est toujours actif, et c'est là que vous activez une application d'authentification (TOTP), des codes de secours, une passkey et des mots de passe d'application, et que vous consultez Appareils et sessions.

Chez d'autres prestataires, le fonctionnement est similaire : il existe un environnement de gestion pour les comptes et une page de sécurité par utilisateur. Les noms des boutons diffèrent.

Résumé

• Un compte par personne ; les adresses partagées deviennent des boîtes aux lettres partagées ou des groupes.
• Moindre privilège et au moins deux administrateurs ; le contrat au nom de l'organisation.
• Activez l'authentification à deux facteurs pour tout le monde. Les passkeys et les clés de sécurité sont les plus résistantes au hameçonnage ; le TOTP est un bon choix, très répandu.
• Codes de secours à ne pas conserver sur le même téléphone, et au moins deux méthodes.
• Établissez une routine fixe pour les arrivées et les départs : d'abord transférer, puis désactiver, et supprimer seulement plus tard.

Quiz

Exercice

Exercice E7.3 : Rôles et routine d'arrivée et de départ. Créez un tableau des rôles pour votre organisation (qui est administrateur, qui ne l'est pas, qui est le deuxième administrateur) et remplissez la liste de contrôle d'arrivée et de départ pour votre propre service. Activez l'authentification à deux facteurs sur votre propre compte et confirmez que vos codes de secours sont conservés en dehors de votre téléphone.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est similaire.

• Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
• Guide Nextcloud 3.3: Configurer une application d'authentification et conserver des codes de récupération
• Guide Nextcloud 3.5: Mots de passe d'application : quand et comment
• Guide Nextcloud 3.6: Afficher, révoquer ou effacer à distance les appareils et sessions
• Guide Nextcloud 3.10: Téléphone perdu ou 2FA perdue : comment récupérer l'accès à votre compte
• Guide Nextcloud 14.2: Créer, modifier, désactiver et supprimer des utilisateurs
• Guide Nextcloud 14.7: Droits : qui gère quoi dans votre Nextcloud ?
• Guide Nextcloud 16.7: Un collègue quitte l'entreprise : reprendre en toute sécurité les fichiers, l'agenda et les dossiers partagés
• Guide WebOké 3.3: Utiliser une application d'authentification
• Configurer l'authentification à deux facteurs (2FA) dans Nextcloud
• Créer un mot de passe d'application (nécessaire pour se connecter à des applications et appareils)
• NCSC (l'organisme néerlandais de cybersécurité), Le rançongiciel expliqué (avec la recommandation d'utiliser l'authentification à deux facteurs partout) : https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• RFC 6238 (TOTP) : https://www.rfc-editor.org/rfc/rfc6238
• W3C Web Authentication (WebAuthn) : https://www.w3.org/TR/webauthn-3/ et FIDO Alliance à propos des passkeys : https://fidoalliance.org/passkeys/