Mot de passe et 2FA

Réglages → Sécurité. Trois cartes, dans l’ordre de ce qu’elles protègent : le mot de passe qui ouvre le compte, le second facteur qui se tient derrière lui, et la liste des appareils actuellement connectés.

Changer votre mot de passe

Les trois champs sont le mot de passe actuel, le nouveau, et une confirmation. Un nouveau mot de passe fait au moins 12 caractères et au plus 200 ; tous les caractères sont acceptés, et aucune règle de composition ne réclame un chiffre ou un symbole.

La longueur seule n’est pas tout le barème. L’API note le mot de passe et en refuse un devinable même lorsqu’il est assez long, en nommant ce qui le trahit : un mot courant, une suite de touches, une date, un fragment répété. motdepasse12345 fait quinze caractères et se fait refuser.

Changer le mot de passe révoque toutes les autres sessions, sur tous les appareils, et garde celle que vous utilisez. C’est le moyen le plus rapide de mettre fin à une session dont vous n’êtes pas sûr.

Double authentification

Un second facteur est un code à six chiffres fourni par une application d’authentification, demandé après le mot de passe à chaque connexion. Il est désactivé tant que vous ne l’activez pas.

1. Appuyez sur Activer. Un QR code apparaît, avec la même clé écrite en toutes lettres en dessous pour une application qui ne sait pas scanner.

2. Scannez-le, puis tapez dans le champ le code à six chiffres du moment et confirmez. Le code est vérifié avant que rien ne soit activé, de sorte qu’un QR mal scanné échoue ici plutôt qu’à votre prochaine connexion.

3. Dix codes de récupération apparaissent, de la forme abcd-2345. Copiez-les, ou téléchargez-les sous le nom badlen-codes-recuperation.txt. Le bouton qui ferme le panneau reste désactivé tant que vous n’avez pas coché la case disant que vous les avez mis en lieu sûr.

Les codes ne sont montrés qu'une fois

Fermer ce panneau détruit la seule copie. Si vous les perdez, Régénérer les codes, sur la même carte, en frappe un jeu neuf sans rien demander d’autre que la session où vous êtes déjà, et l’ancien jeu cesse de fonctionner à l’instant où le nouveau est dessiné.

Chaque code de récupération ne sert qu’une fois, à la place de l’application, et la carte dit combien il en reste. Servez-vous-en pour vous connecter quand votre téléphone a disparu, puis régénérez le jeu.

Pour désactiver la double authentification, appuyez sur Désactiver et saisissez un code du moment. Le secret stocké et les codes de récupération inutilisés sont effacés avec elle.

Quand aucun code ne peut être vérifié

Une instance restaurée sous une autre SECRET_ENCRYPTION_KEY porte un secret qu’elle ne sait pas lire, de sorte qu’aucun code ne pourrait jamais la satisfaire. Ce cas-là demande votre mot de passe à la place d’un code, et Restaurer sous une autre clé est la page qui en traite.

Appareils connectés

Chaque session connectée est listée avec son navigateur, son adresse IP, le jour où elle a commencé et le jour où elle expire, sept jours après son ouverture sauf si l’instance a été configurée autrement. La vôtre est marquée session actuelle.

Révoquer met fin à l’une d’elles. Déconnecter les autres met fin à toutes sauf la vôtre en une pression. Ni l’un ni l’autre ne demande de mot de passe, parce que les deux ne sont atteignables que depuis votre propre session.