La double authentification (2FA) et la sécurité du compte Oplead

Cette fonctionnalité concerne toutes les plateformes Oplead, quelle que soit la version utilisée. Elle agit au moment de la connexion, avant l'entrée dans l'outil.

Pourquoi

Un mot de passe peut être compromis : réutilisé sur un autre site, noté quelque part, ou obtenu par un e-mail de phishing. Sans second facteur, ce seul mot de passe suffit à ouvrir un accès complet à votre compte, et donc aux leads et informations que vous pouvez consulter, avec le risque de fuite de données personnelles ou d'accès à l'outil par une personne non autorisée.

Lorsque la double authentification est activée sur votre compte, un code à six chiffres arrive sur votre boîte mail à chaque connexion depuis un navigateur non reconnu : même si quelqu'un connaît votre mot de passe, il ne peut pas entrer sans ce code, généré aléatoirement à chaque envoi.

En synthèse :

Comment l'activer pour votre compte

Vous pouvez la mettre en place vous-même, à tout moment, depuis « Sécurité du compte », accessible sous la pastille de votre compte utilisateur. Il vous sera demandé votre mot de passe, puis un code de vérification reçu par e-mail, les mêmes preuves qu'une connexion classique avec double authentification.

⚠️ Par mesure de sécurité, tous vos autres navigateurs déjà connectés sont déconnectés à l'activation de cette fonctionnalité. Celui que vous utilisez pour l'activer reste, lui, connecté : il vient de faire la preuve des deux facteurs.

ℹ️ Si vous êtes administrateur et souhaitez imposer la double authentification à l'ensemble de vos utilisateurs, contactez le service client Eldo. Les utilisateurs qui n'ont pas déjà activé la double authentification pour leur propre compte et qui sont connectés au moment de l'activation (vous compris) seront déconnectés et devront se reconnecter avec la double authentification. Ceux qui l'avaient déjà activée eux-mêmes ne sont pas affectés : ils
conservent leurs navigateurs déjà reconnus.

Ce qui change à la connexion

Inchangé : la saisie de l'identifiant et du mot de passe reste une méthode de connexion valide.

Nouveau - pour la première connexion sur un navigateur/appareil : une fois l'identifiant et le mot de passe validés, un code est envoyé par mail et doit être saisi dans l'écran suivant pour terminer la connexion.

Une fois ce code entré, vous êtes connecté(e). La prochaine fois, si vous vous reconnectez depuis le même navigateur et appareil (ordinateur/téléphone…), cette étape ne vous sera plus demandée : Oplead le reconnaît.

Le code ne vous sera redemandé que dans ces situations :

vous vous connectez depuis un navigateur que vous n'avez jamais utilisé sur ce compte (y compris un second navigateur sur le même ordinateur, ou l'application mobile en plus de la version web) ;
vous avez retiré ce navigateur de la liste dans « Sécurité du compte » ;
vous ne vous êtes pas connecté(e) depuis très longtemps (l'appareil « s'oublie » après une durée alignée sur celle de votre session, actuellement plusieurs mois) ;
vous vous êtes connecté(e) via un lien reçu par e-mail plutôt que par mot de passe : ce mode de connexion ne rend pas le navigateur vérifié, la prochaine connexion par mot de passe redemandera donc le code.

Le code

Il est valable 10 minutes.
Vous avez 5 essais.
C'est toujours le dernier e-mail reçu qui compte : si vous demandez un nouveau code, l'ancien ne fonctionne plus.
Si vous n'y arrivez plus, cliquez sur « Renvoyer le code » : un nouveau e-mail part et vos essais repartent à zéro, sans avoir à ressaisir votre mot de passe.

⚠️ Personne ne vous demandera jamais ce code, ni par téléphone, ni par e-mail, ni par message. Si quelqu'un
vous le demande, c'est une tentative d'usurpation — raccrochez et changez votre mot de passe.

Le menu « Sécurité du compte »

À tout moment, vous pouvez accéder à la gestion de cette fonctionnalité via « Sécurité du compte ». Si la double authentification est activée, vous y trouvez la liste des navigateurs depuis lesquels vous vous êtes connecté(e), avec leur nom (par exemple « Chrome sur Windows ») et la date de dernière connexion. Celui que vous utilisez en ce moment porte la mention « Cet appareil ».

