MFA, politique de mot de passe et sécurité de l’application

⚠️ Droits nécessaires : le profil Administrateur, sur le compte parent. L’adjoint dispose « des mêmes droits que l’administrateur, la configuration du compte en moins » : ces écrans lui restent fermés. Voyez Attribuer les droits.

Tout se règle dans Configuration > Intégration, sur deux entrées voisines : Authentification porte le MFA et le Niveau de sécurité, Securité porte les protections de l’application mobile. Documents légaux et RGPD sont dans Configurer la sécurité, le RGPD et les informations légales.

Activer le MFA

Onglet Authentification, première carte Authentification mutli-facteurs : cochez Activer le MFA, puis enregistrez. La case n’apparaît que si votre compte propose une connexion par e-mail et mot de passe.

À la connexion, la personne reçoit un e-mail dont l’objet est « Validez votre connexion sur … » et clique sur Je confirme ma connexion. La session ne s’ouvre qu’après ce clic, et le lien vaut quinze minutes. Passé ce délai, la personne relance une connexion pour recevoir un nouveau lien. Chaque nouvelle demande annule le lien précédent. La règle couvre les apprenants comme les membres du back-office qui entrent par mot de passe.

⚠️ Le MFA suppose que chaque compte porte une adresse e-mail. Là où les apprenants sont identifiés par matricule sans adresse renseignée, la validation ne peut pas aboutir. Vérifiez la couverture des adresses avant de cocher. Sur des populations de terrain sans messagerie professionnelle sur le téléphone, le SSO du poste de travail répond au même besoin.

Choisir le niveau de sécurité

Même onglet, bloc Niveau de sécurité, sous Choisissez le niveau de sécurité de la connexion. Le niveau détermine ce que la vérification de l’adresse e-mail conditionne. Un texte explicatif s’affiche sous la liste et change avec le niveau sélectionné.

• Standard : en se connectant avec un login et un mot de passe, l’adresse e-mail de la personne n’est pas vérifiée.
• Sécurisé : le contenu protégé n’est pas accessible tant que la personne n’a pas vérifié son adresse e-mail.
• Sécurité maximale : la personne n’a pas accès à l’application tant que son adresse e-mail n’a pas été vérifiée.

💡 Conseil : si votre exigence est « personne n’entre sans une adresse vérifiée », choisissez Sécurité maximale. C’est le seul niveau qui conditionne l’accès à l’application entière, là où Sécurisé ne protège que le contenu concerné.

La politique de mot de passe

Un mot de passe doit atteindre une longueur minimale et combiner un nombre minimal de types de caractères parmi les majuscules, les minuscules, les chiffres et les symboles. Les valeurs appliquées à votre compte s’affichent au moment où la personne choisit son mot de passe, sous la forme « … caractères min. » et « Au moins … types de caractères parmi : majuscules, minuscules, chiffres et symboles ».

Cette règle ne se modifie pas depuis le back-office : aucun écran ne l’expose. Elle est fixée avec Beedeez pour le compte, et se durcit en passant par votre interlocuteur.

Le renouvellement périodique, l’interdiction de réutiliser d’anciens mots de passe et la révocation centralisée ne sont pas gérés ici. Portez-les dans votre annuaire d’entreprise, avec une connexion en SSO.

Les protections de l’application mobile

Entrée Securité, bloc Sécurité de l’application. Quatre cases indépendantes, chacune accompagnée de son explication :

• Désactiver les captures d’écrans : les captures d’écrans seront remplacées par une image blanche ou noire.
• Désactiver les informations de versions : le numéro de version de l’application indiqué dans les requêtes externes sera toujours 999.
• Interdire l’utilisation de l’application sur un OS mobile rooté : la personne ne pourra pas ouvrir l’application si son mobile est rooté.
• Interdire l’utilisation de l’application sur un OS mobile en mode débogage : la personne ne pourra pas ouvrir l’application si son mobile est en mode débogage.

Dans ces deux derniers cas, l’application affiche un écran de blocage : « L’utilisation d’appareils rootés ou en mode débogage n’est pas autorisée sur cette application ».

Ce que ces réglages ne couvrent pas

Rien ici ne concerne les connexions SSO. Le MFA et la politique de mot de passe portent sur la connexion par e-mail et mot de passe ; en SSO, ces règles appartiennent à votre fournisseur d’identité.

Ces écrans ne se règlent pas par département. Sélectionnez un département dans la barre latérale : Authentification et Securité grisent. Les deux valent pour tout le compte à la fois.

Les quatre cases de l’entrée Securité ne portent que sur l’application mobile, pas sur la version consultée depuis un navigateur. La désactivation des captures d’écrans reste par ailleurs dissuasive : un second téléphone peut photographier l’écran.

Avant de bloquer les appareils rootés

⚠️ Le blocage des appareils rootés s’applique à tout le compte, sans liste d’exception depuis ces écrans. Une personne dont le téléphone est détecté comme rooté ne peut plus ouvrir l’application tant que la case reste cochée. Sur un parc Android hétérogène, testez quelques appareils représentatifs avant de cocher.

Pour aller plus loin

• Authentification et SSO : les modes de connexion, et pourquoi le SSO déplace ces règles chez votre DSI
• Configurer la sécurité, le RGPD et les informations légales : documents légaux, conservation des données, ce que l’apprenant contrôle
• Attribuer les droits : qui accède à la Configuration, et comment le restreindre
• Problèmes fréquents : intégrations : les symptômes d’intégration les plus courants et leur cause