L'authentification multifacteur

• Type non défini

Formation

L’authentification multifacteur, ou MFA, ajoute une vérification à la connexion Immersive : après son identifiant et son mot de passe habituels, l’utilisateur saisit un code à six chiffres fourni par son application sur téléphone.

Ce tutoriel accompagne l’administrateur dans le choix du mode MFA et la gestion des utilisateurs, puis explique la première configuration et les connexions suivantes. Les exemples utilisent Microsoft Authenticator et le compte fictif camille.martin.

1. Comprendre la MFA et le TOTP

1.1 Deux vérifications pour une connexion

Le mot de passe constitue la première vérification. Le code produit par l’application constitue la seconde : il permet de vérifier que la personne possède aussi le moyen de vérification associé à son compte.

flowchart TD
    A["Saisir l’identifiant et le mot de passe"] --> B["Immersive vérifie le mot de passe"]
    B -->|Mot de passe valide| C["Ouvrir l’application TOTP sur le téléphone"]
    C --> D["Lire le code à six chiffres"]
    D --> E["Saisir ce code dans Immersive"]
    E --> F["Immersive vérifie le code"]
    F -->|Code valide| G["Connexion autorisée"]

Ce schéma montre une connexion réussie lorsque la MFA est exigée. Un mot de passe ou un code refusé ne permet pas de terminer la connexion.

1.2 Qu’est-ce qu’un TOTP ?

TOTP signifie Time-Based One-Time Password : un code temporaire calculé à partir de l’heure et d’un secret partagé lors de la configuration. Le mécanisme est décrit dans le standard ouvert TOTP, RFC 6238.

Dans Immersive, le code comporte six chiffres et change toutes les 30 secondes. Le téléphone le calcule ; le serveur Immersive vérifie le code saisi. Un code déjà accepté ne peut pas être réutilisé.

Une seule configuration TOTP est active par compte Immersive. Une réinitialisation remplace cette configuration.

Le QR code présenté à l’inscription transmet à l’application les informations nécessaires pour produire ces codes. Il est propre au compte.

1.3 Microsoft Authenticator est un exemple d’application compatible

Immersive utilise le standard ouvert TOTP pour produire les codes de vérification. Microsoft Authenticator sert d’exemple dans ce tutoriel, mais vous pouvez utiliser une autre application compatible, selon les règles de votre organisation.

Voici quelques applications prenant en charge les codes TOTP :

Application	Plateformes mobiles	Page officielle
Microsoft Authenticator	Android et iOS	Découvrir Microsoft Authenticator
Google Authenticator	Android et iOS	Découvrir Google Authenticator
2FAS Auth	Android et iOS	Découvrir 2FAS Auth
Aegis Authenticator	Android	Découvrir Aegis Authenticator

Le principe reste le même avec ces applications : vous ajoutez votre compte en scannant le QR code présenté par Immersive, puis vous confirmez la configuration avec le premier code à six chiffres. Lors des connexions suivantes, vous saisissez le code actuel après votre mot de passe habituel.

Les menus et la présentation peuvent varier selon l’application choisie. Les fonctions de sauvegarde et de synchronisation dépendent également de chaque application et doivent respecter les règles de votre organisation.

1.4 Changer de PC ou travailler sans Internet

L’enregistrement est associé au compte et à l’application de codes. Vous pouvez vous connecter depuis un autre PC ou un autre navigateur avec votre mot de passe et le code du même téléphone. Vous n’avez pas à scanner un nouveau QR code à chaque changement de poste.

Une fois le compte configuré, Microsoft Authenticator peut produire ses codes sans connexion Internet. Les notifications d’approbation utilisent un autre mécanisme, qui nécessite une connexion. Référence Microsoft : fonctionnement d’Authenticator.

Pour Immersive, cela signifie que :

• le téléphone peut fournir le code sans réseau mobile ni Wi-Fi ;
• le PC doit toujours pouvoir joindre le serveur Immersive, par exemple sur le réseau de l’entreprise ou par VPN ;
• le téléphone et le serveur doivent conserver une heure correcte ;
• l’application doit avoir été installée au préalable, en tenant compte des contraintes d’accès au magasin d’applications.

2. Définir qui doit utiliser la MFA

L’administrateur choisit si la MFA est obligatoire pour les connexions par identifiant et mot de passe. Il peut l’imposer à tous les utilisateurs ou autoriser des exceptions individuelles, appelées exemptions.

