Nova2FA ajoute une seconde vérification à la connexion de votre site : après le mot de passe, l’utilisateur saisit un code reçu par e-mail ou généré sur son téléphone. Même si un mot de passe est volé, personne ne peut entrer dans l’administration sans ce second code.
Lors de la mise en place, Inovagora active la double authentification sur tous les comptes Administrateur et Webmaster.
Vous disposez d’un délai de grâce de 7 jours : pendant ce temps, vous pouvez encore vous connecter avec votre seul mot de passe. Profitez-en pour configurer votre second facteur (code par e-mail ou application, voir section 3). Passé ce délai, la configuration devient obligatoire pour accéder au back-office.
1. Ce que permet Nova 2FA
Nova2FA protège les comptes qui accèdent au back-office (administrateurs, webmasters, contributeurs…). Trois moyens de vérification sont proposés, au choix de chaque utilisateur.
| Moyen de vérification | Comment ça marche | Pour qui |
|---|---|---|
| Code par e-mail | Un code à usage unique est envoyé à l’adresse du compte à chaque connexion. | Tout le monde : rien à installer. Toujours disponible. |
| Application d’authentification | Une application sur le téléphone (Google Authenticator, Microsoft Authenticator…) affiche un code qui change toutes les 30 secondes. | Les utilisateurs réguliers : plus rapide et ne dépend pas de la messagerie. Activable par l’administrateur. |
| Codes de secours | Une liste de codes à usage unique, à conserver en lieu sûr. | En dépannage, si le téléphone ou la boîte mail n’est pas accessible. |
Appareils de confiance — Un ordinateur habituel peut être mémorisé : la seconde vérification n’est alors plus demandée à chaque connexion sur ce poste. Chaque utilisateur retrouve et peut retirer ses appareils de confiance depuis son profil.
Bon à savoir : Une fois la double authentification activée sur un compte, les connexions « techniques » par simple mot de passe sont bloquées pour ce compte. Elles permettraient sinon de contourner la seconde étape.
2. Se connecter avec la double authentification
Pour un compte protégé, la connexion se fait désormais en deux étapes, sur la page de connexion habituelle de votre site.
- Rendez-vous sur la page de connexion de votre site et saisissez, comme d’habitude, votre identifiant et votre mot de passe.
- Un second écran s’affiche et vous demande un code de vérification :
- avec la 2FA par e-mail, ouvrez votre messagerie : un code vient de vous être envoyé ;
- avec une application d’authentification, ouvrez l’application sur votre téléphone et lisez le code affiché pour votre site.
- Saisissez le code et validez. Si vous utilisez votre poste habituel, vous pouvez le mémoriser comme appareil de confiance pour ne plus avoir à saisir de code sur cet ordinateur.
- Vous accédez au tableau de bord comme d’habitude.
Vous n’avez ni votre téléphone ni accès à vos e-mails ? Saisissez l’un de vos codes de secours à la place du code de vérification. Chaque code ne fonctionne qu’une seule fois.
Bon à savoir : Si vous vous connectez depuis un nouvel appareil, ou si votre compte est temporairement verrouillé après plusieurs codes erronés, vous recevez une alerte par e-mail. Si ce n’est pas vous, prévenez immédiatement l’administrateur du site et changez votre mot de passe.
3. Activer la 2FA sur son compte
Chaque utilisateur active lui-même sa double authentification depuis son profil : Comptes → Profil, section Authentification à deux facteurs.
Option A — Code par e-mail (le plus simple)
- Ouvrez Comptes → Profil.
- Dans la section Authentification à deux facteurs, cochez Activer l’authentification par email.
- Vérifiez que l’adresse e-mail de votre compte est correcte.
- Cliquez sur Mettre à jour le profil en bas de page. À la prochaine connexion, un code vous sera envoyé.
Option B — Application d’authentification
Cette option apparaît dans le profil uniquement si l’administrateur l’a autorisée.
- Installez sur votre téléphone une application d’authentification gratuite (Google Authenticator, Microsoft Authenticator, ou équivalent).
- Dans votre profil, lancez l’inscription de l’application : un QR code s’affiche.
- Dans l’application, choisissez « Ajouter un compte » puis scannez le QR code.
- Saisissez le code à 6 chiffres affiché par l’application pour confirmer, puis enregistrez votre profil.
Générer ses codes de secours
- Dans la même section, cochez Générer de nouveaux codes de secours.
- Cliquez sur Mettre à jour le profil : la liste de codes s’affiche.
- Notez-les ou imprimez-les, et rangez-les en lieu sûr (pas sur le même téléphone).
Bon à savoir : Générer de nouveaux codes annule les anciens. Le profil indique en permanence combien de codes inutilisés il vous reste.
Gérer ses appareils de confiance
La ligne Appareils de confiance liste les ordinateurs mémorisés lors de vos connexions. Retirez un appareil que vous n’utilisez plus (poste changé, ordinateur partagé, perte) : la seconde vérification y sera de nouveau demandée.
Important : Seul le titulaire du compte peut configurer ou modifier son application d’authentification. Un administrateur ne peut pas le faire à sa place.
4. Suivre et débloquer les utilisateurs
La liste Comptes affiche une colonne Deux facteurs qui indique, pour chaque utilisateur, si sa double authentification est active (un tiret « — » signifie qu’elle ne l’est pas).
Débloquer un compte (Reset 2FA)
Un utilisateur a perdu son téléphone et n’a plus ses codes de secours ? Un administrateur peut réinitialiser sa double authentification.
- Ouvrez Comptes dans le menu de gauche.
- Survolez la ligne de l’utilisateur concerné.
- Cliquez sur l’action Reset 2FA qui apparaît sous son identifiant.
- Prévenez l’utilisateur : il pourra se reconnecter avec son seul mot de passe, puis devra réactiver sa 2FA depuis son profil.
Bon à savoir : L’action Reset 2FA n’apparaît que pour les comptes dont la 2FA est active. Avant de réinitialiser, assurez-vous que la demande vient bien du titulaire du compte (appel téléphonique, demande en personne).
5. Questions fréquentes
Vérifiez vos courriers indésirables, puis l’adresse e-mail indiquée dans votre profil. Si le problème persiste, utilisez un code de secours ou contactez l’administrateur du site. Un défaut d’envoi peut venir de la configuration e-mail (SMTP) du site : le support Inovagora peut la vérifier.
Une fois connecté, générez-en de nouveaux depuis votre profil. Les anciens codes sont alors annulés.
Non, si vous mémorisez votre poste comme appareil de confiance. Le code sera de nouveau demandé sur tout autre appareil.