La sécurité au quotidien
Sommaire
Éclair est conçu pour un environnement hostile, mais la sécurité au quotidien repose aussi sur toi : un bon mot de passe, la double authentification, des comptes adaptés à chaque personne et une visite régulière de la page Sécurité. Cette leçon te guide pas à pas, puis te propose une routine mensuelle de 30 minutes, celle d'Atelier Nova et de ses deux formatrices.
Ce que tu sauras faire
Verrouiller ton compte
Mot de passe solide et double authentification avec codes de secours.
Donner les bons droits
Administrateurs, rédacteurs, mots de passe provisoires et sessions.
Surveiller ton site
Contrôle d'intégrité, test de protection, journal et sauvegarde.
Un mot de passe solide
Éclair chiffre les mots de passe avec Argon2id, un algorithme conçu pour rendre coûteuses les attaques par force brute, et refuse ceux qui sont trop faibles :
- moins de 10 caractères ;
- un mot de passe courant, comme « password123 » ;
- moins de 5 caractères différents ;
- un mot de passe qui contient ton nom, ton e-mail ou le nom du site.
Le conseil affiché sous le champ est le bon : « une phrase de 4 mots est solide et facile à retenir », avec des mots sans lien entre eux. Mieux encore, utilise un gestionnaire de mots de passe. Pour en changer, ouvre Mon profil, rubrique Mot de passe, saisis le Mot de passe actuel puis le Nouveau mot de passe, et clique sur Changer le mot de passe : tes autres appareils sont déconnectés.
Face aux robots, chaque réseau a droit à 10 tentatives par quart d'heure, et chaque compte à 30 par heure. Ton appareil habituel a son propre compteur : un attaquant qui rate exprès ne peut pas te bloquer.
Comment activer la double authentification ?
- Ouvre Mon profil, rubrique Double authentification (2FA), et clique sur Activer la double authentification.
- Ouvre ton application d'authentification (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden…) et scanne le QR code, ou saisis à la main la clé affichée.
- Saisis le code à 6 chiffres affiché par l'application, puis clique sur Confirmer et activer.
- Note les 8 codes de secours : ils ne s'affichent qu'une seule fois. Clique sur Copier les codes et range-les dans ton gestionnaire de mots de passe, ou imprime-les.
À chaque connexion, Éclair te demande ensuite ce code à 6 chiffres, renouvelé toutes les 30 secondes. Si le code est refusé à l'activation, vérifie l'heure de ton téléphone : un décalage suffit à le rendre faux.
Téléphone perdu ? Saisis l'un de tes codes de secours, au format abcde-12345, à la place du code : chacun ne sert qu'une fois. Mon profil affiche les codes de secours restants, et le bouton Nouveaux codes de secours en génère une nouvelle série. Après 10 codes faux, la double authentification du compte est bloquée 15 minutes et son titulaire est prévenu par e-mail.
Administrateurs et rédacteurs, à chacun ses droits
| Rôle | Ce qu'il peut faire |
|---|---|
| Administrateur | Tout : réglages, utilisateurs, page Sécurité, et tout ce que fait un rédacteur |
| Rédacteur | Écrire et publier dans Contenus, gérer Médias, Catégories, Menus, Messages et Redirections ; utiliser l'assistant IA si « Les rédacteurs peuvent utiliser l'assistant » est coché |
Pour inviter une formatrice d'Atelier Nova :
- Ouvre Utilisateurs, puis le formulaire Inviter quelqu'un.
- Saisis son Nom et son E-mail, garde le Rôle « Rédacteur », puis clique sur Créer le compte.
- Éclair génère un mot de passe provisoire sécurisé, en quatre groupes de 4 caractères : transmets-le de vive voix ou par un canal sûr.
- À sa première connexion, elle doit le remplacer par son mot de passe personnel avant d'accéder au reste de l'administration.
La liste Utilisateurs montre, pour chaque compte, son rôle, l'état de sa double authentification (Activée ou Non) et sa Dernière connexion. La fiche d'un compte permet de Réinitialiser le mot de passe, de Désactiver la 2FA si la personne a perdu son téléphone, ou de Supprimer le compte : ses contenus restent en ligne.
Sessions et actions sensibles
- Une session se ferme après une période d'inactivité, 240 minutes par défaut, réglable de 15 à 1 440 minutes dans Réglages › Avancé. Elle ne dure jamais plus de 48 heures et reste liée à ton navigateur.
- Déconnecter mes autres appareils, dans Mon profil, ferme tes sessions ailleurs. Déconnecter tout le monde, dans Sécurité › Sessions et blocages, ferme toutes les sessions du site sauf la tienne.
- Pour les actions sensibles (sauvegarde, gestion des comptes, réglages avancés, changement d'e-mail), le champ Confirme avec ton mot de passe apparaît si tu t'es connecté il y a plus de 15 minutes.
