Se connecter et sécuriser son compte

Cette page se lit depuis un téléphone, sans être connecté. Elle suit d’abord ce qui se joue devant l’écran de connexion (connexion ordinaire, confirmation sur un appareil inconnu, application d’authentification, compte bloqué, mot de passe oublié), puis les réglages qui protègent le compte une fois que vous êtes dedans.

Se connecter

L’écran de connexion demande votre Email et votre Mot de passe, puis le bouton Se connecter. L’adresse email est votre identifiant, il n’y en a pas d’autre.

La case Se souvenir de moi allonge la session : elle ne se ferme qu’après trente jours sans utilisation au lieu de sept. Chaque utilisation avec du réseau repousse l’échéance d’autant. Dans les deux cas elle survit à la fermeture du navigateur. Cochez-la sur votre téléphone, laissez-la décochée sur l’ordinateur d’une écurie.

Si les identifiants ne passent pas, le message est « Email ou mot de passe incorrect », suivi d’un rappel du verrouillage décrit plus bas et d’un lien Mot de passe oublié ?. Il s’affiche à l’identique que l’adresse soit inconnue, que seul le mot de passe soit faux ou que le compte soit verrouillé, et dans le même délai. La connexion ne dit donc pas si un compte existe. L’inscription, elle, le laisse deviner, puisqu’elle répond « Cette adresse email est déjà utilisée » pour une adresse déjà prise.

Rester connecté quand le réseau coupe

Une coupure de réseau ne vous déconnecte pas. Dans une écurie sans 4G, l’application reste ouverte sur ce qu’elle a déjà chargé, et elle reprend seule au retour du réseau, sans mot de passe à retaper. Tant que l’application a joint le serveur au cours des sept derniers jours, ou des trente avec Se souvenir de moi, rien ne vous ramène à l’écran de connexion.

L’écran de connexion ne revient que dans deux cas : la session a expiré après sept ou trente jours sans utilisation, ou elle a été fermée depuis ailleurs, parce que le mot de passe a changé ou qu’une déconnexion a eu lieu sur un autre appareil. Dans ces deux cas, il faut du réseau pour se reconnecter.

Quand c’est le serveur qui refuse la session, Equident efface de l’appareil les données de vos clients qu’il avait chargées pour l’affichage, puis recharge entièrement l’écran de connexion. Un appareil perdu perd donc cette copie quand il retrouve du réseau après votre changement de mot de passe, au plus tard un quart d’heure après ce changement, le temps que son dernier accès expire. Le compte rendu que vous étiez en train de rédiger, lui, reste en brouillon sur l’appareil, et les saisies qui attendaient d’être transmises y restent aussi, prêtes à partir si le même compte s’y reconnecte.

Si vous arrivez par un lien vers une page précise, un bandeau annonce Vous devez vous connecter pour accéder à cette page. Une fois connecté, vous repartez vers cette page et non vers le tableau de bord.

Confirmer une connexion depuis un appareil inconnu

Un mot de passe volé ne suffit pas à entrer. Quand la connexion vient d’un appareil sur lequel vous ne vous êtes jamais connecté, l’application réclame une seconde preuve : un code à six chiffres envoyé sur l’adresse email du compte. Rien à installer, rien à activer, et sur vos appareils habituels cet écran n’apparaît jamais.

L’écran s’appelle Confirmez que c’est bien vous et annonce « Nous ne reconnaissons pas cet appareil », avec l’adresse vers laquelle le code vient de partir. Le code vaut dix minutes, il part tout seul dès le sixième chiffre saisi, le bouton Vérifier ne sert qu’en secours et Retour ramène aux identifiants sans rien perdre de votre saisie.

Sur iPhone, iPad et Mac, le code reçu peut être proposé au-dessus du clavier. Ailleurs, ouvrez l’email Votre code de connexion Equident : le code arrive dès les premiers mots, juste après le bonjour, donc souvent visible dans l’aperçu d’une notification sans même ouvrir le message. Le coller remplit les six cases d’un coup. L’email rappelle aussi le type d’appareil d’où vient la demande, de quoi reconnaître tout de suite une tentative qui n’est pas la vôtre.

