Connexion, sessions et déconnexion en toute sécurité

Module 1: Le fonctionnement de votre messagerie · Temps de lecture : 9 minutes

Objectif pédagogique : à l'issue de cette leçon, vous savez avec quels identifiants vous vous connectez au webmail, ce qu'est une session et combien de temps elle dure, et comment travailler puis vous déconnecter en toute sécurité sur un ordinateur personnel comme sur un ordinateur partagé.

Notions clés : nom d'utilisateur, mot de passe de la boîte mail, champ Serveur, session, cookie, Rester connecté, fenêtre de navigation privée, déconnexion, blocage d'adresse IP

Qui êtes-vous pour le webmail ?

Pour le webmail, vous êtes une boîte mail : une adresse e-mail avec son propre mot de passe et son propre espace de stockage. C'est pourquoi vous vous connectez avec deux éléments :

• votre adresse e-mail complète comme nom d'utilisateur, donc sanne@example.com et pas seulement sanne. Un serveur de messagerie héberge les boîtes mail de nombreux domaines. Ce n'est qu'avec l'adresse complète que le serveur sait de quelle boîte mail il s'agit ;
• le mot de passe de cette boîte mail.

C'est souvent ce dernier point qui pose problème. Le mot de passe de votre boîte mail est différent de celui de votre compte client chez votre hébergeur ou de celui du panneau d'administration (chez WebOké : Mon WebOké et DirectAdmin). Il s'agit du mot de passe choisi lors de la création de l'adresse e-mail. Si quelqu'un d'autre a créé votre adresse, par exemple l'administrateur de votre entreprise, cette personne le connaît peut-être ou peut en définir un nouveau.

L'image montre la page de connexion avec les champs Nom d'utilisateur, Mot de passe et Serveur. Le mot de passe est sensible à la casse. Si la connexion échoue alors que vous êtes certain que le mot de passe est correct, vérifiez d'abord si la touche Verr. Maj (Caps Lock) est activée.

Le champ Serveur : généralement vide

Le webmail de WebOké doit savoir sur quel serveur se trouve votre boîte mail. Normalement, il le détermine lui-même à partir de votre domaine. C'est pourquoi presque tout le monde laisse le champ Serveur vide.

Vous ne le remplissez que si votre domaine ne pointe pas vers WebOké alors que votre boîte mail s'y trouve, par exemple pendant le transfert de votre domaine. Vous indiquez alors le nom du serveur de votre formule d'hébergement. Le serveur d'un autre prestataire ne fonctionne pas : ce webmail est réservé aux boîtes mail hébergées chez WebOké.

Un piège que peu de gens connaissent : connectez-vous toujours de la même manière. Le webmail enregistre vos paramètres, identités, signature et carnet d'adresses en fonction de la manière dont vous vous connectez. Si vous vous connectez une fois avec le champ vide et une autre fois avec un nom de serveur, vous voyez bien les mêmes e-mails (ils se trouvent sur le serveur de messagerie), mais votre signature et votre carnet d'adresses semblent soudain vides. Ils n'ont pas disparu : ils sont liés à l'autre manière de vous connecter.

Dans d'autres webmails, ce champ n'existe généralement pas : le webmail y est lié à un seul service, comme chez Gmail ou Outlook.com.

Qu'est-ce qu'une session ?

Une fois connecté, vous ne voulez pas saisir votre mot de passe à chaque clic. Le webmail crée donc une session : le serveur se souvient que vous êtes connecté, et votre navigateur reçoit un cookie contenant un long code aléatoire. À chaque clic, votre navigateur envoie ce code. C'est ainsi que le serveur vous reconnaît.

Cela a une conséquence importante : quiconque possède ce cookie est vous, aux yeux du webmail. Il n'a pas besoin de votre mot de passe. C'est pourquoi il est si important de bien fermer une session sur un ordinateur qui n'est pas le vôtre.

Une session prend fin :

• lorsque vous cliquez sur Déconnexion : le serveur supprime la session et le cookie n'a ensuite plus aucune valeur ;
• lorsque vous restez inactif un certain temps et que le webmail n'est plus ouvert : le serveur laisse la session expirer. Tant que l'onglet reste ouvert, le webmail maintient lui-même la session active en vérifiant de temps en temps l'arrivée de nouveaux e-mails ;
• lorsque vous fermez le navigateur, sauf si vous avez activé Rester connecté.

Rester connecté et Mémoriser le nom d'utilisateur

Sous le mot de passe se trouvent deux cases à cocher. Vous les voyez sur l'image, avec l'explication qui s'affiche lorsque vous activez Rester connecté.

• Mémoriser le nom d'utilisateur : la prochaine fois, votre adresse e-mail est déjà renseignée. Pratique, et peu risqué.
• Rester connecté : vous restez connecté pendant 30 jours, même si vous fermez le navigateur et éteignez votre ordinateur. Le cookie est alors conservé.

Rester connecté est agréable sur votre propre ordinateur portable protégé par un verrouillage d'écran. Sur tout autre appareil, c'est un risque : toute personne qui ouvre ensuite ce navigateur accède à votre boîte mail. Elle peut lire vos e-mails, envoyer des e-mails en votre nom et, via la fonction « mot de passe oublié » d'autres services, se faire envoyer de nouveaux mots de passe. Votre boîte mail est la clé de nombreux autres comptes.

