Compte et équipe

Qui entre dans votre organisation RestoreProof, avec quels droits, et comment on protège l'accès.

Créer le compte

Le formulaire d'inscription demande cinq choses : le nom de l'organisation, son identifiant, votre nom, votre adresse e-mail et un mot de passe d'au moins huit caractères.

L'envoi du formulaire ne crée encore rien : nous vous adressons un e-mail contenant un lien de confirmation. C'est en ouvrant ce lien que l'organisation et votre utilisateur — qui en est le propriétaire et administrateur — sont créés, et que votre session s'ouvre. Le lien expire au bout d'une heure et ne sert qu'une fois.

L'écran qui suit l'envoi dit la même chose que l'adresse soit libre ou déjà rattachée à un compte. Si elle a déjà un compte, l'e-mail que vous recevez vous propose de vous connecter ou de réinitialiser votre mot de passe, et rien n'est créé. C'est voulu : une réponse différente permettrait à n'importe qui de savoir quelles adresses sont clientes chez nous.

L'identifiant de l'organisation apparaît dans les URL et dans l'API. Il doit être unique : s'il est déjà pris, le formulaire le dit tout de suite. Un administrateur peut le changer plus tard depuis les paramètres de l'organisation.

La confirmation d'adresse e-mail

L'adresse qui a ouvert le lien d'inscription est confirmée d'office : vous n'avez rien d'autre à faire.

Un compte dont l'adresse n'est pas confirmée voit un bandeau en haut de l'application, avec un bouton pour se faire renvoyer un lien. Rien n'est bloqué : vous pouvez enregistrer un runner, écrire un plan et lancer une exécution sans avoir confirmé.

Ce qui se joue là, ce sont les notifications par e-mail : une adresse non confirmée est une adresse dont nous ne savons pas si elle reçoit vraiment.

Le lien de confirmation vaut 24 heures. Le renvoi est plafonné à cinq e-mails par heure et par adresse ; au-delà, l'application le dit et vous demande de patienter.

Une connexion refusée ne dit jamais pourquoi

Un mot de passe faux, une adresse inconnue, un compte désactivé, un compte qui se connecte uniquement par lien e-mail : dans tous les cas la réponse est « e-mail ou mot de passe incorrect ». C'est volontairement avare, pour la même raison que pour la réinitialisation : la page de connexion ne doit pas servir à découvrir qui est client chez nous. Si vous ne savez plus par quel moyen vous vous connectez, demandez un lien de connexion.

Se connecter sans mot de passe

La page de connexion propose un lien de connexion envoyé par e-mail, à la place du mot de passe. Le lien vaut 15 minutes, ne sert qu'une fois, et confirme au passage l'adresse.

Ces envois sont plafonnés à trois par heure et par adresse — lien de connexion, réinitialisation de mot de passe et confirmation d'adresse comptant chacun séparément.

S'inscrire et se connecter avec Google

Les pages d'inscription et de connexion proposent Continuer avec Google, à côté du mot de passe et du lien de connexion, qui restent disponibles. Le bouton n'apparaît que si Google est activé sur votre installation du service ; sinon, les autres méthodes fonctionnent comme d'habitude.

RestoreProof ne reçoit de Google que trois informations : votre nom, votre adresse e-mail et l'identifiant de votre compte Google. Nous n'avons accès ni à votre messagerie, ni à vos fichiers, ni à vos contacts. Seule une adresse que Google a elle-même vérifiée est acceptée ; sinon la connexion est refusée et rien n'est créé. Si vous annulez sur l'écran de Google, vous revenez à la page d'où vous êtes parti, avec un message, et rien n'est créé non plus.

