Sécurité et double authentification
Sécurité du compte : double authentification et connexions suspectes
Introduction
Fotostudio intègre désormais plusieurs mécanismes pour protéger ton compte : double authentification (MFA), détection des connexions inhabituelles, historique des connexions et invalidation automatique des sessions en cas de changement de mot de passe.
Double authentification (MFA)
Qu'est-ce que c'est ?
La double authentification ajoute une deuxième étape à ta connexion. Après avoir entré ton mot de passe, tu dois saisir un code à 6 chiffres généré par une application d'authentification sur ton téléphone. Même si quelqu'un vole ton mot de passe, il ne peut pas accéder à ton compte sans ton téléphone.
Quelle application utiliser ?
Le MFA de Fotostudio repose sur le protocole TOTP (standard ouvert RFC 6238), compatible avec toutes les apps d'authentification du marché :
- Google Authenticator (iOS / Android)
- Authy
- Microsoft Authenticator
- 1Password, Bitwarden, etc.
Activer le MFA
- Va dans Mon compte > Sécurité et clique sur Activer la double authentification
- Installe une app d'authentification sur ton téléphone
- Scanne le QR code affiché avec ton app
- Entre le code à 6 chiffres généré par l'app pour confirmer
- Choisis la fréquence de vérification (voir ci-dessous)
- Sauvegarde tes codes de récupération (étape critique, voir section dédiée)
Fréquence de vérification
Lors de l'activation, tu choisis quand le code t'est demandé :
Option | Comportement |
|---|---|
À chaque connexion | Le code est toujours demandé, sans exception |
À la connexion depuis un navigateur inconnu | Le code est mémorisé 90 jours sur ce navigateur via un cookie sécurisé. Il te sera redemandé si tu changes de navigateur ou d'appareil, si tu vides tes cookies, si tu changes ton mot de passe, ou si tu te connectes depuis un pays inhabituel |
À noter : en mode "navigateur inconnu", si tu reviens toujours sur le même navigateur sans vider tes cookies, le code ne te sera plus demandé pendant 90 jours. C'est un choix de confort délibéré, similaire au comportement de sites majeurs comme Google.
Désactiver le MFA
Rends-toi dans Mon compte > Sécurité, clique sur Gérer à côté de la double authentification, puis sur Désactiver. Une confirmation est demandée.
Codes de récupération
Pourquoi c'est important
Si tu perds l'accès à ton téléphone (vol, panne, nouvelle app), les codes de récupération sont le seul moyen de te connecter. Sans eux, ton compte serait inaccessible.
Comment ça fonctionne
- À l'activation du MFA, 10 codes de récupération sont générés et affichés une seule fois
- Chaque code est au format
XXXX-XXXX-XXXX - Un code est à usage unique : une fois utilisé, il est définitivement invalidé
- Ils s'utilisent à la place du code TOTP sur la page de connexion MFA
Comment les sauvegarder
- Dans ton gestionnaire de mots de passe (1Password, Bitwarden…)
- Dans un fichier chiffré
- Imprimés et conservés dans un endroit sûr
Régénérer les codes
Si tu approches de 0 code restant, ou si tu penses que tes codes ont été compromis :
- Va dans Mon compte > Sécurité et clique sur Gérer à côté de la double authentification
- Clique sur Régénérer les codes de récupération
- Les anciens codes sont immédiatement invalidés
- Sauvegarde les nouveaux codes
Le nombre de codes restants est affiché sur la page Sécurité. Un avertissement apparaît automatiquement quand il en reste 2 ou moins.
Détection des connexions inhabituelles
Fotostudio analyse automatiquement chaque connexion et compare le pays de l'adresse IP actuelle avec celui de la dernière connexion connue.
Que se passe-t-il en cas de connexion suspecte ?
Email d'alerte automatique : tu reçois un email indiquant :
- Le pays détecté
- L'adresse IP
- La date et l'heure de la connexion
- Un lien direct pour changer ton mot de passe
- Un lien pour activer le MFA si ce n'est pas encore fait
Si tu as activé le MFA : même si ton navigateur était marqué "de confiance", le code TOTP t'est automatiquement redemandé en cas de connexion depuis un pays différent.
Ce qui ne déclenche pas d'alerte
- Même pays, adresse IP différente (changement de réseau, 4G vers WiFi, etc.)
- Connexions depuis des adresses locales (réseau interne, développement)
Si tu reçois un email d'alerte et que tu n'es pas à l'origine de cette connexion, change immédiatement ton mot de passe via le lien dans l'email.
Historique des connexions et page Sécurité
La page Mon compte > Sécurité centralise toutes les informations de sécurité de ton compte :
Statut MFA
- Si le MFA est actif : date d'activation, nombre de codes de récupération restants, bouton Gérer
- Si le MFA est inactif : bouton Activer la double authentification
Historique des connexions
Affiche les 50 dernières connexions à ton compte avec :
Colonne | Détail |
|---|---|
Date | Date et heure de la connexion |
Pays | Pays détecté via l'adresse IP |
Adresse IP | IP utilisée lors de la connexion |
Navigateur | User-agent du navigateur |
⚠️ | Connexion depuis un pays inhabituel |
🔒 | Code MFA vérifié lors de cette connexion |
Changement de mot de passe
Quand tu changes ton mot de passe depuis Mon profil (section Mot de passe), plusieurs actions de sécurité se déclenchent automatiquement :
- Toutes les autres sessions actives sont invalidées : toute personne connectée à ton compte sur un autre appareil est immédiatement déconnectée
- La confiance de tous les appareils MFA est révoquée : le code TOTP sera redemandé sur tous les appareils lors de la prochaine connexion, même ceux précédemment mémorisés
Protection contre les attaques par force brute
En complément du MFA, Fotostudio limite automatiquement les tentatives de connexion :
Point d'entrée | Limite |
|---|---|
Page de connexion (par IP) | 5 tentatives par minute |
Page de connexion (par email) | 10 tentatives par 10 minutes |
Code MFA | 5 tentatives par 5 minutes |
Réinitialisation de mot de passe | 10 tentatives par 10 minutes |
Au-delà de ces limites, l'accès est temporairement bloqué.
Si tu as un message disant que ton compte est verrouillé lorsque tu tentes de te connecter, tu dois attendre 1h pour qu'il se débloque automatiquement, ou contacter le support pour qu'il le débloque instantanément.
FAQ
Q : Mon code TOTP n'est pas accepté.
Vérifie que l'heure de ton téléphone est bien synchronisée automatiquement. Une désynchronisation de l'horloge empêche la validation du code. Si le problème persiste, utilise un code de récupération et réactive le MFA.
Q : J'ai perdu mon téléphone et je n'ai plus mes codes de récupération.
Contacte le support Fotostudio. Une vérification d'identité sera nécessaire pour désactiver le MFA sur ton compte.
Q : Je reçois un email d'alerte à chaque connexion alors que je me connecte depuis chez moi.
Ton fournisseur internet change peut-être ton adresse IP régulièrement (IP dynamique). Si le pays reste le même, aucun email n'est envoyé. Si tu utilises un VPN, le pays détecté peut varier selon le serveur VPN utilisé.
Q : Le MFA est-il obligatoire ?
Non, il est optionnel. Mais nous le recommandons fortement, en particulier si ton compte contient des données clients, des informations de facturation ou des accès bancaires liés.
Mis à jour le : 30/10/2026
Merci !