Mot de passe, durée de session et adresses IP

Cet article explique comment fixer les règles de mot de passe de votre espace, limiter les tentatives de connexion, régler la durée de session et restreindre l’accès à Illizeo par adresses IP. Il s’adresse aux administrateurs. Les règles réglées ici valent pour tous les utilisateurs de l’espace : employés, managers et administrateurs.

Avant de commencer #

• Les droits se règlent dans Paramètres › Gérer les employés › Rôles des employés, menu « Administration de la plateforme » de la matrice des rôles (voir Permissions & rôles).
• Règles de mot de passe et tentatives : droit « Configuration du mot de passe » (rubrique Authentification). Le palier Accès permet de lire la page, le palier Exécuter de la modifier.
• Durée de session : droit « Paramètres plateforme » (rubrique Paramètres globaux), au palier Exécuter pour modifier.
• Adresses IP autorisées et bloquées : droit « IP autorisées (whitelist) » (rubrique Sécurité et accès), au palier Exécuter, y compris pour consulter les deux listes.
• Par défaut, seul le rôle Administrateur porte ces droits.

Les règles de mot de passe #

1. Ouvrez Paramètres › Gérer Illizeo › Authentification. La page Configuration de mot de passe s’affiche en lecture.
2. Cliquez sur l’icône de modification, en haut à droite de la carte. Elle n’apparaît qu’avec le palier Exécuter.
3. Réglez les règles (voir ci-dessous), puis cliquez sur Sauvegarder, ou sur Annuler pour revenir aux valeurs enregistrées.

Les règles disponibles :

• Longueur minimale et Longueur maximale : le minimum ne peut pas dépasser le maximum. Sans minimum (valeur 0), Illizeo exige au moins 8 caractères.
• Cas mixte requis : au moins une minuscule et une majuscule.
• Caractères alpha obligatoires : au moins une lettre.
• Caractères non alpha obligatoires : au moins un caractère autre qu’une lettre : un chiffre ou un symbole.
• Caractères numériques requis : au moins un chiffre.
• Caractères spéciaux requis : au moins un symbole.
• Sous « Le mot de passe ne peut contenir aucune des informations utilisateur suivantes : », les bascules Prénom, Nom de famille et Nom d’utilisateur refusent un mot de passe qui contient l’une de ces informations, majuscules ou minuscules confondues.

Ces règles s’appliquent chaque fois qu’un mot de passe est choisi : à l’acceptation d’une invitation, au changement de son propre mot de passe, à la réinitialisation par e-mail et quand un administrateur définit le mot de passe d’un employé. Illizeo refuse en plus un mot de passe qui figure dans une fuite de données connue. Les règles ne sont pas revérifiées à la connexion : un mot de passe déjà en place continue de fonctionner jusqu’à son prochain changement.

Les tentatives de connexion #

Sous Authentification de connexion :, sur la même page :

• Nombre maximal de tentatives de connexion : de 1 à 20, 5 par défaut.
• Délai d’attente entre 2 connexions en échec : de 1 à 10 minutes, affiché en heures et minutes, 5 minutes par défaut.

Le compteur vise une adresse e-mail depuis une adresse IP. À chaque échec, l’écran de connexion indique le nombre de tentatives restantes. Une fois le maximum atteint, la connexion de ce compte depuis cette adresse IP est bloquée pendant le délai réglé, et l’écran affiche un compte à rebours. Une connexion réussie remet le compteur à zéro. Une adresse e-mail inconnue est comptée de la même façon : l’écran ne révèle jamais si un compte existe.

Le mot de passe oublié #

• Bascule Activer la fonction d’oubli de mot de passe activée : le lien Oublié ? de l’écran de connexion envoie un lien de réinitialisation, valable 30 minutes.
• Bascule désactivée : le lien reste affiché, mais aucun e-mail ne part. L’écran donne la même réponse dans tous les cas, pour ne rien révéler des comptes existants.
• Indépendamment de cette bascule, le bouton Recevoir un lien de connexion par e-mail envoie un lien qui connecte sans mot de passe, à usage unique et valable 15 minutes. Il disparaît quand la connexion unique est imposée.
• Un administrateur peut aussi aider un employé depuis sa fiche : menu ⋮, Gérer le compte, bloc Réinitialiser le mot de passe de l’employé, avec Envoyer l’e-mail (droit « Envoyer un e-mail de réinitialisation du mot de passe ») ou Définir le mot de passe (droit « Imposer un mot de passe à un employé (sans passer par un e-mail) »), au palier Exécuter.

