Le code de vérification par courriel (et l'application d'authentification)

En bref. Ta clé de licence donne accès à ton produit : le site ne l'affiche pas à la légère. Avant une action sensible, il vérifie que c'est bien toi en t'envoyant un code à 6 chiffres par courriel, à ton adresse confirmée. Rien à activer : c'est la vérification par défaut.

Quand le code est demandé #

• afficher ta clé de licence, ou télécharger le fichier .env ou l'œuf du panel (ils contiennent ta clé) ;
• demander un remboursement ;
• renouveler ou gérer un abonnement, ouvrir le portail de facturation Stripe ;
• confirmer ou annuler un changement de palier (Basic ↔ Pro) : la confirmation prélève ta carte tout de suite ;
• choisir ta récompense du 10e parrainage (choix unique et définitif, voir Le parrainage) ;
• activer l'application d'authentification (voir plus bas) ;
• changer l'adresse de ton compte.

Recevoir et saisir le code #

1. Fais le geste (par exemple Afficher la clé). Le site t'annonce à quelle adresse il va écrire.
2. Clique sur M'envoyer un code.
3. Ouvre le courriel et saisis le code. Il est valable 10 minutes et ne sert qu'une fois. Tu peux le coller tel quel, avec son espace (« 123 456 »).
4. Tu reviens sur la page : le site te le dit (« Vérification faite : rien n'a encore été fait »). Il reste à cliquer de nouveau sur le bouton du geste voulu, cette fois il passe.

Un nouveau code annule le précédent. Tu peux en demander 3 par 15 minutes et 10 par 24 heures (par compte). Après 5 essais ratés, le code est annulé : demande-en un nouveau. À chaque erreur, l'écran te dit combien d'essais il te reste (« Il te reste 3 essais avant que ce code soit annulé »).

Si tu as ouvert deux onglets et que l'un des deux a déjà fait la vérification, l'autre te laisse simplement continuer : aucun code n'est consommé.

Ça ne marche pas ? #

Aller plus loin : l'application d'authentification #

Dans Mon espace → Sécurité, tu peux activer la double authentification avec une application (Google Authenticator, Authy, 1Password, Bitwarden…) : tu scannes le QR, tu saisis un premier code, et tu notes les 8 codes de secours (affichés une seule fois, chacun ne sert qu'une fois). Une fois activée, c'est le code de l'application qui est demandé, et le code par courriel reste disponible en secours (« Recevoir un code par courriel à la place »). Le code vient de ton téléphone, sans passer par ta boîte courriel : c'est plus sûr.

Activer l'application demande d'abord une vérification. Si ton adresse est confirmée, le site t'envoie d'abord un code par courriel avant de t'afficher le QR code, puis te ramène à l'activation : sans cela, quelqu'un qui aurait emprunté ta session pourrait y enrôler son propre téléphone.

Trop de codes faux #

Après 5 codes d'application faux de suite, la saisie est bloquée 15 minutes. Chaque nouvelle série de 5 codes faux allonge le blocage : 15 minutes, puis 1 heure, puis 24 heures. Seul un code accepté (application ou code de secours) remet le compteur à zéro. Pendant un blocage, l'écran le dit (« …codes d'application bloqués pendant N h. Un code de secours fonctionne toujours. ») : un code de secours reste accepté, c'est la sortie du titulaire. Si tu n'en as plus, ouvre un billet.

Les deux voies ont chacune leur propre blocage : un blocage de l'application ne grise pas M'envoyer un code (c'est la voie de secours), et la limite d'envois de codes par courriel ne bloque pas la saisie d'un code d'application. L'écran compte les délais tout seul : le bouton se rouvre à la fin du blocage, sans recharger la page.

L'équipe d'Agora #

Les comptes de l'équipe d'Agora sont tenus à une règle plus stricte : l'application d'authentification est obligatoire (le code par courriel ne suffit pas) et leur session ne dure que 12 heures à partir de la connexion, au lieu d'être prolongée à chaque usage.