---
title: Mot de passe, durée de session et adresses IP
description: "Fixez les règles de mot de passe, le nombre de tentatives de connexion et la durée de session, et limitez l'accès à Illizeo par adresses IP autorisées ou bloquées."
url: "https://illizeo.com/centre-aide/securite-mot-de-passe-session-et-adresses-ip/"
updated: "2026-11-05"
category: "Plateforme / Sécurité & conformité"
---

# Mot de passe, durée de session et adresses IP

Cet article explique comment fixer les règles de mot de passe de votre espace, limiter les tentatives de connexion, régler la durée de session et restreindre l'accès à Illizeo par adresses IP. Il s'adresse aux administrateurs. Les règles réglées ici valent pour tous les utilisateurs de l'espace : employés, managers et administrateurs.

## Avant de commencer

- Les droits se règlent dans **Paramètres › Gérer les employés › Rôles des employés**, menu « Administration de la plateforme » de la matrice des rôles (voir [Permissions & rôles](https://illizeo.com/docs-category/plateforme-fr/plateforme-roles-permissions/)).
- Règles de mot de passe et tentatives : droit « Configuration du mot de passe » (rubrique Authentification). Le palier **Accès** permet de lire la page, le palier **Exécuter** de la modifier.
- Durée de session : droit « Paramètres plateforme » (rubrique Paramètres globaux), au palier **Exécuter** pour modifier.
- Adresses IP autorisées et bloquées : droit « IP autorisées (whitelist) » (rubrique Sécurité et accès), au palier **Exécuter**, y compris pour consulter les deux listes.
- Par défaut, seul le rôle Administrateur porte ces droits.

## Les règles de mot de passe

1. Ouvrez **Paramètres › Gérer Illizeo › Authentification**. La page **Configuration de mot de passe** s'affiche en lecture.
2. Cliquez sur l'icône de modification, en haut à droite de la carte. Elle n'apparaît qu'avec le palier Exécuter.
3. Réglez les règles (voir ci-dessous), puis cliquez sur **Sauvegarder**, ou sur **Annuler** pour revenir aux valeurs enregistrées.

Les règles disponibles :

- **Longueur minimale** et **Longueur maximale** : le minimum ne peut pas dépasser le maximum. Sans minimum (valeur 0), Illizeo exige au moins 8 caractères.
- **Cas mixte requis** : au moins une minuscule et une majuscule.
- **Caractères alpha obligatoires** : au moins une lettre.
- **Caractères non alpha obligatoires** : au moins un caractère autre qu'une lettre : un chiffre ou un symbole.
- **Caractères numériques requis** : au moins un chiffre.
- **Caractères spéciaux requis** : au moins un symbole.
- Sous « Le mot de passe ne peut contenir aucune des informations utilisateur suivantes : », les bascules **Prénom**, **Nom de famille** et **Nom d'utilisateur** refusent un mot de passe qui contient l'une de ces informations, majuscules ou minuscules confondues.

![La page Configuration de mot de passe : bascules de rotation et d'oubli de mot de passe, longueurs minimale et maximale, exigences de caractères et informations interdites (prénom, nom de famille, nom d'utilisateur)](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/securite-mot-de-passe-session-et-adresses-ip-01.fr_.png?resize=800%2C500&quality=80&ssl=1)
Paramètres › Gérer Illizeo › Authentification : les règles de mot de passe.

Ces règles s'appliquent chaque fois qu'un mot de passe est choisi : à l'acceptation d'une invitation, au changement de son propre mot de passe, à la réinitialisation par e-mail et quand un administrateur définit le mot de passe d'un employé. Illizeo refuse en plus un mot de passe qui figure dans une fuite de données connue. Les règles ne sont pas revérifiées à la connexion : un mot de passe déjà en place continue de fonctionner jusqu'à son prochain changement.

## Les tentatives de connexion

Sous **Authentification de connexion :**, sur la même page :

- **Nombre maximal de tentatives de connexion** : de 1 à 20, 5 par défaut.
- **Délai d'attente entre 2 connexions en échec** : de 1 à 10 minutes, affiché en heures et minutes, 5 minutes par défaut.

Le compteur vise une adresse e-mail depuis une adresse IP. À chaque échec, l'écran de connexion indique le nombre de tentatives restantes. Une fois le maximum atteint, la connexion de ce compte depuis cette adresse IP est bloquée pendant le délai réglé, et l'écran affiche un compte à rebours. Une connexion réussie remet le compteur à zéro. Une adresse e-mail inconnue est comptée de la même façon : l'écran ne révèle jamais si un compte existe.

## Le mot de passe oublié

- Bascule **Activer la fonction d'oubli de mot de passe** activée : le lien **Oublié ?** de l'écran de connexion envoie un lien de réinitialisation, valable 30 minutes.
- Bascule désactivée : le lien reste affiché, mais aucun e-mail ne part. L'écran donne la même réponse dans tous les cas, pour ne rien révéler des comptes existants.
- Indépendamment de cette bascule, le bouton **Recevoir un lien de connexion par e-mail** envoie un lien qui connecte sans mot de passe, à usage unique et valable 15 minutes. Il disparaît quand la connexion unique est imposée.
- Un administrateur peut aussi aider un employé depuis sa fiche : menu ⋮, **Gérer le compte**, bloc **Réinitialiser le mot de passe de l'employé**, avec **Envoyer l'e-mail** (droit « Envoyer un e-mail de réinitialisation du mot de passe ») ou **Définir le mot de passe** (droit « Imposer un mot de passe à un employé (sans passer par un e-mail) »), au palier Exécuter.