Ce qui s’affiche sous les cases	Ce que ça veut dire
« Code invalide. Veuillez réessayer. »	Un chiffre s’est perdu. Les cases se vident, retapez le code.
« Ce code a expiré », avec un renvoi vers Renvoyer le code	Plus de dix minutes se sont écoulées, ou ce code a déjà servi.
« Trop d’essais sur ce code », même renvoi	Cinq saisies fausses : ce code est annulé, il en faut un nouveau.

Le lien Renvoyer le code se rouvre après soixante secondes, avec le décompte affiché, et seul le dernier code envoyé fonctionne. Si rien n’arrive, regardez les indésirables avant de le redemander, l’écran vous le rappelle. Et si le code n’arrive toujours pas, écrivez-nous à contact@equident.fr, l’adresse affichée sous ce rappel. Nous pouvons vous laisser entrer sans code le temps de régler la réception.

Il arrive que l’envoi échoue de notre côté. Un message général apparaît alors et vous propose de nous signaler le problème ; si l’échec survient au moment où vous saisissez vos identifiants, un bandeau plus précis s’ajoute, « L’email contenant votre code de connexion n’a pas pu être envoyé. Réessayez. » Dans tous les cas rien n’est armé : vous pouvez retenter aussitôt, sans attendre la minute.

Se tromper de code ne verrouille pas le compte : les cinq essais du code et les cinq mots de passe faux de la section suivante sont deux compteurs séparés.

Une fois le code validé, l’appareil est retenu cent quatre-vingts jours, et ce délai repart à chaque connexion : un appareil dont vous vous servez régulièrement ne redemande jamais de code. Un compte en retient dix au maximum, le onzième chasse le plus ancien utilisé. Vous redevenez un inconnu, et recevez donc un code, si vous changez de téléphone, d’ordinateur ou de navigateur, si vous naviguez en privé ou effacez les données de votre navigateur, si l’appareil n’a pas servi depuis six mois, ou si vous changez votre mot de passe. Une réinitialisation du mot de passe garde seulement l’appareil sur lequel vous l’avez faite. Se déconnecter, en revanche, ne retire rien.

Cette vérification s’active compte par compte, au fil du déploiement : ne vous étonnez pas si vous ne l’avez jamais vue. Elle s’arme aussi d’elle-même le jour où vous retirez votre dernier dispositif d’authentification, pour que votre compte ne redescende pas à un seul facteur. Et si vous recevez un code sans avoir rien demandé, quelqu’un connaît votre mot de passe. Ne le saisissez pas, réinitialisez votre mot de passe et écrivez-nous à contact@equident.fr.

Quand une application d’authentification est configurée

Les deux méthodes ne se cumulent jamais : un compte doté d’un dispositif vérifié ne reçoit plus de code par email, c’est l’application qui prend le relais.

Après le mot de passe, un écran Vérification en deux étapes réclame le code à six chiffres de votre application d’authentification. Il part tout seul dès le sixième chiffre saisi, le bouton Vérifier ne sert qu’en secours. Un code refusé affiche « Code invalide. Veuillez réessayer » et vide les cases : reprenez le code suivant affiché par l’application. Le bouton Retour ramène aux identifiants, en conservant votre choix Se souvenir de moi.

Il n’existe aucun code de secours. Un dispositif ne se retire que depuis un compte déjà connecté : si le téléphone qui génère les codes est perdu et qu’il était le seul enregistré, plus rien ne fait entrer. Enregistrez-en deux.

Après plusieurs mots de passe faux

Deux protections distinctes peuvent vous arrêter, avec deux messages différents.