2.1 Qu’est-ce qu’une exemption MFA ?

Une exemption MFA permet à un utilisateur désigné par l’administrateur de se connecter avec son identifiant et son mot de passe habituels, sans saisir de code TOTP.

Cette exception concerne uniquement la seconde vérification à la connexion. Elle ne modifie pas les droits d’accès de l’utilisateur dans Immersive.

Par exemple, lorsque la MFA est obligatoire avec exemptions :

• Camille, non exemptée, saisit son mot de passe puis le code de son application.
• Alex, exempté par l’administrateur, se connecte avec son mot de passe seul.

2.2 Les trois modes disponibles

Le mode MFA porte sur les connexions par identifiant et mot de passe.

Mode	Utilisateur sans exemption	Utilisateur avec une exemption enregistrée
Sans MFA	Connexion habituelle par mot de passe.	Connexion habituelle par mot de passe.
MFA obligatoire avec exemptions	Mot de passe, puis code TOTP. Configuration guidée si nécessaire.	Connexion par mot de passe seul.
MFA obligatoire sans exemptions	Mot de passe, puis code TOTP. Configuration guidée si nécessaire.	Mot de passe, puis code TOTP : l’exemption n’est pas appliquée.

Les exemptions sont conservées lorsque vous changez de mode. Elles prennent effet uniquement en MFA obligatoire avec exemptions. Un utilisateur peut être exempté tout en ayant déjà configuré son application.

Le mode Sans MFA permet de conserver le fonctionnement habituel des connexions par mot de passe. Il ne supprime pas les vérifications déjà enregistrées.

2.3 SSO et autres accès

Pour une connexion par SSO, l’authentification et l’éventuelle MFA restent gérées par le fournisseur d’identité du client. Une exemption Immersive ne désactive pas la MFA exigée par ce fournisseur.

Les clés API conservent leur fonctionnement habituel. Les appels WebAPI feront l’objet d’un article distinct.

2.4 À quel moment l’utilisateur configure-t-il son application ?

Lorsqu’un utilisateur est soumis à la MFA et ne l’a jamais configurée, la procédure s’affiche automatiquement après validation de son mot de passe, à sa prochaine connexion compatible. Il doit scanner le QR code puis confirmer un premier code avant d’accéder à l’application.

L’administrateur n’a pas à sélectionner les utilisateurs un par un pour leur première inscription. Chaque utilisateur suit ce parcours lorsqu’il se connecte. Un utilisateur déjà configuré passe directement à la saisie du code.

flowchart TD
    A["Mot de passe validé"] --> B{"MFA exigée pour ce compte ?"}
    B -->|Non| C["Connexion autorisée"]
    B -->|Oui| D{"Vérification déjà configurée ?"}
    D -->|Oui| E["Saisir le code du téléphone"]
    D -->|Non| F["Scanner le QR code"]
    F --> G["Saisir le premier code"]
    E --> H{"Code accepté ?"}
    G --> H
    H -->|Oui| C
    H -->|Non| I["Corriger la saisie ou attendre un nouveau code"]
    I -->|Vérifier à nouveau| H

Ce schéma couvre la première inscription et les connexions habituelles. Après une réinitialisation, utilisez le parcours décrit dans Téléphone perdu ou remplacé.

3. Préparer les paramètres de fonctionnement

Cette partie s’adresse à la personne qui exploite le serveur Immersive. Les utilisateurs n’ont aucun paramètre serveur à saisir.

3.1 Adresse d’accès et horloges

Utilisez une adresse HTTPS accessible depuis les postes des utilisateurs. Le certificat doit être reconnu par leurs navigateurs, y compris sur un réseau sans Internet.

Vérifiez l’heure du téléphone et du serveur. Dans un environnement isolé, prévoyez une synchronisation de l’heure adaptée au réseau de l’entreprise.

3.2 Paramètres MFA

Les paramètres se trouvent dans la section Mfa de la configuration de l’application, par exemple dans appsettings.json. Complétez la configuration existante sans remplacer ses autres sections.

{
  "Mfa": {
    "Origins": [
      "https://immersive.exemple.fr"
    ],
    "Issuer": "Immersive - Demonstration",
    "TotpProtectionKey": "REMPLACER_PAR_LA_CLE_GENEREE"
  }
}

Cet exemple est à adapter : le domaine et la valeur de la clé sont des repères, pas une configuration prête à l’emploi.

