Copier pour l’IA

Équipe, droits et sécurité

Distinguez la sécurité personnelle de chaque utilisateur des règles communes à toute l’organisation.

Cord comporte trois niveaux d’accès distincts :

1. Votre compte protège l’identité personnelle : mot de passe, 2FA, clés d’accès, sessions et compte Google connecté.
2. Équipe et droits détermine ce que chaque membre peut faire au sein d’une organisation.
3. Sécurité de l’organisation applique des exigences comme la 2FA, la déconnexion pour inactivité et les domaines autorisés pour les invitations.

Offres et sièges

Inviter une équipe et utiliser des rôles personnalisés est possible à partir de l’offre Professionnel. Le quota inclus actuel est le suivant :

Offre	Utilisateurs inclus	Utilisateurs supplémentaires
Gratuit	1	Non disponible
Starter	1	Non disponible
Professionnel	5	Avec frais mensuels par utilisateur
Scale	15	Avec frais mensuels par utilisateur
Developer	Illimités	Inclus

Une invitation en cours de validité réserve déjà un siège, même si elle n’a pas encore été acceptée. Si l’indicateur est plein, révoquez une invitation dont vous n’aurez plus besoin ou revoyez votre offre. Les tarifs des utilisateurs supplémentaires figurent dans Votre abonnement.

Inviter une personne

L’invitation expire au bout de 7 jours. Cord tente de l’envoyer par e-mail et fournit également un lien à copier en guise de solution de secours. Renvoyer remplace le jeton précédent par un nouveau, valable sept jours ; l’ancien lien ne fonctionne plus.

Si l’organisation limite les domaines, l’adresse e-mail doit se terminer exactement par l’un des domaines configurés dans Paramètres › Équipe et droits › Sécurité. La règle couvre aussi l’invitation par lien uniquement : elle est vérifiée au moment de l’acceptation, par rapport à l’adresse e-mail du compte avec lequel la personne se connecte ; un compte d’un autre domaine ne peut donc pas rejoindre l’organisation, même s’il dispose du lien. Chaque lien ne fonctionne qu’une seule fois.

Rôles et droits

Les rôles sont des profils prédéfinis modifiables ; ils ne remplacent pas les droits effectifs :

• Administrateur : presque tout, y compris l’équipe ; le droit de rembourser n’est pas activé.
• Commercial : devis, clients, produits et rapports ; ni paramètres ni validations.
• Lecture seule : accède à l’app sans droit de modification.
• Personnalisé : combinaison enregistrée spécifiquement pour ce membre.
• Super administrateur : la personne qui a créé le compte (le propriétaire). Accès total par définition ; il ne peut être ni rétrogradé ni révoqué depuis Équipe.

Les droits indépendants sont Devis, Validations, Recouvrement, Clients, Produits, Rapports, Paramètres, Configurer les paiements, Remboursements et Équipe.

Qui peut accorder quoi :

• Le propriétaire peut accorder n’importe quel droit.
• Toute autre personne disposant du droit Équipe ne peut accorder que les droits qu’elle possède elle-même, que ce soit en invitant, en modifiant un membre ou en choisissant un rôle. Les droits que le membre avait déjà sont conservés, même si la personne qui le modifie ne les possède pas, et il est toujours possible de retirer des droits.
• Remboursements ne peut être accordé que par le propriétaire.
• Personne ne peut modifier ses propres droits ni son propre rôle : demandez-le à une autre personne qui administre l’équipe.
• Renvoyer une invitation par lien uniquement qui accorde des droits que vous ne pouvez pas accorder revient au propriétaire, car le nouveau lien vous est remis à vous.

États d’appartenance

• Actif : la personne a accepté l’invitation et conserve son accès.
• Invité : le lien est toujours en attente ; il peut être valide ou expiré.
• Révoqué : la personne n’accède plus à l’organisation. L’enregistrement est conservé pour afficher l’historique, et elle peut être invitée de nouveau.

L’écran affiche la dernière session, les devis récents et la dernière action lorsque ces données existent. Révoquer supprime l’accès ; cela ne réattribue ni ne supprime automatiquement les documents créés par cette personne.