Ce que vous avez fait	Ce qui se passe	Combien de temps
5 mots de passe faux en moins de 15 minutes	Le compte est verrouillé, même avec le bon mot de passe	15 minutes
Plus de 30 tentatives dans la même minute	« Trop de tentatives. Veuillez patienter 1 minute avant de réessayer »	1 minute

Le verrouillage n’a pas de message à part, qui révélerait que le compte existe. Le bandeau reste « Email ou mot de passe incorrect », et sa deuxième ligne le rappelle à chaque refus, « Après 5 essais manqués, la connexion est suspendue 15 minutes, même avec le bon mot de passe. » Le lien Mot de passe oublié ? suit. Le compteur d’échecs repart de zéro dès qu’une connexion réussit.

Ce lien lève aussi le verrou. Une fois le mot de passe réinitialisé, la connexion passe tout de suite avec le nouveau, sans attendre la fin du quart d’heure.

Mot de passe oublié

Le parcours entier se fait au téléphone, en quatre gestes.

1. Sur l’écran de connexion, touchez Mot de passe oublié ?. L’adresse déjà tapée est reprise sur l’écran suivant.
2. Bouton Envoyer le code. La réponse est la même, compte existant ou non : « Si un compte existe pour » suivi de l’adresse saisie, puis « un code de réinitialisation vous a été envoyé. Vérifiez votre boîte de réception. »
3. Saisissez le code à six chiffres reçu par email, sous Code de vérification. Il vaut un quart d’heure et part tout seul dès le sixième chiffre. Le lien Renvoyer le code se rouvre après soixante secondes, et seul le dernier code envoyé fonctionne. Cinq codes faux annulent le code, il faut alors en redemander un, et pas plus de dix par jour.
4. L’écran Nouveau mot de passe demande le mot de passe puis sa confirmation. Le bouton Réinitialiser le mot de passe vous ramène à la connexion.

Le mot de passe doit satisfaire cinq règles, affichées sous le champ et identiques partout dans l’application : au moins 8 caractères, une majuscule, une minuscule, un chiffre et un caractère spécial.

Si le code est faux, déjà périmé ou annulé au cinquième essai quand vous le saisissez à l’étape 3, le message est « Code invalide ou expiré. Après cinq erreurs, le code est annulé, demandez-en un nouveau. » et les cases se vident. S’il expire plus tard, pendant que vous tapez le nouveau mot de passe, le message devient « Votre code de vérification n’est plus valide » avec un lien Demandez-en un nouveau. Une réinitialisation réussie ferme toutes les sessions ouvertes et efface tous les appareils retenus, sauf celui sur lequel vous venez de la faire. Il faudra vous reconnecter partout, et un code de confirmation vous sera redemandé partout ailleurs, puisque seul le code de réinitialisation saisi ici a prouvé que la boîte est la vôtre.

Reprendre une inscription interrompue

Le parcours de démarrage compte six jalons. Si vous l’avez quitté avant la fin, par exemple après avoir vérifié votre email mais avant la formule, la connexion ne vous emmène pas au tableau de bord : elle vous repose à l’étape non terminée, avec ce que vous aviez déjà saisi. Le tableau de bord s’ouvre dès que les six jalons sont franchis.

Se déconnecter

Sur téléphone, onglet Plus, section Session, bouton Se déconnecter. Sur ordinateur, menu de l’avatar en haut à droite, entrée Se déconnecter.

Quand des saisies attendent encore d’être transmises, la déconnexion est bloquée, parce qu’elle les effacerait. La fenêtre 2 rendez-vous ne sont pas encore transmis propose Voir les transmissions et Ne pas me déconnecter. L’article Travailler sans réseau dit comment les transmettre ou les abandonner.

La déconnexion ne ferme que la session de l’appareil en main. Vos autres appareils restent connectés, et vous déconnecter du téléphone que vous avez prêté ne vous oblige pas à vous reconnecter sur votre ordinateur. Pour fermer d’un coup toutes les sessions du compte, par exemple si vous avez oublié de vous déconnecter de l’ordinateur d’une écurie, changez votre mot de passe. Les autres appareils ne sont pas coupés à la seconde, ils retombent sur l’écran de connexion au plus tard un quart d’heure plus tard.