Paramètre	Valeur attendue	À retenir
Origins	Liste des origines HTTPS autorisées.	Adresse exacte du Rest Frontage vue par le navigateur : protocole, nom d’hôte et port éventuel, sans chemin ni barre finale. Exemple avec un port : https://immersive.exemple.fr:44351.
Issuer	Nom présenté dans l’application de codes.	Choisissez un libellé reconnaissable, notamment si plusieurs environnements existent. De 1 à 80 caractères, sans deux-points ni caractère de contrôle. La valeur par défaut est Immersive.
TotpProtectionKey	Clé aléatoire de 32 octets encodée en Base64.	Elle protège les secrets TOTP conservés par le serveur. Elle ne correspond ni au mot de passe de Cerebrate ni au secret individuel transmis par le QR code.

Si les utilisateurs passent par un reverse proxy, renseignez l’adresse HTTPS qu’ils utilisent réellement. Si plusieurs adresses sont autorisées, ajoutez chacune dans Origins.

3.3 Générer et conserver la clé de protection

Pour une nouvelle configuration, cette commande fonctionne aussi avec Windows PowerShell 5.1 :

$mfaBytes = New-Object byte[] 32
$mfaRng = [System.Security.Cryptography.RandomNumberGenerator]::Create()
try {
    $mfaRng.GetBytes($mfaBytes)
    [Convert]::ToBase64String($mfaBytes)
}
finally {
    $mfaRng.Dispose()
}

Copiez le résultat dans TotpProtectionKey par votre procédure habituelle de gestion des secrets. Faites prendre en compte la configuration par le service avant les essais MFA.

4. Préparer Cerebrate et activer le mode choisi

4.1 Ouvrir la page MFA

Connectez-vous à RestFrontage avec Cerebrate, ouvrez Sécurité, puis Authentification multifacteur. La page est accessible à l’adresse /Security/Mfa.

Dans l’interface actuelle, cette page et ses opérations de gestion sont réservées à Cerebrate. Les utilisateurs ordinaires configurent leur application au cours de la connexion ; ils n’ont pas à accéder à l’administration RestFrontage.

4.2 Configurer la vérification de Cerebrate

Le bloc Ma vérification de connexion concerne le compte actuellement connecté. Avec Cerebrate, il sert à préparer sa propre application de codes pour confirmer les opérations de sécurité.

1. Dans Ma vérification de connexion, cliquez sur Configurer ma vérification.
2. Saisissez le mot de passe actuel de Cerebrate dans la fenêtre de vérification.
3. Scannez le QR code avec Microsoft Authenticator, selon la procédure du chapitre suivant.
4. Saisissez le code à six chiffres fourni par l’application et validez.
5. Vérifiez que le bloc indique Configurée.

Cette opération prépare Cerebrate. Elle ne rend pas, à elle seule, la MFA obligatoire pour tous les utilisateurs. Les options de gestion deviennent disponibles lorsque sa vérification est prête.

4.3 Enregistrer le mode MFA

1. Dans Options, choisissez le mode souhaité dans Mode MFA.
2. Cliquez sur Enregistrer.
3. Confirmez votre identité dans la fenêtre qui s’ouvre : mot de passe de Cerebrate, puis code à six chiffres de son application.
4. Attendez le résultat de l’enregistrement.
5. Vérifiez le message Le mode MFA a été enregistré et appliqué. et la valeur Mode actuel du tableau de bord.

La page affiche une attente pendant l’opération. Le choix dans la liste ne suffit pas : c’est la sauvegarde confirmée qui applique le mode. En cas d’annulation ou d’échec de la vérification, le changement n’est pas enregistré.

Le mode est appliqué immédiatement après l’enregistrement. Les connexions ou sessions qui ne satisfont plus aux nouvelles exigences peuvent demander une nouvelle authentification. Informez les utilisateurs avant de rendre la MFA obligatoire.

Pour une organisation de plusieurs centaines d’utilisateurs, chacun configure son application lors de sa prochaine connexion concernée. Prévenez-les de préparer leur téléphone et leur application ; aucune tournée des fiches utilisateurs n’est nécessaire pour lancer les premières inscriptions.

