Authentification à deux facteurs

Qui doit l'activer

Pour les trois premiers rôles, ce n'est pas une recommandation : ce sont les rôles qui peuvent faire sortir de l'argent, et le serveur refuse ces opérations tant que la 2FA n'est pas active.

Ce qui ne fonctionne pas sans elle

Un owner, un admin ou un validator sans 2FA se connecte, navigue et consulte normalement. En revanche toute action qui déplace de l'argent est refusée avec un 403 et le message « Authentification à deux facteurs requise » :

• initier un pay-out, et même afficher les frais ou l'aperçu d'un pay-out — l'écran Pay-Outs est donc inutilisable, pas seulement bloqué à l'envoi ;
• approuver ou rejeter un pay-out en attente de validation ;
• créer ou annuler un transfert entre portefeuilles, envoyer un Transfert AZ54 ;
• créer ou annuler un retrait bancaire.

Le même blocage protège les réglages du compte : créer ou révoquer une clé d'API, gérer les secrets et l'URL de webhook, ajouter, modifier ou retirer un membre de l'équipe, renommer l'organisation, créer, modifier ou supprimer un bénéficiaire. La lecture de votre plafond de pay-out et la liste des brouillons en attente de validation sont bloquées de la même façon.

Encaisser (Caisse, lien de paiement), consulter les transactions, les soldes et les top-ups restent accessibles. Le blocage porte sur les sorties de fonds et sur les réglages qui les commandent.

Activer

Depuis Mon compte → Sécurité → Authentification à deux facteurs → ACTIVER. Si votre rôle l'exige, un bandeau rouge en haut de la page propose le même bouton.

1. az54 génère un secret et un QR code. Scannez-le avec une application d'authentification (Google Authenticator, Authy, 1Password, Bitwarden — tout client TOTP standard). Le secret est aussi affiché en clair sous le QR code pour une saisie manuelle.
2. Saisissez le code à 6 chiffres affiché par l'application. C'est lui qui prouve que l'enrôlement a fonctionné : sans code valide, la 2FA n'est pas activée.
3. az54 affiche 8 codes de secours. Copiez-les ou téléchargez-les (2fa-backup-codes.txt) maintenant : ils ne seront jamais réaffichés.

L'activation révoque toutes vos autres sessions : vos autres navigateurs et appareils sont déconnectés. La session courante, elle, reste ouverte — il n'y a pas besoin de se reconnecter juste après l'activation.

Se connecter ensuite

À chaque connexion, après le mot de passe, une fenêtre réclame le code à 6 chiffres. Le challenge est valable 5 minutes.

Deux formats sont acceptés :

• 123456 — le code à 6 chiffres de votre application ;
• xxxx-xxxx — un code de secours, via « Utiliser un code de secours ».

La tolérance sur le code TOTP est d'une période de 30 secondes avant et après. Un code refusé alors que l'application en affiche un valide est presque toujours une horloge de téléphone décalée : forcez la synchronisation automatique de l'heure sur l'appareil.

Un code refusé compte comme un mot de passe raté dans le verrou anti-bruteforce (Se connecter).

Codes de secours

• Il y en a 8, au format xxxx-xxxx.
• Ils sont à usage unique : un code utilisé est supprimé, et il n'y a pas de réapprovisionnement automatique.
• Ils ne sont affichés qu'une fois. az54 n'en conserve qu'une empreinte et ne peut pas vous les redonner.
• Le tableau de bord ne propose pas de les régénérer. Le seul moyen d'obtenir un jeu neuf est de désactiver puis réactiver la 2FA, ce qui produit 8 nouveaux codes. Faites-le avant d'avoir consommé le dernier, pas après.

Traitez-les comme un mot de passe : gestionnaire de secrets ou coffre physique, pas la boîte mail.

Désactiver

Mon compte → DÉSACTIVER, puis un code à 6 chiffres pour confirmer (un code de secours est également accepté). La désactivation supprime les codes de secours restants.

Si votre rôle exige la 2FA, la désactiver vous laisse connecté mais rend inopérantes toutes les sorties de fonds, jusqu'à réactivation.

Changer d'appareil

Il n'est pas possible de relancer l'enrôlement tant que la 2FA est active : la demande est refusée (« La 2FA est déjà activée sur ce compte. Désactivez-la avant de la reconfigurer. »). C'est délibéré — sans ce garde-fou, quiconque tient une session ouverte pourrait remplacer le secret sans prouver le facteur en place.

La marche à suivre est donc : désactiver avec un code de l'ancien appareil, puis réactiver en scannant le nouveau QR code. Faites-le avant de vous séparer de l'ancien téléphone.

Perte d'accès

Il n'existe ni email de récupération, ni question secrète, ni délai de déblocage automatique. C'est la raison pour laquelle l'étape 3 de l'activation n'est pas optionnelle.