Authentification à deux facteurs

L’authentification à deux facteurs (2FA) ajoute une seconde étape de vérification lorsque vous vous connectez avec un nom d’utilisateur et un mot de passe locaux. Elle protège votre compte si votre mot de passe est volé ou divulgué : un attaquant doit aussi accéder à votre application d’authentification pour terminer la connexion.

Utilisateurs SSO : si votre organisation utilise Okta, Entra ID ou un autre fournisseur d’identité, vous vous authentifiez via cet IdP, et non avec un mot de passe local. La politique MFA de votre IdP constitue alors le principal contrôle d’authentification. Activer la 2FA sur votre compte fremforge local ajoute une seconde couche par-dessus, mais ce n’est pas obligatoire lorsque la connexion passe par le SSO. Voir SSO OIDC.

Configurer la 2FA

Ouvrez Paramètres utilisateur → Sécurité → Authentification à deux facteurs (frem.sh/user/settings/security).
Cliquez sur Enroll.
fremforge affiche un QR code. Scannez-le avec votre application d’authentification.
Saisissez le code à six chiffres affiché par l’application pour confirmer l’association.
Cliquez sur Enable two-factor authentication.

Toute application compatible TOTP convient. Nous recommandons des applications qui se synchronisent entre appareils ou se sauvegardent sur un compte, afin de ne pas perdre l’accès si vous perdez votre téléphone :

1Password, Bitwarden : TOTP à côté des mots de passe ; multiplateforme.
Microsoft Authenticator, Google Authenticator : applications mobiles des éditeurs, avec sauvegarde dans le cloud.
Ente Auth, 2FAS : alternatives open source chiffrées de bout en bout.

Évitez les applications sans synchronisation entre appareils ni possibilité d’export : si l’appareil est perdu, les codes de récupération (section suivante) sont le seul moyen de vous reconnecter.

Enregistrer vos codes de récupération

Juste après l’activation de la 2FA, fremforge affiche 10 codes de récupération à usage unique. Chaque code peut remplacer une seule fois un TOTP lorsque votre application d’authentification n’est pas disponible.

Enregistrez ces codes avant de fermer la page. Plusieurs options :

Imprimez-les et conservez-les dans un lieu physique sûr.
Enregistrez-les dans un gestionnaire de mots de passe (1Password, Bitwarden ou équivalent).
Stockez-les dans un fichier chiffré sur un autre appareil.

Ne les enregistrez pas uniquement sur l’appareil qui contient votre application d’authentification. Si vous perdez cet appareil, vous perdez à la fois le TOTP et les codes.

Une fois que vous avez quitté la page de configuration, les codes ne sont plus affichés. Si vous ne les avez pas enregistrés, générez-en un nouveau jeu (voir ci-dessous) et conservez-le.

Se connecter avec un code de récupération

Si votre application d’authentification n’est pas disponible :

Ouvrez la page de connexion https://frem.sh/user/login.
Saisissez votre nom d’utilisateur et votre mot de passe comme d’habitude.
À l’invite 2FA, cliquez sur Use recovery code au lieu de saisir un TOTP.
Saisissez l’un de vos codes de récupération enregistrés.
Cliquez sur Verify.

Le code est consommé immédiatement et ne peut pas être réutilisé. Vous disposez au maximum de 10 codes. Après en avoir utilisé un, pensez à régénérer le jeu afin d’avoir toujours un jeu complet en réserve.

Régénérer les codes de récupération

Pour générer un nouveau jeu de codes :

Ouvrez Paramètres utilisateur → Sécurité → Authentification à deux facteurs.
Cliquez sur Regenerate recovery codes.
fremforge génère 10 nouveaux codes et les affiche.
Enregistrez immédiatement les nouveaux codes.

Les anciens codes sont invalidés dès que vous régénérez. Si vous avez conservé quelque part d’anciens codes inutilisés, ils cessent de fonctionner. Seul le jeu nouvellement généré est valide.

Si vous perdez à la fois votre application d’authentification et vos codes de récupération

Écrivez à support@frem.sh avec l’objet « 2FA recovery request ». Indiquez :

l’identifiant (slug) de votre organisation ;
l’adresse e-mail associée à votre compte ;
une brève description de la façon dont vous avez perdu l’accès.

Le support vérifie votre identité par un canal distinct et répond sous un jour ouvré, conformément au SLA du support. Consultez Support pour les horaires et les délais de réponse.

2FA et SSO

Lorsque le SSO est imposé pour votre organisation, les membres se connectent via l’IdP à l’adresse frem.sh/user/login?redirect_to=/<org>. L’étape 2FA locale de fremforge ne s’applique qu’à la connexion avec un nom d’utilisateur et un mot de passe locaux sur frem.sh/user/login. Pour la plupart des membres inscrits via le SSO, la connexion locale est une solution de repli plutôt que le chemin habituel.

Les propriétaires de l’organisation conservent leurs identifiants locaux même lorsque le SSO est imposé (voir Accès d’urgence SSO). Si vous êtes propriétaire d’une organisation, gardez la 2FA activée sur votre compte local et conservez vos codes de récupération en lieu sûr : vous pourriez avoir besoin de la connexion locale précisément lorsque l’IdP est indisponible.

Voir aussi

Accès d’urgence SSO : retrouver l’accès à l’organisation lorsque l’IdP est indisponible
SSO OIDC : configurer la connexion via un IdP pour votre organisation
Support : comment contacter le support et délais de réponse attendus