Créer un compte avec Google

Après avoir choisi votre compte Google, vous arrivez sur une page qui demande uniquement ce que Google ne peut pas fournir : le nom de l'organisation et son identifiant, proposé à partir du nom et modifiable. Le formulaire vérifie tout de suite que l'identifiant est libre. Le compte est le même que celui de l'inscription classique : offre gratuite, canal de notification par e-mail par défaut, et vous en êtes le propriétaire et l'administrateur. Votre adresse est considérée comme confirmée, puisque Google l'a vérifiée.

Tant que cette étape n'est pas terminée, rien d'autre n'est accessible. Si vous fermez le navigateur à ce moment-là, il suffit de vous reconnecter avec Google : vous revenez à cette page. Une inscription Google qui n'est pas terminée au bout de 30 jours est supprimée automatiquement, sans avertissement. Vous pouvez ensuite recommencer quand vous voulez.

Si votre adresse a déjà une invitation en attente, la page vous propose de rejoindre l'organisation qui vous a invité, au lieu d'en créer une.

Première connexion Google sur un compte existant

Si un compte RestoreProof existe déjà avec la même adresse, Google n'y est pas rattaché tout de suite. Avant cela, il faut prouver, une seule fois, que ce compte est bien le vôtre, de l'une de ces deux façons :

• en saisissant le mot de passe du compte (cinq essais, puis la preuve est bloquée ; après plusieurs blocages successifs, le compte refuse toute preuve pendant un quart d'heure) ;
• en cliquant sur un lien envoyé à l'adresse du compte. Il vaut 15 minutes, ne sert qu'une fois, et peut être ouvert dans un autre navigateur que celui où vous avez commencé.

Tant que la preuve n'est pas faite, rien n'est rattaché et aucune session n'est ouverte. Une fois rattaché, Google vous connecte directement, et un e-mail vous prévient que Google donne désormais accès à votre compte. Si ce n'était pas vous, retirez Google depuis la page Mon compte et changez votre mot de passe.

La double authentification s'applique toujours

Se connecter avec Google ne remplace pas le second facteur : si vous l'avez activé, le code vous est demandé après Google, exactement comme après un mot de passe, et aucune session ne s'ouvre avant. Si votre organisation l'exige, la règle est la même que pour les autres méthodes.

Un compte désactivé est refusé, comme pour les autres méthodes.

Mot de passe oublié

Depuis la page de connexion, Mot de passe oublié ? envoie un lien de réinitialisation valable 15 minutes, à usage unique.

La réponse est toujours la même, que l'adresse existe ou non : elle ne dit jamais qui a un compte chez nous.

Choisir un nouveau mot de passe ferme toutes vos sessions, sur tous vos appareils. Il faut se reconnecter.

La page Mon compte

Votre nom, en bas de la barre latérale, ouvre Mon compte. Tout ce qui concerne votre utilisateur, et lui seul, est là : votre profil, votre mot de passe, votre double authentification. Les paramètres de l'organisation, l'équipe et la facturation restent dans Paramètres.

Le profil — nom, adresse e-mail, rôle, organisation — est en lecture seule. Il vient de votre inscription ou de l'invitation qui vous a fait entrer. Seul un administrateur change un rôle, depuis la liste des membres.

Définir ou changer son mot de passe

Un compte ouvert avec un lien de connexion n'a pas de mot de passe. La page en propose un : deux champs, le nouveau mot de passe et sa confirmation, au moins huit caractères. Une fois défini, vous vous connectez directement, sans attendre un e-mail.

Quand un mot de passe existe déjà, la page demande d'abord l'actuel. S'il est faux, l'écran le dit et rien n'est changé.

Dans les deux cas, l'enregistrement ferme vos autres sessions — celle depuis laquelle vous venez de changer reste ouverte.

Se connecter avec Google : voir, définir un mot de passe, retirer

Dans la section sécurité de Mon compte, une carte « Se connecter avec Google » indique si votre compte est relié à Google, avec l'adresse utilisée et la date de dernière connexion.

Un compte créé avec Google n'a pas de mot de passe. Le formulaire juste en dessous permet d'en définir un, sans demander de mot de passe actuel.

