Second facteur d'authentification (MFA)

Le second facteur d'authentification est une option du plan Premium, activée par Omniscol sur demande. Votre établissement choisit ensuite les rôles concernés et les seconds facteurs d'authentification qu'il accepte.

Activer le second facteur d'authentification

Dans Administration → Paramètres, section Sécurité, le bouton Configurer de la ligne Second facteur d’authentification (MFA) ouvre la configuration :

• Rôles concernés — les rôles dont les comptes prouvent un second facteur d'authentification : Administrateur, Personnel, Professeur. Sans rôle choisi, l'option est inactive. Les élèves n'ont jamais de second facteur d'authentification à prouver.
• Seconds facteurs d’authentification acceptés — ce qu'un compte peut enregistrer : Clé d’accès, Application d’authentification ou Code par e-mail. Au moins un.
• Reconnaître le navigateur — propose, au moment de prouver le second facteur d'authentification, de ne plus le demander sur ce navigateur pendant le nombre de jours que vous fixez, de 1 à 90. Le mot de passe reste demandé.

À côté du bouton, une étiquette indique si l'option est active, et pour quels rôles.

Dès que l'option est enregistrée, la session d'un compte d'un rôle choisi, ouverte sans second facteur d'authentification, s'interrompt à sa prochaine action : la personne se reconnecte et enregistre le sien. Les applications qu'elle avait autorisées auparavant, un assistant connecté par MCP par exemple, sont à autoriser de nouveau.

À la connexion

Après son mot de passe, un compte d'un rôle choisi passe par une seconde étape.

Première connexion : enregistrer un second facteur d'authentification

À sa première connexion, le compte enregistre un second facteur d'authentification, parmi ceux que l'établissement accepte :

• Clé d’accès — le bouton Créer une clé d'accès enregistre une clé d'accès sur l'appareil ; l'empreinte, le visage ou le code de verrouillage de l'appareil confirment ensuite chaque connexion ;
• Application d’authentification — la personne scanne un QR code avec une application d'authentification de son téléphone, puis saisit le code à six chiffres qu'elle affiche ;
• Code par e-mail — le bouton Recevoir un code par e-mail envoie un code à six chiffres, valable dix minutes, à l'adresse e-mail du compte. Un compte sans adresse e-mail ne peut pas le choisir.

Un compte enregistre un seul second facteur d'authentification, et le garde si l'établissement cesse ensuite d'accepter ce type.

Les administrateurs reçoivent en plus dix codes de secours, affichés une seule fois. Chacun remplace le second facteur d'authentification pour une connexion, si l'appareil est perdu : conservez-les en lieu sûr.

Connexions suivantes

Chaque connexion demande ensuite le second facteur d'authentification enregistré : la clé d'accès, le code de l'application, ou le code envoyé par e-mail, qui part automatiquement. Un administrateur peut aussi saisir un code de secours.

Si l'établissement l'autorise, une case permet de ne plus le demander sur ce navigateur pendant le nombre de jours fixé. Un autre navigateur le demande toujours, comme une connexion qui suit sa réinitialisation.

Avec le SSO

Après une connexion via le fournisseur d'identité (OIDC / SSO), la même étape s'affiche sur la page de connexion : le second facteur d'authentification s'ajoute au SSO.

Réinitialiser un second facteur d'authentification

Un compte qui a perdu son second facteur d'authentification — téléphone changé, clé d'accès supprimée — en enregistre un nouveau après une réinitialisation :

• pour un compte : le bouton Réinitialiser le second facteur d’authentification de sa ligne dépliée, à côté de Mot de passe, dans la liste de son rôle : Administrateurs, Professeurs ou Membres du personnel ;
• pour tous les comptes : Réinitialiser le second facteur de tous les comptes, en bas de la configuration du second facteur d'authentification.

La réinitialisation de tous les comptes, comme celle d'un compte administrateur, demande de confirmer votre identité. Le compte enregistre un nouveau second facteur d'authentification à sa prochaine connexion, et les navigateurs reconnus sont oubliés. Ses sessions déjà ouvertes continuent : pour les interrompre, désactivez le compte.

Un administrateur qui a perdu son second facteur d'authentification se connecte avec un code de secours, ou un autre administrateur le réinitialise. Le support Omniscol peut réinitialiser celui du dernier administrateur.

Bon à savoir

• Le code par e-mail est le second facteur d'authentification le plus faible : la réinitialisation du mot de passe passe par la même boîte. Pour une protection plus forte, n'acceptez que la clé d'accès et l'application d'authentification.
• Une clé d'accès est liée à l'adresse de l'établissement sur laquelle elle a été créée : depuis une autre adresse, elle ne fonctionne pas.