Profil et sécurité

Profile est le centre de votre compte et de votre sécurité.

Utilisez Profile pour les questions de sécurité personnelle. Utilisez Audit pour la trace du compte, l’historique des sessions et un dossier d’historique qu’on peut remettre au soutien sans risque. Utilisez Billing pour les limites du forfait, Hubs pour la configuration des hubs, Connections pour les liens de configuration et les fichiers de connexion, et Access rules (règles d’accès) pour les accès.

Ce qui se trouve ici

Profile regroupe votre propre sécurité : la connexion en deux étapes, les codes de récupération et les navigateurs actuellement connectés à votre nom. Si la connexion en deux étapes bloque quelque chose, vérifiez d’abord l’application d’authentification et vos codes de récupération. Si un navigateur de la liste active ne vous dit rien, retirez-le avant de continuer. Les limites du forfait ne sont pas ici; elles sont dans Billing. Vos dernières connexions sont listées ici, et l’historique complet du compte est dans Audit.

Le profil regroupe votre identité et votre sécurité. La liste de posture dit quoi faire ensuite; sur Free, l’AMF est facultative et c’est la première chose à ajouter.

Ce que vous pouvez gérer

Nom et avatar

Choisissez un nom d’affichage et un style d’avatar, et gardez votre profil facile à reconnaître pour vos coéquipiers.

Connexion en deux étapes

Activez une application d’authentification, générez des codes de récupération et protégez les éléments de configuration privés.

Appareils actuels

Passez en revue les navigateurs actifs, retirez les anciennes sessions et réglez combien de temps un navigateur inactif reste connecté.

Résumé du forfait

Consultez les détails sur les hubs, les clients, les règles d’accès, les limites quotidiennes, l’adresse du hub, l’inscription au répertoire et l’aide.

Données du compte

Téléchargez une copie lisible par machine des données conservées de votre compte avant de le supprimer.

La connexion en deux étapes

L’authentification multifacteur (AMF) est facultative avec le forfait Free. Vous pouvez commencer à utiliser le tableau de bord après la vérification de votre courriel, ignorer le rappel de sécurité facultatif et choisir Set up authenticator quand vous êtes prêt.

Si vous avez déjà activé l’AMF, elle reste activée. Avec le forfait Free, vous pouvez choisir Disable MFA après avoir confirmé un code valide de l’application d’authentification ou un code de récupération. Les comptes payants suivent la politique qui a été attribuée au compte. Les liens de configuration et les actions sur les fichiers de connexion privés vous demandent de vous vérifier de nouveau, quel que soit votre réglage MFA.

Gardez vos codes de récupération en lieu sûr, hors de Thalovant. Chaque code fonctionne une seule fois, quand l’application d’authentification n’est pas disponible.

Chaque code de l’application d’authentification ne fonctionne lui aussi qu’une fois. Si un code vient de servir, par exemple pour vous connecter sur un autre appareil, attendez que l’application affiche le suivant.

Après cinq codes erronés de suite, Thalovant n’accepte plus de code pour votre compte pendant 15 minutes, et chaque code erroné suivant double l’attente, jusqu’à une journée. Tous les endroits qui demandent un code comptent dans les mêmes cinq : la connexion, la désactivation de la MFA, les nouveaux codes de récupération et les fichiers de connexion. Votre mot de passe fonctionne toujours, et nous vous écrivons quand cela arrive. Si ce n’était pas vous, quelqu’un a probablement votre mot de passe : appuyez sur Ce n’était pas moi dans ce courriel et choisissez un nouveau mot de passe, ce qui met aussi fin à l’attente.

Mots de passe erronés

Les mots de passe erronés ne bloquent jamais votre compte. Après cinq de suite, la connexion suivante doit attendre un peu : 15 secondes d’abord, puis le double à chaque nouveau mot de passe erroné, jusqu’à 5 minutes. Un navigateur avec lequel vous vous êtes déjà connecté à ce compte n’attend pas : quelqu’un qui essaie de deviner ailleurs ne peut pas vous en tenir à l’écart. La page de connexion indique quand il faut attendre ; réessayez un peu plus tard.

Nous vous écrivons la première fois que cela arrive. Si c’était vous, il n’y a rien à faire. Sinon, votre mot de passe protège toujours le compte. Si vous pensez que quelqu’un le connaît, appuyez sur Ce n’était pas moi dans ce courriel pour vous déconnecter partout et en choisir un nouveau.

Navigateurs actifs

Les commandes des navigateurs actifs servent à :

• repérer le navigateur actuel;
• retirer les anciennes sessions;
• retirer toutes les autres sessions;
• raccourcir ou allonger le délai de déconnexion après inactivité.

Utilisez Audit pour comparer l’historique des sessions ou exporter un contexte sûr pour le soutien. Utilisez Profile pour retirer des sessions ou modifier les paramètres de sécurité.

