---
title: "La sécurité au quotidien"
description: "La sécurité au quotidien de ton site Éclair, avec mot de passe solide, double authentification, rôles, sessions, sauvegarde et une routine mensuelle."
url: "https://eclair.academy/parcours/intermediaire/securite-quotidien"
lang: "fr"
author: "Thierry Gustin"
published: "2026-11-02"
updated: "2026-11-02"
---

# La sécurité au quotidien

> **L’essentiel** — Éclair est protégé par défaut, mais la sécurité au quotidien dépend de quelques gestes. Choisis un mot de passe d'au moins 10 caractères, active la double authentification et garde ses 8 codes de secours, donne un compte rédacteur aux personnes qui écrivent, puis passe chaque mois sur la page Sécurité pour la sauvegarde, le contrôle d'intégrité et le journal.

Éclair est conçu pour un environnement hostile, mais la sécurité au quotidien repose aussi sur toi : un bon mot de passe, la double authentification, des comptes adaptés à chaque personne et une visite régulière de la page **Sécurité**. Cette leçon te guide pas à pas, puis te propose une routine mensuelle de 30 minutes, celle d'Atelier Nova et de ses deux formatrices.

> **Avant de commencer** — Durée : 30 minutes, puis 30 minutes par mois. Prérequis : un compte administrateur ([prendre en main l'administration](https://eclair.academy/parcours/debutant/administration)), un smartphone avec une application d'authentification et un site en HTTPS ([les réglages essentiels](https://eclair.academy/parcours/debutant/reglages-essentiels)).

## Ce que tu sauras faire

### 🔒 Verrouiller ton compte

Mot de passe solide et double authentification avec codes de secours.

### 👥 Donner les bons droits

Administrateurs, rédacteurs, mots de passe provisoires et sessions.

### 🛡 Surveiller ton site

Contrôle d'intégrité, test de protection, journal et sauvegarde.

## Un mot de passe solide

Éclair chiffre les mots de passe avec Argon2id, un algorithme conçu pour rendre coûteuses les attaques par force brute, et refuse ceux qui sont trop faibles :

- moins de 10 caractères ;
- un mot de passe courant, comme « password123 » ;
- moins de 5 caractères différents ;
- un mot de passe qui contient ton nom, ton e-mail ou le nom du site.

Le conseil affiché sous le champ est le bon : « une phrase de 4 mots est solide et facile à retenir », avec des mots sans lien entre eux. Mieux encore, utilise un gestionnaire de mots de passe. Pour en changer, ouvre **Mon profil**, rubrique **Mot de passe**, saisis le **Mot de passe actuel** puis le **Nouveau mot de passe**, et clique sur **Changer le mot de passe** : tes autres appareils sont déconnectés.

Face aux robots, chaque réseau a droit à 10 tentatives par quart d'heure, et chaque compte à 30 par heure. Ton appareil habituel a son propre compteur : un attaquant qui rate exprès ne peut pas te bloquer.

## Comment activer la double authentification ?

1. Ouvre **Mon profil**, rubrique **Double authentification (2FA)**, et clique sur **Activer la double authentification**.
2. Ouvre ton application d'authentification (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden…) et scanne le QR code, ou saisis à la main la clé affichée.
3. Saisis le code à 6 chiffres affiché par l'application, puis clique sur **Confirmer et activer**.
4. Note les **8 codes de secours** : ils ne s'affichent qu'une seule fois. Clique sur **Copier les codes** et range-les dans ton gestionnaire de mots de passe, ou imprime-les.

À chaque connexion, Éclair te demande ensuite ce code à 6 chiffres, renouvelé toutes les 30 secondes. Si le code est refusé à l'activation, vérifie l'heure de ton téléphone : un décalage suffit à le rendre faux.

Téléphone perdu ? Saisis l'un de tes codes de secours, au format abcde-12345, à la place du code : chacun ne sert qu'une fois. **Mon profil** affiche les codes de secours restants, et le bouton **Nouveaux codes de secours** en génère une nouvelle série. Après 10 codes faux, la double authentification du compte est bloquée 15 minutes et son titulaire est prévenu par e-mail.