Elle ne retire pas pour autant sa confiance à l’appareil : votre prochaine connexion ici ne redemandera pas de code de confirmation. Pour couper cela aussi, il faut changer ou réinitialiser le mot de passe.

Changer son mot de passe

Dans Paramètres, rubrique Sécurité, sous la carte Double authentification, la ligne Changer le mot de passe est repliée. Son bouton Modifier déplie le formulaire, Annuler le replie sans rien changer. Trois champs : Mot de passe actuel, Nouveau mot de passe, Confirmer le nouveau mot de passe. Les cinq règles se cochent au fur et à mesure de la saisie.

Le bouton Modifier le mot de passe ne change encore rien : il envoie un code à six chiffres sur l’adresse du compte et ouvre la fenêtre Confirmez le changement de mot de passe. Ce code vaut dix minutes et le lien Renvoyer un code se rouvre après soixante secondes. Cinq codes erronés annulent la demande : le code suivant, même s’il est juste, affiche « Trop d’essais sur ce code. Demandez-en un nouveau avec « Renvoyer un code ». » Ce lien en envoie un autre sans vous faire ressaisir vos mots de passe.

Une fois le code confirmé, le mot de passe est en place et un email de confirmation part sur l’adresse du compte. Toutes les sessions sont fermées, y compris celle de l’appareil sur lequel vous venez de faire le changement : il faudra vous reconnecter partout, ici comme ailleurs. Ce n’est pas immédiat. L’appareil en main affiche Mot de passe modifié et continue de marcher, puis chaque appareil est ramené à l’écran de connexion au plus tard un quart d’heure après le changement. Tous les appareils retenus sont effacés en même temps, donc vos prochaines connexions repasseront par un code de confirmation, même sur votre matériel de tous les jours. C’est voulu : un mot de passe changé par précaution ne doit rien laisser d’ouvert derrière lui. Si vous recevez cet email sans rien avoir demandé, quelqu’un d’autre a la main sur votre compte.

Changer son adresse de connexion

Toujours dans Paramètres, rubrique Sécurité, la ligne Changer d’email affiche votre adresse actuelle. Cliquez Modifier pour déplier le formulaire, renseignez le Nouvel email et votre Mot de passe actuel, puis Envoyer le code. Le code à six chiffres part vers la nouvelle adresse, pas vers l’ancienne : c’est ce qui prouve que vous la contrôlez. Il vaut quinze minutes, se saisit dans la fenêtre Confirmez votre nouvelle adresse, et se redemande après soixante secondes avec le lien Renvoyer un code. Le même formulaire s’ouvre pendant l’inscription, à l’étape Email, avec Modifier l’adresse, pour corriger une adresse mal saisie avant même de l’avoir vérifiée.

Un code faux s’annonce sous les cases par « Code invalide ou expiré. » Au cinquième, la demande est annulée et le message devient « Trop d’essais sur ce code. Demandez-en un nouveau avec « Renvoyer un code ». » Dix codes au plus partent en vingt-quatre heures : au-delà, l’envoi est refusé avec « Trop de codes demandés en 24 heures. Réessayez plus tard, ou écrivez-nous à contact@equident.fr. »

Une fois confirmée, la nouvelle adresse devient votre identifiant de connexion, et c’est elle qui recevra désormais vos codes de confirmation. Un email d’alerte part vers l’ancienne, seule façon de vous prévenir si le changement ne venait pas de vous.

Si la nouvelle adresse appartient déjà à un autre compte Equident, la fenêtre de saisie du code s’ouvre quand même et aucun code n’arrive jamais. Ce silence est volontaire, l’application ne révèle pas qui est client. Relisez l’adresse, puis essayez-en une autre.