La page Sécurité, bloc par bloc
| Bloc | Ce qu'il fait | Ton geste |
|---|---|---|
| Niveau de protection | Note sur 7 points : HTTPS imposé, adresse vérifiée, 2FA pour tous les administrateurs, adresse d'administration personnalisée, PHP 8.2 ou plus, Argon2id, HSTS | Viser 100 % |
| Test de protection des dossiers | Ton navigateur tente d'ouvrir des fichiers internes, comme data/site.php | Tout doit rester inaccessible |
| Intégrité des fichiers | Compare chaque fichier à son empreinte d'origine et cherche les fichiers suspects | Analyser maintenant, puis lire les fichiers modifiés, manquants, inconnus ou suspects |
| Sauvegarde | Archive ZIP de data/ et media/ | Télécharger une sauvegarde et la ranger hors du serveur |
| Sessions et blocages | Adresses bloquées après trop d'échecs | Débloquer une adresse, Déconnecter tout le monde |
| Journal de sécurité | Connexions, échecs, 2FA, comptes, sauvegardes | Repérer ce qui sort de l'ordinaire |
Tant que l'adresse du site n'est pas vérifiée, un bouton Vérifier l'adresse du site s'affiche, et Éclair ne redirige personne vers cette adresse. Si la vérification échoue, ton serveur n'arrive pas à se joindre lui-même (pare-feu de l'hébergeur, domaine pas encore propagé) : le site fonctionne, réessaie plus tard.
Deux lectures du contrôle d'intégrité à connaître : des gabarits que tu as personnalisés apparaissent comme modifiés, c'est normal ; d'anciens fichiers restés après une mise à jour apparaissent comme inconnus, d'où la consigne de supprimer app/ et assets/ avant d'envoyer une nouvelle version. Quant à la sauvegarde, elle exclut les clés d'API de l'assistant, l'historique des conversations et les sessions : après une restauration, ressaisis tes clés.
La sécurité au quotidien en 30 minutes par mois
| Étape | Où | Durée |
|---|---|---|
| Télécharger une sauvegarde et la ranger hors du serveur | Sécurité › Sauvegarde | 5 min |
| Lancer le contrôle d'intégrité | Sécurité › Intégrité des fichiers | 5 min |
| Lire le journal de sécurité | Sécurité › Journal de sécurité | 5 min |
| Vérifier les comptes : 2FA, dernière connexion, départs | Utilisateurs | 5 min |
| Couper les accès MCP qui ne servent plus | Réglages › Assistant IA | 2 min |
| Contrôler le niveau de protection et les nouvelles versions | Sécurité, et le dépôt GitHub d'Éclair | 8 min |
Atelier Nova a placé ce rendez-vous le premier lundi du mois dans son agenda. Et le jour où une formatrice quitte l'atelier, son compte est supprimé le jour même, sans attendre le rendez-vous suivant.
À retenir
- Un mot de passe de 10 caractères au moins, idéalement une phrase de 4 mots, et la 2FA activée.
- Range tes 8 codes de secours ailleurs que sur ton téléphone.
- Donne le rôle Rédacteur à qui écrit, Administrateur seulement à qui gère le site.
- Supprime le compte d'une personne qui part, et déconnecte tes appareils perdus.
- Ta sécurité au quotidien tient en une routine mensuelle : sauvegarde, intégrité, journal et comptes.
Pour aller plus loin
- Sécurité avancée et maintenance : mises à jour, sauvegardes hors site, HSTS, récupération.
- Comprendre le connecteur MCP : couper l'accès d'une application et protéger ton compte.
- Dépannage : retrouver l'accès avec le fichier data/reset.php.
- Sources : la norme RFC 6238 des codes à usage unique et la norme RFC 9106 qui décrit Argon2.
Questions fréquentes
J'ai perdu mon téléphone, comment me reconnecter ?
Saisis l'un de tes codes de secours à la place du code à 6 chiffres. Un autre administrateur peut aussi désactiver ta 2FA depuis Utilisateurs. Sans code ni autre administrateur, la procédure du fichier data/reset.php, décrite dans le dépannage, rétablit ton accès.
Un rédacteur peut-il modifier les réglages du site ?
Non. Il accède aux contenus, médias, catégories, menus, messages et redirections, mais pas aux réglages, aux utilisateurs ni à la page Sécurité.
À quoi sert la vérification de l'adresse du site ?
Éclair ne redirige les visiteurs vers l'adresse officielle, avec ou sans www, qu'après avoir vérifié qu'elle mène bien à ton site. Une adresse erronée ou piégée ne peut ainsi détourner personne.
Faut-il activer HSTS ?
Oui, une fois HTTPS parfaitement en place : l'option HSTS de Réglages › Avancé demande aux navigateurs de n'utiliser que HTTPS pendant un an. Active-la seulement quand tout ton site répond bien en HTTPS, car ce choix reste en mémoire des navigateurs.