![Mon profil, rubrique Double authentification : activation par QR code et codes de secours](https://eclair.academy/media/2026/11/eclair-academy-profile-2fa-fr.webp)
*La double authentification se règle dans Mon profil*

## Administrateurs et rédacteurs, à chacun ses droits

| Rôle | Ce qu'il peut faire |
| --- | --- |
| Administrateur | Tout : réglages, utilisateurs, page Sécurité, et tout ce que fait un rédacteur |
| Rédacteur | Écrire et publier dans Contenus, gérer Médias, Catégories, Menus, Messages et Redirections ; utiliser l'assistant IA si « Les rédacteurs peuvent utiliser l'assistant » est coché |

Pour inviter une formatrice d'Atelier Nova :

1. Ouvre **Utilisateurs**, puis le formulaire **Inviter quelqu'un**.
2. Saisis son **Nom** et son **E-mail**, garde le **Rôle** « Rédacteur », puis clique sur **Créer le compte**.
3. Éclair génère un mot de passe provisoire sécurisé, en quatre groupes de 4 caractères : transmets-le de vive voix ou par un canal sûr.
4. À sa première connexion, elle doit le remplacer par son mot de passe personnel avant d'accéder au reste de l'administration.

La liste **Utilisateurs** montre, pour chaque compte, son rôle, l'état de sa double authentification (**Activée** ou **Non**) et sa **Dernière connexion**. La fiche d'un compte permet de **Réinitialiser le mot de passe**, de **Désactiver la 2FA** si la personne a perdu son téléphone, ou de **Supprimer le compte** : ses contenus restent en ligne.

![La liste des utilisateurs avec leur rôle, l'état de la double authentification et la dernière connexion](https://eclair.academy/media/2026/11/eclair-academy-users-fr.webp)
*Un coup d'œil suffit pour repérer un compte sans 2FA*

## Sessions et actions sensibles

- Une session se ferme après une période d'inactivité, 240 minutes par défaut, réglable de 15 à 1 440 minutes dans **Réglages › Avancé**. Elle ne dure jamais plus de 48 heures et reste liée à ton navigateur.
- **Déconnecter mes autres appareils**, dans **Mon profil**, ferme tes sessions ailleurs. **Déconnecter tout le monde**, dans **Sécurité › Sessions et blocages**, ferme toutes les sessions du site sauf la tienne.
- Pour les actions sensibles (sauvegarde, gestion des comptes, réglages avancés, changement d'e-mail), le champ **Confirme avec ton mot de passe** apparaît si tu t'es connecté il y a plus de 15 minutes.

## La page Sécurité, bloc par bloc

| Bloc | Ce qu'il fait | Ton geste |
| --- | --- | --- |
| Niveau de protection | Note sur 7 points : HTTPS imposé, adresse vérifiée, 2FA pour tous les administrateurs, adresse d'administration personnalisée, PHP 8.2 ou plus, Argon2id, HSTS | Viser 100 % |
| Test de protection des dossiers | Ton navigateur tente d'ouvrir des fichiers internes, comme data/site.php | Tout doit rester inaccessible |
| Intégrité des fichiers | Compare chaque fichier à son empreinte d'origine et cherche les fichiers suspects | **Analyser maintenant**, puis lire les fichiers modifiés, manquants, inconnus ou suspects |
| Sauvegarde | Archive ZIP de data/ et media/ | **Télécharger une sauvegarde** et la ranger hors du serveur |
| Sessions et blocages | Adresses bloquées après trop d'échecs | **Débloquer** une adresse, **Déconnecter tout le monde** |
| Journal de sécurité | Connexions, échecs, 2FA, comptes, sauvegardes | Repérer ce qui sort de l'ordinaire |

![La page Sécurité : niveau de protection, test des dossiers, intégrité des fichiers et sauvegarde](https://eclair.academy/media/2026/11/eclair-academy-security-fr.webp)
*La page Sécurité, ton tableau de bord de protection*

Tant que l'adresse du site n'est pas vérifiée, un bouton **Vérifier l'adresse du site** s'affiche, et Éclair ne redirige personne vers cette adresse. Si la vérification échoue, ton serveur n'arrive pas à se joindre lui-même (pare-feu de l'hébergeur, domaine pas encore propagé) : le site fonctionne, réessaie plus tard.