La durée de session #

1. Ouvrez Paramètres › Gérer Illizeo › Paramètres globaux › Gérer les paramètres de la plateforme.
2. Dans la carte Communication & Redirections, saisissez la Durée de la session en minutes : de 5 à 480, ou 0 pour désactiver la déconnexion automatique. La valeur par défaut est 60 minutes.
3. Enregistrez la page.

La durée de session est une durée d’inactivité : tant que la personne travaille, sa session se prolonge. Dix minutes avant la fin (ou à mi-parcours pour une durée courte), la fenêtre « Tu es toujours là ? » propose Continuer ma session ou Se déconnecter. Sans réponse, la session se ferme et le travail non enregistré est perdu. La règle vaut pour toutes les façons de se connecter : mot de passe, lien par e-mail et connexion unique.

Les adresses IP autorisées #

Tant qu’aucune adresse active ne figure dans la liste, l’accès n’est pas restreint. Dès qu’une adresse est active, Illizeo n’accepte plus que les connexions venant des adresses et plages de la liste : à la connexion, puis à chaque action, pour tous les utilisateurs, dans le navigateur comme dans l’application mobile.

1. Ouvrez Paramètres › Gérer Illizeo › Adresses IP autorisées. La page IP autorisées affiche votre adresse actuelle.
2. Si le bandeau « Votre adresse IP n’est pas autorisée » s’affiche, cliquez d’abord sur Autoriser mon IP. Tant que votre propre adresse n’est pas dans la liste, Illizeo refuse d’en ajouter une autre : sans cela, vous vous fermeriez la porte.
3. Dans Ajouter une adresse IP, saisissez une adresse IPv4 ou IPv6, ou une plage CIDR (par exemple 192.168.1.0/24), et un libellé facultatif. Cliquez sur + Ajouter.
4. Sur chaque ligne, l’interrupteur active ou désactive l’adresse, et la corbeille la supprime après confirmation par Supprimer.

La ligne qui couvre votre adresse porte le badge VOTRE IP : vous ne pouvez ni la désactiver ni la supprimer. Les compteurs IP enregistrées, Actives et Inactives, et la recherche par adresse ou libellé, complètent la page.

Les adresses IP bloquées #

La liste de blocage fait l’inverse : une adresse bloquée et active est refusée à chaque action, même si elle figure aussi parmi les adresses autorisées. Une liste vide ne bloque rien.

1. Ouvrez Paramètres › Gérer Illizeo › Adresses IP bloquées.
2. Dans Bloquer une adresse IP, saisissez une adresse ou une plage CIDR et un libellé facultatif, puis cliquez sur Bloquer.
3. L’interrupteur d’une ligne suspend ou rétablit le blocage. La corbeille (Débloquer) retire l’entrée après confirmation par Supprimer.

Illizeo refuse de bloquer, ou de réactiver, une entrée qui couvre votre propre adresse, plages CIDR comprises. Suspendre ou retirer un blocage reste toujours possible.

À savoir #

• L’adresse qui compte est celle qu’Illizeo reçoit : derrière un VPN ou un proxy d’entreprise, c’est l’adresse publique de sortie. Une personne en télétravail ou sur un réseau mobile change d’adresse : prévoyez les plages correspondantes avant d’activer la liste blanche.
• Les listes d’adresses s’appliquent aux sessions déjà ouvertes, dès l’action suivante.
• Un mot de passe est toujours sensible aux majuscules et minuscules.
• Les connexions réussies et échouées sont journalisées : voir Gouvernance & Sécurité.

Questions fréquentes #

Un employé n’a plus de tentative. #

Il doit attendre la fin du délai affiché par le compte à rebours, ou se connecter depuis un autre réseau. Il peut aussi demander un lien de connexion par e-mail.

Après un changement de réseau, plus personne n’entre. #

Un administrateur encore connecté depuis une adresse autorisée peut ajouter la nouvelle adresse. À défaut, contactez le support d’Illizeo.

Faut-il renseigner les adresses de l’application mobile ? #

Oui : la liste blanche s’applique aussi à l’application mobile. Un téléphone sur réseau mobile a une adresse qui change souvent ; il ne pourra se connecter que depuis un réseau autorisé, par exemple le Wi-Fi de l’entreprise.