## La durée de session

1. Ouvrez **Paramètres › Gérer Illizeo › Paramètres globaux › Gérer les paramètres de la plateforme**.
2. Dans la carte **Communication & Redirections**, saisissez la **Durée de la session** en minutes : de 5 à 480, ou 0 pour désactiver la déconnexion automatique. La valeur par défaut est 60 minutes.
3. Enregistrez la page.

![La carte Communication & Redirections des paramètres de plateforme, avec le champ Durée de la session en minutes et son aide Durée d'inactivité avant déconnexion automatique](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/securite-mot-de-passe-session-et-adresses-ip-02.fr_.png?resize=800%2C213&quality=80&ssl=1)
Paramètres globaux › Gérer les paramètres de la plateforme : la durée de session.

La durée de session est une durée d'inactivité : tant que la personne travaille, sa session se prolonge. Dix minutes avant la fin (ou à mi-parcours pour une durée courte), la fenêtre « Tu es toujours là ? » propose **Continuer ma session** ou **Se déconnecter**. Sans réponse, la session se ferme et le travail non enregistré est perdu. La règle vaut pour toutes les façons de se connecter : mot de passe, lien par e-mail et connexion unique.

## Les adresses IP autorisées

Tant qu'aucune adresse active ne figure dans la liste, l'accès n'est pas restreint. Dès qu'une adresse est active, Illizeo n'accepte plus que les connexions venant des adresses et plages de la liste : à la connexion, puis à chaque action, pour tous les utilisateurs, dans le navigateur comme dans l'application mobile.

1. Ouvrez **Paramètres › Gérer Illizeo › Adresses IP autorisées**. La page **IP autorisées** affiche votre adresse actuelle.
2. Si le bandeau « Votre adresse IP n'est pas autorisée » s'affiche, cliquez d'abord sur **Autoriser mon IP**. Tant que votre propre adresse n'est pas dans la liste, Illizeo refuse d'en ajouter une autre : sans cela, vous vous fermeriez la porte.
3. Dans **Ajouter une adresse IP**, saisissez une adresse IPv4 ou IPv6, ou une plage CIDR (par exemple 192.168.1.0/24), et un libellé facultatif. Cliquez sur **+ Ajouter**.
4. Sur chaque ligne, l'interrupteur active ou désactive l'adresse, et la corbeille la supprime après confirmation par **Supprimer**.

![La page IP autorisées : adresse actuelle de l'administrateur, compteurs IP enregistrées, Actives et Inactives, formulaire Ajouter une adresse IP et liste des adresses, vide ici](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/securite-mot-de-passe-session-et-adresses-ip-03.fr_.png?resize=800%2C500&quality=80&ssl=1)
Paramètres › Gérer Illizeo › Adresses IP autorisées.

La ligne qui couvre votre adresse porte le badge **VOTRE IP** : vous ne pouvez ni la désactiver ni la supprimer. Les compteurs **IP enregistrées**, **Actives** et **Inactives**, et la recherche par adresse ou libellé, complètent la page.

## Les adresses IP bloquées

La liste de blocage fait l'inverse : une adresse bloquée et active est refusée à chaque action, même si elle figure aussi parmi les adresses autorisées. Une liste vide ne bloque rien.

1. Ouvrez **Paramètres › Gérer Illizeo › Adresses IP bloquées**.
2. Dans **Bloquer une adresse IP**, saisissez une adresse ou une plage CIDR et un libellé facultatif, puis cliquez sur **Bloquer**.
3. L'interrupteur d'une ligne suspend ou rétablit le blocage. La corbeille (**Débloquer**) retire l'entrée après confirmation par **Supprimer**.

![La page IP bloquées : rappel que l'adresse de l'administrateur ne peut pas être bloquée, compteurs IP bloquées, Actives et Inactives, formulaire Bloquer une adresse IP et liste des blocages](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/securite-mot-de-passe-session-et-adresses-ip-04.fr_.png?resize=800%2C500&quality=80&ssl=1)
Paramètres › Gérer Illizeo › Adresses IP bloquées.

Illizeo refuse de bloquer, ou de réactiver, une entrée qui couvre votre propre adresse, plages CIDR comprises. Suspendre ou retirer un blocage reste toujours possible.

## À savoir

- L'adresse qui compte est celle qu'Illizeo reçoit : derrière un VPN ou un proxy d'entreprise, c'est l'adresse publique de sortie. Une personne en télétravail ou sur un réseau mobile change d'adresse : prévoyez les plages correspondantes avant d'activer la liste blanche.
- Les listes d'adresses s'appliquent aux sessions déjà ouvertes, dès l'action suivante.
- Un mot de passe est toujours sensible aux majuscules et minuscules.
- Les connexions réussies et échouées sont journalisées : voir [Gouvernance & Sécurité](https://illizeo.com/docs-category/plateforme-fr/plateforme-gouvernance-securite/).

## Questions fréquentes

### Un employé n'a plus de tentative.

Il doit attendre la fin du délai affiché par le compte à rebours, ou se connecter depuis un autre réseau. Il peut aussi demander un lien de connexion par e-mail.

### Après un changement de réseau, plus personne n'entre.

Un administrateur encore connecté depuis une adresse autorisée peut ajouter la nouvelle adresse. À défaut, contactez le support d'Illizeo.

### Faut-il renseigner les adresses de l'application mobile ?

Oui : la liste blanche s'applique aussi à l'application mobile. Un téléphone sur réseau mobile a une adresse qui change souvent ; il ne pourra se connecter que depuis un réseau autorisé, par exemple le Wi-Fi de l'entreprise.

### *Similaire*