Exiger l’authentification à deux facteurs

Dans Paramètres › Équipe et droits › Sécurité, activez Exiger l’authentification à deux facteurs (2FA) pour l’organisation. Un membre qui n’a pas encore configuré TOTP est redirigé vers Paramètres › Votre compte pour terminer l’activation avant de pouvoir continuer à utiliser les sections protégées.

L’activation personnelle se fait dans Paramètres › Votre compte : scannez le code QR avec votre application d’authentification, confirmez le code et conservez les dix codes de secours à usage unique affichés lors de l’activation. Conservez ces codes en dehors de Cord. Les régénérer invalide le jeu précédent. Pour désactiver la 2FA, le mot de passe actuel ou un code d’authentification est exigé, selon le type de compte.

À la connexion, chaque code de l’application d’authentification ne fonctionne qu’une seule fois et chaque code de secours est consommé dès son utilisation. À partir du troisième code erroné dans la journée, Cord vous envoie l’e-mail Tentative de connexion avec votre mot de passe (un par heure au maximum) : la personne qui a fait la tentative a saisi votre mot de passe correct ; changez-le donc si ce n’était pas vous. Après dix codes erronés en 24 heures, la seconde étape est suspendue, sauf depuis un réseau où vous avez déjà une session ouverte ; réinitialiser votre mot de passe lève la suspension.

Lorsque l’organisation exige la 2FA, la protection s’applique aussi aux requêtes du tableau de bord, et pas seulement à l’écran visible. Les actions nécessaires pour configurer la 2FA, confirmer votre identité ou vous déconnecter restent disponibles.

Si une action sensible vous demande de vérifier à nouveau votre identité, faites-le avant de réessayer. Les droits de l’équipe restent nécessaires ; disposer de la 2FA ne donne pas le droit de rembourser ni d’administrer l’entreprise.

Clés d’accès et mot de passe

Dans Paramètres › Votre compte, chaque personne peut :

• créer ou modifier son mot de passe ;
• enregistrer plusieurs clés d’accès compatibles avec l’appareil ou le gestionnaire de clés ;
• supprimer une clé d’accès qu’elle ne reconnaît plus ;
• connecter ou déconnecter Google. Apple apparaît comme Bientôt disponible : cette option n’est pas encore proposée.

Un compte créé avec OAuth peut définir un mot de passe ultérieurement. Avant de déconnecter la dernière méthode utilisable, assurez-vous de conserver un autre moyen d’accès.

Tout nouveau mot de passe, à l’inscription, lors d’une récupération ou d’une modification, doit comporter au moins 10 caractères, ne peut pas contenir votre adresse e-mail et ne peut pas figurer dans des fuites de données publiques. Si votre mot de passe actuel est antérieur à cette règle, il continue de fonctionner pour vous connecter ; la règle s’appliquera la prochaine fois que vous le modifierez.

Sessions actives

La liste des sessions affiche l’appareil, l’IP connue, la dernière activité et la session en cours. Vous pouvez fermer une session en particulier ou toutes les autres.

L’organisation peut aussi configurer une déconnexion pour inactivité dans Paramètres › Équipe et droits › Sécurité : sans limite, 1, 4, 8 ou 24 heures. Cette règle est distincte de la fermeture manuelle des sessions personnelles.

Le délai est contrôlé à l’entrée dans l’application, dans la facturation et dans les API internes protégées, ainsi que lors de l’enregistrement d’une clé d’accès. Lorsqu’il expire, l’opération s’interrompt et vous devez vous reconnecter. L’activité est mesurée par les requêtes authentifiées vers ces surfaces, et non par les mouvements de la souris ; les requêtes automatiques de l’app peuvent aussi compter. Consulter une page publique ou utiliser les routes de récupération de la 2FA ne réinitialise pas le délai. « Sans limite » désactive la déconnexion pour inactivité, mais conserve la durée maximale de la session, les révocations et la suspension de compte.

SSO d’entreprise

Les connexions SAML 2.0 s’administrent dans Paramètres › Équipe et droits › SSO et nécessitent l’offre Scale ou Developer ainsi que le droit Équipe. Une configuration enregistrée ne garantit pas l’accès après la perte de cette offre. La configuration technique de la connexion (Entity ID, URL de connexion, certificat, domaines, provisionnement et correspondance des rôles) est décrite dans SSO et SAML.