5. Configurer Microsoft Authenticator à la première connexion

5.1 Sur le PC : commencer la connexion

1. Ouvrez votre application Immersive avec son écran de connexion compatible MFA.
2. Saisissez votre identifiant et votre mot de passe habituels.
3. Si la MFA est exigée et que votre compte n’est pas encore configuré, l’écran Configurer ma vérification apparaît.
4. Gardez cet écran ouvert : il présente le QR code à scanner avec le téléphone.

5.2 Sur le téléphone : ajouter le compte Immersive

1. Ouvrez Microsoft Authenticator.
2. Appuyez sur + ou Ajouter un compte, selon la version.
3. Choisissez Autre compte, parfois libellé Autre compte (Google, Facebook, etc.).
4. Autorisez l’accès à l’appareil photo si l’application le demande.
5. Scannez le QR code affiché dans Immersive.
6. Repérez le compte ajouté et son code à six chiffres.

Le compte Immersive est ajouté comme compte TOTP. Le choix Autre compte s’applique même si vous utilisez Immersive dans votre entreprise. Aide Microsoft : ajouter un compte dans Authenticator.

Illustration pédagogique : compte et code fictifs. Le QR de démonstration n’est pas à scanner. Les libellés et la présentation peuvent varier selon la version de l’application.

Le nom de l’environnement, défini par l’administrateur, permet de distinguer plusieurs comptes Immersive. Dans l’illustration, Immersive - Démonstration et camille.martin servent uniquement d’exemples.

5.3 Sur le PC : confirmer le premier code

Saisissez les six chiffres actuellement affichés par Authenticator dans les six cases d’Immersive, puis cliquez sur Vérifier. Vous pouvez saisir le code à la suite ou le coller.

Le scan seul ne termine pas l’inscription : le premier code accepté confirme la configuration. Lors d’une première connexion guidée, vous pouvez ensuite accéder à l’application, selon les droits de votre compte.

Ne recopiez pas le code de l’illustration. Utilisez toujours celui de votre propre téléphone. S’il est sur le point de changer, attendez le suivant avant de valider.

5.4 Si le QR code ne peut pas être scanné

Dans Immersive, ouvrez Impossible de scanner le QR code ? pour afficher la clé de saisie manuelle. Dans l’application de codes, utilisez l’option de saisie manuelle et recopiez cette clé.

Si l’application demande les paramètres : choisissez un code basé sur le temps, six chiffres, une période de 30 secondes et l’algorithme SHA-1. Confirmez ensuite le premier code dans Immersive comme après un scan.

La clé manuelle reste confidentielle : elle représente le même secret que le QR code.

6. Se connecter les fois suivantes

1. Saisissez votre identifiant et votre mot de passe dans Immersive.
2. Lorsque Vérifiez votre identité apparaît, ouvrez Microsoft Authenticator.
3. Choisissez le compte Immersive correspondant à l’environnement utilisé.
4. Saisissez le code actuel dans les six cases, puis cliquez sur Vérifier.

Il n’y a pas de nouveau QR code à scanner à chaque connexion. Le même compte dans Authenticator fonctionne depuis les différents PC autorisés à accéder à Immersive.

L’application peut demander de déverrouiller le téléphone ou son propre accès avant d’afficher les codes. Cette protection du téléphone est distincte du mot de passe Immersive.

7. Lire le tableau de bord et gérer les exemptions

7.1 Comprendre les compteurs

La partie haute de la page MFA résume la situation des comptes actifs du domaine.

Indicateur	Signification
Mode actuel	Règle actuellement appliquée aux connexions par mot de passe.
Vérification configurée	Nombre de comptes actifs ayant confirmé leur inscription par un code, rapporté au nombre total de comptes actifs.
À configurer	Nombre de comptes actifs sans vérification confirmée. Ce nombre peut inclure des comptes exemptés ou utilisés uniquement en SSO.
Exemptés	Nombre de comptes actifs avec une exemption enregistrée. Le texte précise si les exemptions sont appliquées ou seulement conservées.

Dans Téléphone perdu ou remplacé, un autre compteur indique les comptes actifs en attente de réenregistrement.

Configurée et Exempté décrivent deux informations différentes. Ne les additionnez pas pour obtenir le nombre d’utilisateurs : un même compte peut être compté dans les deux. Un QR code simplement affiché, sans confirmation du premier code, ne constitue pas une configuration terminée.