Alertes de connexion

Thalovant vous écrit quand quelqu’un se connecte à votre compte depuis un navigateur qu’il n’a jamais vu, ou depuis un pays et une région d’où le compte ne s’est pas connecté depuis 90 jours. Une connexion depuis votre navigateur habituel, là où vous êtes d’habitude, n’envoie rien. Vous recevez aussi un courriel quand un jeton d’API est créé, quand la MFA est activée ou désactivée, quand votre mot de passe change et quand un appareil est jumelé avec l’un de vos hubs.

Chaque courriel indique quand c’est arrivé, à peu près où, et depuis quel navigateur et quel système. Si c’était vous, vous n’avez rien à faire. Sinon, appuyez sur Ce n’était pas moi. La page qui s’ouvre vous demande d’abord de confirmer. Elle déconnecte ensuite votre compte partout, révoque vos jetons d’API et désactive votre mot de passe actuel, et nous vous envoyons un lien pour en choisir un nouveau. Si vous vous connectez avec Google ou GitHub, c’est ce compte-là qu’il faut sécuriser. La page affiche aussi les connexions jumelées vers le moment de l’alerte, puisqu’elles fonctionnent tant que vous ne les retirez pas dans Connexions.

Le bouton fonctionne une seule fois, pendant 24 heures, et seulement depuis le courriel où il se trouve. Thalovant reconnaît votre navigateur grâce à un témoin qu’il dépose quand vous vous connectez au tableau de bord. Si vous effacez vos témoins, votre prochaine connexion paraîtra nouvelle : attendez-vous à un courriel pour elle.

Connexions récentes

Le profil affiche vos dernières connexions avec l’heure, le lieu approximatif, le navigateur et le système, et la façon dont vous vous êtes connecté. Votre propre session est indiquée, et Déconnecter toutes les autres sessions ferme toutes les autres.

Cet historique est conservé 90 jours. Thalovant enregistre la ville, la région et le pays d’où votre connexion semblait venir, jamais votre adresse IP : l’adresse est consultée sur les serveurs de Thalovant, puis oubliée. Les lieux sont approximatifs et proviennent de la base IP to City Lite de DB-IP (géolocalisation IP par DB-IP, CC BY 4.0). L’historique fait partie de l’exportation de votre compte et disparaît avec le compte.

Exportation et conservation des données

Choisissez Download account data pour créer un fichier JSON qui contient votre profil, un inventaire sûr de vos ressources, votre mémoire conservée, les métadonnées de vos jetons d’API, les origines de navigateur approuvées, les métadonnées de vos sessions et vos connexions récentes. L’exportation inclut le contenu de votre mémoire, puisqu’il s’agit de la copie de votre compte.

L’exportation n’inclut jamais les mots de passe ni leurs hachages, les secrets d’authentification, les codes de récupération, les hachages de jetons d’API, les identifiants de configuration, les spécifications privées de runtime ni les identifiants du fournisseur de paiement. Gardez le fichier privé et examinez-le avant d’en partager la moindre partie.

Les ressources du compte sont conservées jusqu’à ce que vous les supprimiez ou que vous supprimiez le compte. La mémoire reste sous votre contrôle jusqu’à sa suppression, son expiration ou la suppression du compte. Les enregistrements de session sont conservés jusqu’à leur expiration, leur révocation et le nettoyage opérationnel. La suppression du compte efface les données analytiques et les traces d’audit liées à votre identité. Un marqueur de suppression impossible à relier et des agrégats non identifiants peuvent subsister.

Avant d’obtenir un fichier de connexion

Les liens de configuration et les fichiers de connexion de client se comportent comme des mots de passe. Passez donc d’abord par Profile quand l’accès est bloqué ou sensible :

1. Confirmez que la connexion en deux étapes est activée et fonctionne.
2. Confirmez que les codes de récupération sont rangés en lieu sûr.
3. Retirez les sessions de navigateur que vous ne reconnaissez plus.
4. Revenez à Connections et obtenez les éléments de configuration seulement quand vous êtes prêt à les installer dans l’application ou l’appareil qui se connecte.

Actions destructrices

Si vous voulez une copie, téléchargez et examinez l’exportation de votre compte avant la suppression. La suppression du compte est irréversible : elle retire la connexion, révoque les sessions et efface les ressources liées ainsi que la télémétrie liée à votre identité. N’utilisez pas les actions du compte pour régler un problème de hub ou de client. Ces problèmes se règlent dans Hubs, Clients, Access rules, Skills, Dashboard ou Topology.

Quand votre profil est en ordre

Profile est prêt quand :

• vos coéquipiers reconnaissent votre nom et votre avatar;
• la connexion en deux étapes est activée quand elle est exigée;
• les codes de récupération sont rangés en lieu sûr;
• les anciennes sessions de navigateur sont retirées;
• une exportation du compte a été téléchargée et gardée en privé au besoin;
• Audit a été consulté quand l’historique des sessions ou les preuves pour le soutien comptent;
• vous savez si la prochaine question relève de Profile ou d’une autre page.