Sur un ordinateur partagé

Si vous travaillez sur l'ordinateur de quelqu'un d'autre, dans une bibliothèque ou sur le PC d'un client, procédez ainsi :

1. Ouvrez une fenêtre de navigation privée (dans Chrome, Navigation privée ; dans Firefox, Nouvelle fenêtre de navigation privée ; dans Safari, Nouvelle fenêtre privée). Une fenêtre de navigation privée démarre sans cookies et les supprime lorsque vous fermez toutes les fenêtres privées. Elle ne protège pas contre un logiciel espion installé sur cet ordinateur, mais elle protège contre les cookies oubliés.
2. Décochez les deux cases.
3. Ne laissez pas le navigateur enregistrer votre mot de passe. À la question « Enregistrer le mot de passe ? », choisissez Jamais ou Pas maintenant.
4. Cliquez sur Déconnexion lorsque vous avez terminé, puis fermez la fenêtre de navigation privée.

Après la déconnexion, le bouton Retour du navigateur peut parfois encore afficher une ancienne page. Celle-ci provient de la mémoire du navigateur, pas du serveur. Si vous cliquez quelque part, vous arrivez sur la page de connexion, car la session n'existe plus.

Enregistrer votre mot de passe dans le navigateur ?

Sur votre propre appareil, protégé par un verrouillage d'écran, un mot de passe enregistré dans un gestionnaire de mots de passe (y compris celui de votre navigateur) ne pose aucun problème. Il aide même à se protéger du phishing : un gestionnaire de mots de passe ne remplit le mot de passe que sur la véritable adresse du webmail, pas sur un faux site (leçon 2.4). Sur un appareil partagé ou un ordinateur sans compte utilisateur personnel, n'enregistrez jamais rien.

Trop de tentatives avec un mauvais mot de passe

Les serveurs de messagerie sont attaqués toute la journée par des programmes qui tentent de deviner des mots de passe. C'est pourquoi le pare-feu du serveur bloque une adresse IP qui essaie trop souvent un mauvais mot de passe. Cela protège votre boîte mail, mais peut aussi vous pénaliser vous-même.

L'exemple classique : Daan modifie le mot de passe de sa messagerie, mais oublie de le changer sur sa vieille tablette rangée dans un tiroir. Cette tablette tente toutes les quelques minutes de se connecter avec l'ancien mot de passe. Au bout d'un moment, le pare-feu bloque l'adresse IP du bureau. Le webmail ne fonctionne alors plus pour personne au bureau, et souvent le site web non plus, alors que tout fonctionne en 4G sur le téléphone. C'est ce dernier point qui donne l'indice : le problème vient de l'adresse de votre connexion, pas de votre boîte mail.

La solution se fait toujours en deux temps : configurez le bon mot de passe sur tous les appareils, puis faites lever le blocage.

En pratique : comment cela fonctionne dans le webmail

Vous ouvrez le webmail de WebOké sur webmail.weboke.fr. Pour vous déconnecter, utilisez le bouton Déconnexion en bas à gauche du menu. Les étapes sont décrites dans le manuel Roundcube, aux sections Se connecter au webmail, Le champ Serveur et Rester connecté et se déconnecter. Si la connexion échoue, consultez la section La connexion échoue. Avec la vérification en deux étapes (leçon 8.1), le webmail vous demande un code après votre mot de passe. Dans d'autres webmails, comme Gmail ou Outlook.com, le fonctionnement est similaire : la case s'y appelle aussi par exemple Rester connecté, et les mêmes règles s'appliquent sur un ordinateur partagé.

Résumé

• Vous vous connectez avec votre adresse e-mail complète et le mot de passe de la boîte mail, pas avec le mot de passe de votre compte client ou du panneau d'administration.
• Laissez le champ Serveur vide, sauf si votre domaine est hébergé ailleurs, et connectez-vous toujours de la même manière.
• Une session est un cookie grâce auquel le serveur vous reconnaît ; quiconque possède ce cookie est vous, aux yeux du webmail.
• Rester connecté (30 jours) uniquement sur votre propre appareil ; sur un ordinateur partagé : fenêtre de navigation privée, cases décochées, déconnexion.
• Un appareil configuré avec un ancien mot de passe peut faire bloquer votre adresse IP.

Quiz

Exercice

Exercice D1.3: S'entraîner à se connecter et à se déconnecter. Ouvrez une fenêtre de navigation privée dans votre navigateur et connectez-vous au webmail. Regardez quelles cases figurent sous le mot de passe et ce qui s'affiche lorsque vous activez Rester connecté (désactivez-le ensuite avant de vous connecter). Connectez-vous, ouvrez un courriel, puis cliquez sur Déconnexion. Appuyez ensuite sur le bouton Retour de votre navigateur et cliquez sur un élément de la page affichée. Répondez ensuite à ces questions : que s'est-il passé lorsque vous avez appuyé sur Retour après la déconnexion puis cliqué, et pourquoi ? Sur quels appareils que vous utilisez activeriez-vous Rester connecté, et sur lesquels non ? Avez-vous quelque part un appareil sur lequel un ancien mot de passe de messagerie pourrait encore être enregistré ?

Pour aller plus loin

Lorsque des étapes dans le webmail sont décrites, elles s'appliquent au webmail de WebOké ; dans d'autres webmails, le fonctionnement est similaire.

• Roundcube Webmail 1.2: Se connecter au webmail
• Roundcube Webmail 1.3: Le champ Serveur : quand faut-il le remplir ?
• Roundcube Webmail 1.4: Rester connecté et se déconnecter
• Roundcube Webmail 13.1: Impossible de se connecter
• Accéder au webmail et que faire si vous ne parvenez pas à vous connecter
• Modifier le mot de passe ou les limites d'une adresse e-mail
• Gestionnaire de mots de passe et passkeys : sécurisez vos connexions
• Formation gratuite Sécurité en ligne pour les entrepreneurs 5.2: Utiliser votre ordinateur portable et votre téléphone en toute sécurité