7.2 Ajouter ou retirer une exemption

1. Dans Options, ouvrez Exemptions.
2. Recherchez l’utilisateur par son compte, son prénom, son nom, sa description ou son nom distinctif dans l’annuaire, appelé DN.
3. Si nécessaire, utilisez Afficher pour filtrer Tous les utilisateurs, Exemptés ou Non exemptés.
4. Vous pouvez renseigner Motif des prochains ajouts pour expliquer l’exemption.
5. Activez ou désactivez le bouton Exempté de l’utilisateur concerné.
6. Confirmez l’opération avec le mot de passe et le code MFA de Cerebrate, puis attendez son résultat.

Chaque modification est enregistrée et appliquée individuellement. Il n’y a pas de sauvegarde globale de la liste à effectuer. Une modification des exemptions peut aussi imposer une nouvelle authentification aux sessions soumises à la MFA. Le DN reste consultable au survol de l’utilisateur, sans encombrer la ligne.

En mode MFA obligatoire avec exemptions, retirer une exemption soumet le compte à la MFA : l’utilisateur devra fournir son code ou terminer sa première configuration. Ajouter une exemption permet ses connexions par mot de passe seul.

En mode MFA obligatoire sans exemptions, les exemptions enregistrées sont ignorées. En mode Sans MFA, elles sont conservées pour un éventuel changement de mode ultérieur.

8. Téléphone perdu ou remplacé

8.1 Ce que fait la réinitialisation

La réinitialisation révoque l’ancienne vérification du compte et autorise la configuration d’une nouvelle application. Elle ne modifie pas le mot de passe de l’utilisateur.

L’utilisateur dispose de 24 heures après l’autorisation pour se connecter avec son identifiant et son mot de passe, scanner un nouveau QR code et confirmer un premier code. Il n’a aucun code supplémentaire de réenregistrement à conserver ou à recopier.

flowchart TD
    A["Identité de l'utilisateur vérifiée"] --> B["Cerebrate confirme la réinitialisation"]
    B --> C["Ancienne vérification révoquée"]
    C --> D["Utilisateur : identifiant et mot de passe"]
    D --> E["Nouveau QR code à scanner sous 24 heures"]
    E --> F["Premier code accepté"]
    F --> G["Nouvelle vérification prête"]

8.2 Réinitialiser depuis la page MFA

1. Vérifiez l’identité de l’utilisateur qui demande de l’aide, selon la procédure de votre organisation.
2. Dans Téléphone perdu ou remplacé, cliquez sur Réinitialiser une vérification.
3. Cliquez sur Choisir un utilisateur ; recherchez et sélectionnez la personne dans la fenêtre de choix.
4. Renseignez le Motif de la réinitialisation.
5. Cliquez sur Réinitialiser la vérification.
6. Confirmez avec le mot de passe et le code MFA de Cerebrate.
7. Attendez Réenregistrement autorisé et relevez la date limite affichée.

8.3 Réinitialiser depuis la fiche utilisateur

Vous pouvez également ouvrir la fiche de l’utilisateur dans Sécurité → Utilisateurs, aller dans l’onglet Gestion, puis choisir Réenregistrer la MFA.

La fenêtre de confirmation est directement associée à l’utilisateur de la fiche. Vérifiez son identité, renseignez le motif, puis cliquez sur Confirmer le réenregistrement. La validation par Cerebrate reste nécessaire.

8.4 Ce que doit faire l’utilisateur

Demandez à l’utilisateur de commencer une nouvelle connexion Immersive. Après son mot de passe habituel, il suit à nouveau la procédure de scan et de confirmation du premier code sur son nouveau téléphone.

Une réinitialisation autorisée peut déclencher cette configuration même si le compte est exempté ou si le mode global est Sans MFA. Elle correspond à une demande explicite de remplacement du moyen de vérification.

Si la procédure est interrompue avant sa confirmation, l’utilisateur peut recommencer dans le délai autorisé. Une fois le nouveau code accepté, l’autorisation de réenregistrement est utilisée.

Si le délai a expiré, l’administrateur doit renouveler la réinitialisation. Une modification du mot de passe ou des réglages MFA pendant ce délai peut aussi rendre l’autorisation caduque.

L’ancienne entrée peut rester visible dans Authenticator, mais ses codes ne sont plus valides pour Immersive. Après avoir confirmé le nouveau compte, supprimez l’entrée obsolète pour éviter les confusions.

