Se connecter
Créer un compte, le verrou anti-bruteforce, la durée d'une session.
Créer un compte
L'inscription est libre, sur /signup. Le compte créé est le propriétaire
(owner) d'une nouvelle organisation : il n'existe pas d'écran pour
rejoindre une organisation existante. Pour donner accès à un collègue, c'est
l'owner qui crée son compte depuis l'écran Équipe
(Rôles et équipe).
Le mot de passe doit faire au moins 8 caractères, avec une majuscule, une minuscule et un chiffre. La même règle s'applique au changement de mot de passe depuis Mon compte.
Aucun email de confirmation n'est envoyé, et aucune validation n'est attendue : le compte est utilisable immédiatement après l'inscription.
Se connecter
Email et mot de passe sur /login. Si votre rôle exige la 2FA et qu'elle
est activée, aucune session n'est ouverte à cette étape : une fenêtre réclame
votre code, et vous disposez de 5 minutes pour le saisir. Passé ce délai,
recommencez depuis l'écran de connexion
(Authentification à deux facteurs).
Un compte suspendu par az54 est refusé avec « Votre compte a été suspendu ». Le message est le même quel que soit le motif ; il se règle avec le support.
Le verrou après échecs répétés
Les échecs sont comptés par compte, et le mot de passe comme le code 2FA alimentent le même compteur — un code 2FA raté compte comme un mot de passe raté.
| Échecs cumulés | Compte verrouillé pendant |
|---|---|
| 5 | 1 minute |
| 10 | 5 minutes |
| 15 | 15 minutes |
Le compteur n'est remis à zéro que lorsqu'une session est réellement ouverte — donc après la validation du code 2FA, pas après le mot de passe.
Pendant le verrou, les tentatives sont refusées sans être comptées : elles ne prolongent pas le délai et n'aggravent pas le palier. Le message d'erreur indique le temps restant ; réessayez une fois ce délai écoulé.
Le verrou est plafonné à 15 minutes et il n'y a pas d'escalade au-delà : aucun compte ne peut être bloqué durablement par des tentatives d'un tiers.
Durée d'une session
Une session se renouvelle en silence, sans reconnexion, tant que vous l'utilisez : c'est 30 jours d'inactivité qui la font expirer, pas 30 jours d'ancienneté. Fermer l'onglet ne déconnecte pas.
Plusieurs évènements révoquent des sessions :
- l'activation de la 2FA — les autres appareils sont déconnectés, celui qui vient d'activer reste connecté ;
- le changement de mot de passe — toutes les sessions sont fermées, y compris celle de l'appareil courant : vous devez vous reconnecter ;
- la réinitialisation par « mot de passe oublié » — toutes les sessions ;
- le changement de rôle ou le retrait d'un membre — toutes les sessions du membre concerné ;
- la suspension du compte par az54, qui révoque les sessions au renouvellement suivant.
La déconnexion explicite, elle, ne concerne que l'appareil courant.
Une révocation ferme les sessions renouvelables, mais pas la connexion déjà ouverte : l'accès en cours reste valable jusqu'à 30 minutes au plus. Après une compromission, changer le mot de passe ne coupe donc pas l'intrus instantanément.
Mot de passe oublié
Le lien Mot de passe oublié ? de la page /login envoie un email avec un
lien de réinitialisation, valable 30 minutes et utilisable une seule
fois. La réponse est identique que le compte existe ou non, et aucun email
n'est envoyé pour un compte suspendu. Une fois le nouveau mot de passe validé,
toutes les sessions du compte sont fermées.
Votre boîte mail donne donc accès à votre compte : protégez-la comme le compte lui-même, y compris pour les rôles sans 2FA.
Connecté, vous pouvez aussi changer le mot de passe depuis Mon compte → Sécurité, en saisissant le mot de passe actuel.