Le bouton Retirer Google n'est disponible que lorsqu'un mot de passe existe : tant qu'il n'y en a pas, il est grisé avec une explication. Après le retrait, un e-mail vous prévient, vos autres sessions restent ouvertes, et une nouvelle connexion avec Google repasse par la preuve de propriété décrite plus haut. Le retrait d'un membre de l'organisation libère de la même façon son compte Google.

Les trois rôles

Chaque membre porte un rôle, et un seul.

Rôle	Lecture	Runners, sources, plans, exécutions, planifications, déclencheurs	Organisation, équipe, facturation
Lecteur	oui	non	non
Opérateur	oui	oui	non
Administrateur	oui	oui	oui

Ce que cela veut dire concrètement :

• Lecteur — il voit tout : le tableau de bord, les runners, les sources, les plans, l'historique des exécutions, les rapports, le journal d'audit, l'état de l'abonnement. Il ne peut rien créer, modifier ni supprimer. Aucun bouton d'écriture ne lui est proposé, et l'API lui répond 403 s'il essaie quand même.
• Opérateur — tout ce qui fait tourner le produit : enregistrer un runner, décrire une source, écrire un plan, lancer une exécution, poser une planification ou un déclencheur, supprimer l'un de ces objets. Il ne touche ni aux paramètres de l'organisation, ni à l'équipe, ni à la facturation.
• Administrateur — tout ce qui précède, plus les paramètres de l'organisation, la gestion de l'équipe et la facturation.

Deux précisions qui surprennent souvent :

• Télécharger la configuration d'un runner exige le rôle opérateur, alors que c'est une lecture. Ce fichier peut porter la clé d'API du runner en clair, et la redemander en régénère une : c'est un accès, pas une information.
• Consulter la facturation est ouvert à tous — l'offre en cours, les factures, la consommation du mois. Seul un administrateur peut acheter, changer d'offre ou ouvrir le portail de paiement.

Le propriétaire de l'organisation est l'utilisateur créé à l'inscription. Il est toujours administrateur, et son rôle ne peut pas être changé.

Inviter un membre

Dans Paramètres → Membres de l'équipe, un administrateur saisit une adresse e-mail et choisit le rôle. L'invitation vaut sept jours.

La personne invitée reçoit un lien. Elle choisit son nom et son mot de passe, et rejoint votre organisation avec le rôle porté par l'invitation.

Elle peut aussi choisir Continuer avec Google à la place du mot de passe, à condition que l'adresse du compte Google soit celle qui a été invitée. Si c'est une autre adresse, l'acceptation est refusée avec un message qui rappelle l'adresse invitée, et rien n'est créé. Avec Google, la personne rejoint directement l'organisation avec le rôle de l'invitation, sans l'étape de création d'organisation.

Si l'e-mail n'a pas pu partir, l'invitation est quand même enregistrée : l'écran affiche alors le lien d'acceptation et un bouton pour le copier. À vous de le transmettre par le canal de votre choix. Le lien vaut la même chose que l'e-mail — traitez-le comme un secret.

Quelques refus à connaître :

• l'adresse appartient déjà à un membre de l'organisation : refusé ;
• une invitation est déjà en attente pour cette adresse : refusée, annulez d'abord l'ancienne ;
• l'adresse a déjà un compte RestoreProof, quelle que soit l'organisation : l'acceptation est refusée. Une invitation ne fait pas changer d'organisation un compte existant. Il faut une autre adresse.

Un lien déjà utilisé ou périmé ne fonctionne plus, et le dit.

Les invitations en attente sont listées sous les membres. Un administrateur peut en annuler une, ce qui invalide son lien sur-le-champ.

Changer un rôle, retirer un membre

Un administrateur change le rôle d'un membre depuis la liste des membres. Deux garde-fous, non contournables :

• le rôle du propriétaire ne se change pas ;
• on ne change pas son propre rôle, ce qui évite qu'un administrateur se rétrograde et laisse l'organisation sans personne pour la gérer.