Activer la double authentification

Elle se gère dans Paramètres, rubrique Sécurité, carte Double authentification, et n’est pas réservée au plan Premium. Sur ordinateur, cliquez votre avatar en haut à droite puis Paramètres, et choisissez la rubrique Sécurité. Sur téléphone, passez par l’onglet Plus, section Compte, puis Paramètres, et touchez Sécurité dans la liste des rubriques. La page Mon profil indique seulement si elle est activée ou désactivée, avec un lien Gérer dans Paramètres qui ouvre directement cette rubrique.

Le bouton Ajouter un dispositif ouvre la fenêtre Ajouter un dispositif d’authentification, qui tient en deux écrans.

1. Le premier réunit tout ce qu’il faut pour relier votre application. Sur ordinateur, scannez le QR code avec Google Authenticator, Authy ou équivalent, puis tapez juste à côté le code à six chiffres que l’application affiche. Il part tout seul dès le sixième chiffre, Vérifier ne servant qu’en secours. Sur téléphone, quand l’application est sur l’appareil même, le bouton Ouvrir dans mon application d’authentification l’ouvre directement, sans scan, et il ne reste qu’à revenir taper le code. La Clé secrète (saisie manuelle) sert si le scan est impossible, elle se copie d’un bouton et ne sera plus réaffichée. Fermer la fenêtre avant d’avoir saisi le bon code demande confirmation dans Abandonner l’ajout du dispositif ?, puis retire le dispositif, qu’il faudra ajouter à nouveau.
2. L’écran Dispositif vérifié confirme que la double authentification est active. Le dispositif y porte un nom par défaut, Application d’authentification (puis Application d’authentification 2 pour le suivant), que vous pouvez remplacer dans Nom du dispositif, cinquante caractères au maximum, avant de cliquer Terminer. Tant que c’est votre seul dispositif vérifié, l’écran rappelle qu’il n’existe aucun code de secours et propose Ajouter un second dispositif, qui relance aussitôt un ajout.

Chaque ligne porte un badge Vérifié ou Non vérifié, sa date de création et sa dernière utilisation. Un dispositif resté Non vérifié, le reste d’un ajout interrompu par une page fermée ou rechargée en cours de route, ne protège rien et n’ajoute aucune étape à la connexion. Il est retiré tout seul au prochain ajout. L’icône crayon le renomme, l’icône corbeille le retire après confirmation.

Retirer votre dernier dispositif vérifié ne vous ramène pas au mot de passe seul. La fenêtre Supprimer le dispositif vous prévient avant que vous confirmiez, le message Dispositif supprimé le redit ensuite, et votre compte passe à la vérification par code email décrite plus haut : une connexion depuis un appareil que l’application ne reconnaît pas demandera un code à six chiffres envoyé sur l’adresse du compte. Vous en recevrez très probablement un dès votre prochaine connexion, y compris sur votre matériel de tous les jours : les appareils retenus se constituent au fil des connexions passées par le code email, et les vôtres passaient par l’application. C’est voulu : vous aviez choisi deux facteurs, vous en gardez deux.

Le retour en arrière consiste à ajouter et vérifier un nouveau dispositif : l’application reprend aussitôt la main et l’écran du code par email cesse de s’afficher, les deux méthodes ne se cumulant jamais. Il n’existe en revanche aucun bouton pour désactiver la vérification par email et revenir au mot de passe seul. Écrivez-nous à contact@equident.fr si votre situation le demande.

Corriger ses informations personnelles

Sur la page Mon profil, accessible depuis le menu de votre avatar ou, sur téléphone, depuis Plus, section Compte, le bouton Modifier ouvre un panneau latéral avec vos Prénom, Nom et Téléphone, vos coordonnées de praticien, distinctes des informations de l’entreprise. L’Email y figure en lecture seule : l’adresse de connexion ne se change qu’avec le mot de passe et un code, donc uniquement depuis la rubrique Sécurité.

Les informations de votre entreprise, elles, ne sont pas sur cette page : elles se règlent dans Paramètres, rubrique Entreprise.