Deux lectures du contrôle d'intégrité à connaître : des gabarits que tu as personnalisés apparaissent comme modifiés, c'est normal ; d'anciens fichiers restés après une mise à jour apparaissent comme inconnus, d'où la consigne de supprimer `app/` et `assets/` avant d'envoyer une nouvelle version. Quant à la sauvegarde, elle exclut les clés d'API de l'assistant, l'historique des conversations et les sessions : après une restauration, ressaisis tes clés.

## La sécurité au quotidien en 30 minutes par mois

| Étape | Où | Durée |
| --- | --- | --- |
| Télécharger une sauvegarde et la ranger hors du serveur | Sécurité › Sauvegarde | 5 min |
| Lancer le contrôle d'intégrité | Sécurité › Intégrité des fichiers | 5 min |
| Lire le journal de sécurité | Sécurité › Journal de sécurité | 5 min |
| Vérifier les comptes : 2FA, dernière connexion, départs | Utilisateurs | 5 min |
| Couper les accès MCP qui ne servent plus | Réglages › Assistant IA | 2 min |
| Contrôler le niveau de protection et les nouvelles versions | Sécurité, et le [dépôt GitHub d'Éclair](https://github.com/Jacckisback/eclair-cms) | 8 min |

Atelier Nova a placé ce rendez-vous le premier lundi du mois dans son agenda. Et le jour où une formatrice quitte l'atelier, son compte est supprimé le jour même, sans attendre le rendez-vous suivant.

## À retenir

- Un mot de passe de 10 caractères au moins, idéalement une phrase de 4 mots, et la 2FA activée.
- Range tes 8 codes de secours ailleurs que sur ton téléphone.
- Donne le rôle Rédacteur à qui écrit, Administrateur seulement à qui gère le site.
- Supprime le compte d'une personne qui part, et déconnecte tes appareils perdus.
- Ta sécurité au quotidien tient en une routine mensuelle : sauvegarde, intégrité, journal et comptes.

## Pour aller plus loin

- [Sécurité avancée et maintenance](https://eclair.academy/parcours/expert/securite-avancee) : mises à jour, sauvegardes hors site, HSTS, récupération.
- [Comprendre le connecteur MCP](https://eclair.academy/parcours/ia-mcp/comprendre-mcp) : couper l'accès d'une application et protéger ton compte.
- [Dépannage](https://eclair.academy/documentation/depannage) : retrouver l'accès avec le fichier data/reset.php.
- Sources : la norme [RFC 6238](https://datatracker.ietf.org/doc/html/rfc6238) des codes à usage unique et la norme [RFC 9106](https://datatracker.ietf.org/doc/html/rfc9106) qui décrit Argon2.

## Questions fréquentes

### J'ai perdu mon téléphone, comment me reconnecter ?

Saisis l'un de tes codes de secours à la place du code à 6 chiffres. Un autre administrateur peut aussi désactiver ta 2FA depuis **Utilisateurs**. Sans code ni autre administrateur, la procédure du fichier data/reset.php, décrite dans le dépannage, rétablit ton accès.

### Un rédacteur peut-il modifier les réglages du site ?

Non. Il accède aux contenus, médias, catégories, menus, messages et redirections, mais pas aux réglages, aux utilisateurs ni à la page Sécurité.

### À quoi sert la vérification de l'adresse du site ?

Éclair ne redirige les visiteurs vers l'adresse officielle, avec ou sans www, qu'après avoir vérifié qu'elle mène bien à ton site. Une adresse erronée ou piégée ne peut ainsi détourner personne.

### Faut-il activer HSTS ?

Oui, une fois HTTPS parfaitement en place : l'option **HSTS** de Réglages › Avancé demande aux navigateurs de n'utiliser que HTTPS pendant un an. Active-la seulement quand tout ton site répond bien en HTTPS, car ce choix reste en mémoire des navigateurs.