8.5 Cas particulier : le téléphone de Cerebrate

Pour un remplacement prévu, commencez pendant que l’ancienne application est encore disponible : son code permet de confirmer la réinitialisation. Reconnectez-vous ensuite pour configurer la nouvelle application. Le bloc personnel peut proposer Réenregistrer ma vérification tant que l’autorisation est valide.

Si le téléphone est perdu ou inaccessible, l’exploitant peut forcer le réenregistrement depuis la console de récupération.

Ouvrir la récupération d’urgence

1. Ouvrez /Setup/Tools et déverrouillez la console avec la clé d’urgence du serveur.
2. Ouvrez MFA de Cerebrate, puis cliquez sur Réinitialiser la MFA de Cerebrate et confirmez.

Configurer la nouvelle application

1. Cliquez sur Aller à la connexion et saisissez l’identifiant et le mot de passe habituels de Cerebrate.
2. Scannez le nouveau QR code dans votre application compatible TOTP.
3. Saisissez le code à six chiffres affiché par l’application, puis cliquez sur Vérifier.

Captures réalisées dans un environnement de test. Le QR code illustré ne permet pas de configurer votre compte : utilisez celui affiché par votre serveur.

L’ancien moyen de vérification est révoqué, même s’il est encore enregistré. Vous disposez de 24 heures pour terminer la nouvelle configuration. Si ce délai expire, relancez l’action depuis la console.

L’ancien code MFA n’est pas demandé et aucun code de récupération supplémentaire n’est à conserver. La réinitialisation d’urgence est autorisée par la clé de la console ; le mot de passe de Cerebrate sert ensuite à sa connexion.

9. Résoudre les difficultés courantes

Situation	Vérification ou action
Le code est refusé.	Vérifiez le compte et l’environnement sélectionnés dans Authenticator. Attendez le prochain code, puis saisissez ses six chiffres.
Un code vient déjà d’être accepté pour une autre action.	Attendez son renouvellement : un code accepté ne peut pas servir une seconde fois.
Les codes restent refusés.	Vérifiez l’heure du téléphone et du serveur. Si la vérification a été réinitialisée, l’ancienne entrée Authenticator ne fonctionne plus.
Trop de codes incorrects.	Après cinq échecs, la vérification MFA est verrouillée pendant 15 minutes. Recommencer le login ne remet pas ce compteur à zéro.
La configuration ou la vérification a expiré.	Recommencez depuis l’identifiant et le mot de passe. Pour un réenregistrement dont l’autorisation a expiré, demandez une nouvelle réinitialisation.
Aucune demande de code n’apparaît.	Contrôlez le mode réellement enregistré, l’exemption du compte et le type de connexion. Une connexion SSO suit les règles du fournisseur d’identité.
Le téléphone n’a pas Internet.	Ouvrez l’application et utilisez son code. La génération TOTP fonctionne hors ligne ; le PC doit toujours joindre Immersive.
L’application cliente ne propose pas la MFA.	Utilisez une version et un écran de connexion compatibles. Un compte soumis à la MFA ne peut pas terminer sa connexion par mot de passe seul.
L’utilisateur n’a pas de téléphone autorisé.	Faites définir par l’organisation un moyen TOTP compatible ou une exemption assumée, si le mode autorise les exemptions.
Les options administrateur sont indisponibles.	Vérifiez la configuration serveur affichée comme manquante et l’état de la vérification personnelle de Cerebrate.

10. Vérifier que tout est prêt

10.1 Côté administrateur

• Les adresses HTTPS et les paramètres MFA correspondent à l’environnement utilisé.
• La clé de protection est conservée et sauvegardée de manière sûre.
• Cerebrate a confirmé sa propre application de codes.
• Le tableau de bord affiche le mode choisi après l’enregistrement.
• Les exemptions nécessaires ont été vérifiées individuellement.
• Les utilisateurs connaissent la procédure et le contact à joindre en cas de perte du téléphone.

10.2 Avec un compte utilisateur de test

• Un utilisateur soumis à la MFA est guidé vers le QR code lors de sa première connexion.
• Le scan est suivi de la validation du premier code avant l’accès à l’application.
• Une nouvelle connexion demande le mot de passe puis le code.
• La connexion fonctionne depuis un autre PC avec la même application de codes.
• Le code fonctionne avec le téléphone hors ligne, tandis que le PC conserve l’accès au serveur.
• Une exemption est appliquée uniquement dans le mode avec exemptions.
• Une réinitialisation conduit à un nouveau QR code, sans code de récupération à transmettre.