ManageMate GroupEspace Client
DocumentationSe connecterCréer un compte

AdminCenter — Onglet Sécurité

Comment paramétrer les politiques de mot de passe, de session, de 2FA et de filtrage IP

Prérequis

  • Rôle Administrateur (system_admin).

Étapes

  1. Aller sur Admin > Paramètres généraux > onglet Sécurité (/dashboard/admin/settings?tab=securite).
Bloc Politique de mot de passe
  • Longueur minimum : par défaut 8 caractères.
  • Majuscule obligatoire : oui/non.
  • Minuscule obligatoire : oui/non.
  • Chiffres obligatoires : oui/non.
  • Caractères spéciaux obligatoires : oui/non.
  • Expiration (jours) : 0 = jamais. Recommandé 90 jours pour les comptes admin.
Bloc Sessions
  • Délai d'expiration de session (minutes) : par défaut 480 (8h).
  • Maximum tentatives de connexion : par défaut 5. Au-delà, verrouillage.
  • Durée du verrouillage (minutes) : par défaut 15.
Bloc Double authentification
  • Imposer la 2FA pour tous : si activé, chaque utilisateur doit être enrôlé en 2FA pour continuer à se connecter (interrupteur unique, pas de variante par rôle).
Bloc Filtrage IP
  • Whitelist IP activée : oui/non. Quand activé, seules les IP listées peuvent se connecter.
  • Liste des IP autorisées : un par ligne, format CIDR supporté (ex 192.168.1.0/24).
  1. Cliquer Enregistrer.

Recommandations sécurité

NiveauConfiguration
Standard8 car, majuscule, minuscule, chiffre, expiration 0
Renforcée12 car, tous critères + spéciaux, expiration 90 jours, 2FA admins
Critique14 car, tous critères, expiration 60 jours, 2FA tous, whitelist IP
Pièges courants
  • Activer la whitelist IP sans y inclure votre propre IP vous bloque immédiatement. Ajouter d'abord votre IP, tester, puis durcir.
  • Imposer la 2FA pour tous sans préavis bloque les utilisateurs sans smartphone disponible. Envoyer une communication 1 semaine avant.
  • Une politique trop stricte génère plus d'oublis et de tickets support. Trouver l'équilibre.
  • L'expiration de session courte (< 60 min) dégrade l'UX et fait perdre des saisies en cours.
  • Le verrouillage après tentatives échouées n'envoie pas de notification à l'utilisateur — ajouter une alerte au support.
  • Les paramètres ici n'affectent pas les comptes connectés via SSO (Google, Microsoft) — leur sécurité dépend du fournisseur d'identité.
Liens utiles

Cet article fait partie du Guide de l'administrateur — version PDF complète