En cliquant sur le nom d'un appareil, vous pouvez le renommer (par exemple « portable maison », « poste agence Lyon ») pour mieux vous repérer dans la liste.

Vous pouvez en retirer un. C'est utile quand vous ne le reconnaissez pas, ou que vous n'y avez plus accès.
Deux effets :

la session encore ouverte sur ce navigateur se termine à son prochain chargement de page (quasi immédiat) ;
sa prochaine connexion redemandera le mot de passe et un code.

« Se déconnecter partout » ferme toutes vos sessions d'un coup, y compris celle que vous utilisez. C'est le bon geste en cas de doute général.

⚠️ Si vous révoquez des appareils par doute sur la sécurité de votre compte, changez également votre mot de passe dès que possible : révoquer les accès ne rend pas caduc un mot de passe qui aurait fuité, mais rend l’intrusion impossible sans accès à votre boite mail.

L'e-mail d'alerte

Quand une connexion a lieu depuis un navigateur que vous n'avez jamais utilisé sur ce compte, vous recevez un e-mail intitulé « Alerte de sécurité : nouvelle connexion à votre compte », indiquant la date et le nom du navigateur.

Si c'est vous, il n'y a rien à faire : ce navigateur est désormais reconnu, vous ne recevrez plus d'alerte pour lui.
Si ce n'est pas vous, quelqu'un connaît peut-être votre mot de passe. Ouvrez « Sécurité du compte », retirez le navigateur que vous ne reconnaissez pas, puis changez votre mot de passe.

FAQ

Je ne reçois pas le code, que faire ?
Vérifiez vos spams. Le code arrive sur l'adresse enregistrée sur votre compte : si ce n'est plus la bonne, contactez votre administrateur. Vous pouvez aussi cliquer sur « Renvoyer le code ».

Mon code ne fonctionne plus, que faire ?
Il a probablement expiré, ou vous utilisez celui d'un e-mail précédent. Demandez-en un nouveau et utilisez le dernier reçu.

J'ai perdu mon ordinateur ou mon téléphone, que faire ?
Depuis un autre appareil, connectez-vous et ouvrez « Sécurité du compte ». Retirez celui que vous avez perdu : sa session se termine à son prochain chargement de page. Dans le doute, utilisez « Se déconnecter partout », puis changez votre mot de passe.

Je viens d'être déconnecté(e) sans avoir rien fait.
Cela arrive dans deux cas : vous avez retiré ce navigateur depuis un autre de vos accès, ou votre administrateur a activé la double authentification pour l'ensemble des utilisateurs. Reconnectez-vous : un code vous sera demandé.
Si vous n'expliquez pas ce qui s'est passé, changez votre mot de passe par précaution et prévenez votre administrateur.

Quelqu'un me demande mon code par téléphone, que faire ?
Ne le donnez pas : quelqu'un essaie d'accéder à votre compte. Personne n'est censé vous demander un code de connexion. S'il a réussi à vous le demander, c'est qu'il détient déjà votre mot de passe - raccrochez et changez-le immédiatement.

Mon compte a été compromis (mot de passe divulgué, poste infecté, boîte mail piratée), que faire ?
Prévenez votre administrateur immédiatement, ou contactez l'assistance. Une fois prévenue, l'assistance peut couper l'accès en cours : toutes les sessions ouvertes et tous les navigateurs mémorisés sont invalidés immédiatement, et vous devrez redéfinir votre mot de passe pour vous reconnecter. La double authentification sera alors automatiquement active sur votre compte. Cette réponse s'applique quel que soit l'état actuel de votre compte (double authentification déjà activée ou non).

Un cas particulier : si c'est votre boîte mail qui est compromise, prévenir revient toujours à couper l'accès Oplead, mais reprendre un accès sain suppose d'abord d'avoir sécurisé la boîte mail elle-même. Le code comme la réinitialisation de mot de passe y arrivent tous les deux.