L'inscription à l'authentification à deux facteurs (TOTP) est obligatoire dans StateWarden : chaque compte configure une application d'authentification à la première connexion, avant d'accéder au Dashboard. Si vous perdez cet appareil (téléphone perdu, panne matérielle, application d'authentification supprimée), les codes à six chiffres disparaissent avec lui.
Cet article décrit les deux chemins de récupération : la connexion avec un code de récupération (en libre-service) et la réinitialisation MFA assistée par le support.
1. Codes de récupération : la voie en libre-service
Lorsque vous avez activé l'authentification à deux facteurs, StateWarden a généré 10 codes de récupération à usage unique (format XXXXX-XXXXX) et les a affichés une seule fois, avec la consigne de les enregistrer immédiatement. Seules les empreintes cryptographiques des codes sont stockées : ils ne peuvent plus être affichés ultérieurement.
Les codes de récupération sont le seul mécanisme de récupération en libre-service. Il n'existe pas de lien de réinitialisation « second facteur oublié ? », et c'est voulu. Si vous n'avez pas enregistré vos codes, passez à la section 4.
2. Connexion avec un code de récupération
- Ouvrez l'écran de connexion StateWarden et connectez-vous avec votre e-mail et votre mot de passe comme d'habitude.
- Lorsque l'écran Contrôle de sécurité vous demande le code de votre application d'authentification, saisissez l'un de vos codes de récupération dans le même champ, à la place d'un code TOTP à six chiffres. L'indice sous le champ (« Appareil perdu ? Saisissez un code de récupération ci-dessus. ») fait référence à cette option.
- Le système reconnaît automatiquement le format du code de récupération et finalise la connexion.
Contraintes :
- Chaque code de récupération est à usage unique. Une fois accepté, il est définitivement invalidé.
- L'utilisation d'un code de récupération vous connecte, mais n'appaire pas un nouvel appareil d'authentification. Le Dashboard ne propose pas de réinscription en libre-service : après avoir retrouvé l'accès, contactez votre administrateur de Realm ou ouvrez un ticket de support pour faire réinitialiser votre MFA, afin que l'écran CONFIGURATION 2FA apparaisse à votre prochaine connexion et que vous puissiez inscrire l'appareil de remplacement.
- Si vous êtes à court de codes non utilisés, générez un nouveau jeu comme décrit à la section 3.
3. Régénération des codes de récupération
Vous pouvez remplacer votre jeu de codes de récupération à tout moment tant que vous avez encore accès à votre application d'authentification :
- Accédez à Paramètres utilisateur → Auth. à deux facteurs.
- Dans le panneau Accès d'urgence, cliquez sur RÉGÉNÉRER LES CODES.
- Confirmez votre identité en saisissant un code actuel de votre application d'authentification (un code TOTP à six chiffres ; un code de récupération n'est pas accepté ici).
- StateWarden génère et affiche 10 nouveaux codes de récupération. Enregistrez-les immédiatement : ils ne seront plus affichés.
La régénération invalide l'intégralité du jeu précédent, y compris les codes non utilisés. Faites-le après avoir consommé des codes, ou dès que vous soupçonnez qu'une copie stockée a pu être exposée.
4. Ni appareil ni codes de récupération
Si vous avez perdu à la fois l'appareil d'authentification et tous les codes de récupération, la récupération en libre-service est impossible. Dans ce cas :
- Ouvrez un ticket de support (voir Contacter le support : le système de tickets) et signalez la perte de votre appareil 2FA.
- Préparez-vous à une étape de vérification d'identité (par exemple un appel vidéo) : le support applique une procédure de vérification d'identité avant toute réinitialisation MFA, et toutes les réinitialisations sont consignées dans la piste d'audit.
- Après la réinitialisation, l'écran CONFIGURATION 2FA apparaît à votre prochaine connexion, vous permettant d'inscrire un nouvel appareil d'authentification et de générer un nouveau jeu de codes de récupération.
5. Prévention
- Conservez les codes de récupération hors ligne : une entrée dans un gestionnaire de mots de passe, une copie imprimée en lieu sûr ou une sauvegarde chiffrée. Chacune de ces options survit à la perte d'un téléphone.
- Régénérez les codes après utilisation (section 3). Dix codes s'épuisent vite si vous vous y fiez ; un nouveau jeu maintient le filet de sécurité intact.
- Gardez votre inscription d'authentification transférable. Lorsque votre application d'authentification le permet, utilisez sa fonction d'export ou de transfert cloud pour que l'inscription TOTP puisse être déplacée vers un appareil de remplacement sans réinitialisation.
- Agissez tôt. Si vous avez encore l'ancien appareil, migrez votre application d'authentification avant de le mettre au rebut : la récupération est un recours, pas une procédure de routine.
StateWarden : la résilience par l'ingénierie.