Retirer un membre est également réservé aux administrateurs. Là encore, on ne retire ni le propriétaire, ni soi-même.

Le retrait ferme immédiatement toutes les sessions de la personne : plus aucun jeton de rafraîchissement ne fonctionne, donc elle ne peut plus prolonger son accès. Un changement de rôle les ferme de la même façon, pour que le nouveau rôle s'applique dès le prochain appel. Un jeton d'accès déjà émis reste valable jusqu'à son expiration, au plus quinze minutes. Les objets qu'elle a créés — runners, plans, rapports — restent dans l'organisation, et le journal d'audit garde la trace de ce qu'elle a fait.

La double authentification

Chaque membre l'active pour lui-même, depuis Mon compte.

C'est de la TOTP standard : Google Authenticator, 1Password, FreeOTP, Aegis, ou n'importe quelle autre application compatible. Vous scannez un QR code, vous saisissez le code à six chiffres qu'affiche l'application, c'est activé.

Les codes de récupération

L'activation affiche dix codes de récupération. Ils ne s'affichent qu'une fois. Copiez-les ou téléchargez-les, et gardez-les ailleurs que dans le gestionnaire de mots de passe qui contient déjà votre mot de passe.

Chaque code ne sert qu'une fois. Un code de récupération remplace le code à six chiffres à la connexion, et pour désactiver la double authentification. Il ne convient pas pour régénérer les codes : là, l'application exige un vrai code de votre application d'authentification.

Régénérer les codes invalide immédiatement les anciens. La page Mon compte indique en permanence combien de codes vous restent, et un e-mail vous prévient à chaque fois qu'un code de récupération est consommé.

Ce qui se passe à la connexion

Si la double authentification est active sur votre compte, le mot de passe — ou le lien de connexion — ne suffit plus : il ouvre une demande valable cinq minutes, à échanger contre une session en saisissant votre code.

• Cinq codes erronés brûlent la demande : il faut se reconnecter pour en obtenir une nouvelle. L'écran affiche le nombre d'essais restants.
• Trois demandes brûlées en un quart d'heure verrouillent le compte pour le reste de ce quart d'heure.
• Un code déjà utilisé est refusé, même dans sa fenêtre de validité.

L'exiger pour toute l'organisation

Un administrateur peut cocher, dans les paramètres de l'organisation, exiger la double authentification pour tous les membres. Il doit d'abord l'avoir activée sur son propre compte.

Une fois la case cochée, un membre qui ne l'a pas activée est bloqué sur l'ensemble de l'application. Deux choses lui restent accessibles : se connecter, et la page Mon compte — de quoi se mettre en règle sans appeler personne. L'application le lui explique dans un bandeau.

L'API répond alors 403 avec le code TWO_FACTOR_REQUIRED.

La désactiver

Depuis la page Mon compte, avec votre mot de passe et un code — de l'application ou de récupération. Un e-mail vous prévient. Si votre organisation exige la double authentification, la désactiver vous bloque l'accès jusqu'à ce que vous la réactiviez.

Les sessions

Se connecter ouvre une session, matérialisée par deux jetons :

Jeton	Durée de vie par défaut
Accès	15 minutes
Rafraîchissement	7 jours

Le jeton d'accès accompagne chaque appel à l'API. Le jeton de rafraîchissement voyage dans un cookie HttpOnly que le navigateur ne donne pas au JavaScript de la page ; il en obtient un nouveau sans redemander le mot de passe, jusqu'à sa propre expiration. Chaque usage le remplace : si un jeton déjà remplacé est présenté à nouveau, la session entière est fermée.

• Se déconnecter ferme la session courante, sur cet appareil seulement.
• Réinitialiser son mot de passe ferme toutes les sessions du compte.

Le détail des routes est dans la référence de l'API.