Connexion et double facteur

Chaque compte NEXCLARA appartient à une seule institution et vit dans l'espace de cette institution. Aucun compte NEXCLARA ne traverse les institutions. Les opérateurs de la plateforme n'ont pas de compte dans votre espace, à une exception près : l'identité de support créée pour un accès exceptionnel, distincte de tout compte de l'institution, en lecture seule et bornée dans le temps (voir Vue d'ensemble de l'architecture). Tout compte humain est protégé par un mot de passe et un second facteur obligatoire : aucun compte n'existe sans second facteur.

Activer son compte à partir d'une invitation

Un compte naît toujours d'une invitation émise par un administrateur de votre institution, qui fixe vos rôles au moment de l'émission. L'activation se fait en trois étapes, sur la page ouverte par le lien reçu :

1. Vérification de l'invitation : l'écran affiche l'institution, l'adresse et les rôles prévus, ainsi que la date d'expiration.
2. Enrôlement du second facteur : la plateforme génère une clé d'authentification et l'affiche une seule fois, sous forme de QR code et de texte. Ajoutez-la à une application d'authentification compatible avec les codes temporaires à six chiffres (TOTP).
3. Nom affiché, langue du compte, choix du mot de passe et saisie d'un premier code : ce code prouve que la clé est bien enrôlée. Le compte devient actif à cet instant, avec son second facteur.

Une invitation sert une seule fois et expire après 72 heures (valeur par défaut, paramétrable par l'exploitant). Le jeton d'invitation voyage dans la partie de l'adresse qui n'est jamais transmise au serveur, et la page l'efface de la barre d'adresse dès qu'elle l'a lu.

Le mot de passe compte au moins 12 caractères. Aucune règle de composition n'est imposée : une phrase de passe est à la fois plus sûre et plus facile à retenir. Il ne peut ni reprendre votre adresse, ni contenir la partie qui précède « @ » lorsqu'elle compte au moins quatre caractères.

Se connecter

La connexion se fait en deux temps :

1. saisir la référence de votre institution (communiquée par votre administrateur), votre adresse et votre mot de passe ;
2. saisir le code à six chiffres affiché par votre application d'authentification. Un code ne sert qu'une fois.

La référence de l'institution est demandée parce qu'aucune recherche d'adresse n'est faite d'une institution à l'autre. Si l'une des informations est fausse, la réponse est toujours la même, quelle que soit l'erreur : la plateforme ne révèle pas si une institution ou une adresse existe.

Durées et verrouillage

Ces valeurs sont des paramètres de déploiement. Certaines actions sensibles (attribution de rôles, suspension, désactivation, approbation d'une politique, émission d'un identifiant machine) exigent un second facteur vérifié récemment : l'écran vous le redemande alors, sans perdre votre saisie.

Ce que cette fonction ne fait pas

• Aucune réinitialisation du mot de passe ni du second facteur, ni en libre-service, ni par un administrateur : une nouvelle invitation est refusée pour une adresse qui porte déjà un compte, même suspendu ou désactivé. Aucune procédure de récupération n'est encore construite.
• Aucune fédération d'identité (OIDC, SAML) avec l'annuaire de l'institution, et aucune clé d'accès matérielle pour les comptes de l'institution.
• Aucune vérification des mots de passe compromis auprès d'un service externe : la plateforme ne fait pas d'appel sortant pour cela.

Pour administrer les comptes et les rôles, voir Comptes, rôles et invitations.