Les membres gérés par SSO sont signalés dans Équipe, et leurs droits sont gérés par votre fournisseur d’identité.

Exiger le SSO

Une fois une connexion opérationnelle, vous pouvez obliger votre équipe à se connecter uniquement via SSO.

Lorsque l’option est activée, Cord bloque le mot de passe, Google, Apple et les clés d’accès pour tous les membres à l’exception du propriétaire du compte, qui conserve toujours son mot de passe comme solution de secours.

Accès d’urgence

Si votre fournisseur d’identité est en panne et que votre équipe ne peut pas se connecter, le propriétaire peut désactiver temporairement l’exigence :

Pendant cette heure, l’équipe peut de nouveau utiliser ses autres méthodes de connexion, et l’écran affiche SSO temporairement désactivé jusqu’au avec la date et l’heure d’expiration. À l’échéance, l’exigence se rétablit automatiquement. Seul le propriétaire peut utiliser cette option, et l’action est consignée dans le journal d’audit de l’organisation.

Supprimer un compte personnel

La zone de danger de Votre compte supprime définitivement l’identité personnelle, les sessions, les clés d’accès et les comptes connectés. Elle exige un identifiant et la saisie de l’adresse e-mail pour confirmer. Sans organisation à soi, le compte est supprimé immédiatement. Si cette personne est l’unique propriétaire d’une organisation qui compte d’autres membres, elle doit d’abord en transférer la propriété ; s’il n’y a personne d’autre, la suppression de cette organisation est programmée dans 30 jours et le compte est supprimé avec elle, ce qui laisse le temps de télécharger les documents fiscaux et d’annuler. Détails dans Données et suppression.

Problèmes courants

Je ne peux pas inviter. Vérifiez le droit Équipe, l’offre Professionnel ou supérieure, la disponibilité d’un siège et le domaine autorisé.

Le lien a expiré. Utilisez Renvoyer ; n’essayez pas de récupérer le jeton précédent.

Je ne peux pas accorder un droit. Vous ne pouvez accorder que les droits que vous possédez, et Remboursements ne peut être accordé que par le propriétaire.

La personne ne peut pas accepter le lien. Si l’organisation limite les domaines, elle doit se connecter avec un compte appartenant à l’un de ces domaines.

La personne se connecte mais ne peut rien modifier. Vérifiez les droits effectifs, et pas seulement le nom du rôle.

L’organisation exige la 2FA. La personne doit configurer TOTP dans son propre compte ; un administrateur ne peut pas générer les codes à sa place.

« Trop de tentatives » à la connexion. Dix mots de passe erronés depuis le même appareil en 15 minutes suspendent cet appareil pendant cette durée. Si les tentatives proviennent de nombreux endroits (30 en une heure), le compte n’autorise la connexion que depuis un réseau où vous avez déjà une session ouverte. Dans les deux cas, réinitialiser le mot de passe avec Mot de passe oublié ? lève la suspension. Cord n’indique jamais à l’écran si une adresse e-mail a un compte.

J’ai reçu « Tentative de connexion avec votre mot de passe ». Quelqu’un a saisi votre mot de passe et s’est trompé de code de vérification. Si ce n’était pas vous, changez-le dans Paramètres › Votre compte et fermez les sessions que vous ne reconnaissez pas.

À l’ouverture de mon organisation, on me demande de me reconnecter via SSO. Votre organisation exige le SSO et la session n’a pas été ouverte avec son fournisseur d’identité (par exemple, vous vous êtes connecté via le SSO d’une autre organisation à laquelle vous appartenez aussi). Connectez-vous avec celui de cette organisation.

Je ne peux pas activer Exiger le SSO. Vous avez besoin d’une connexion active avec au moins un domaine vérifié.

Le fournisseur d’identité est en panne. Le propriétaire peut se connecter avec son mot de passe et utiliser Désactiver pendant 1 heure.

Pages associées

• SSO et SAML
• Votre abonnement à Cord : sièges inclus et utilisateurs supplémentaires.
• Carte des Paramètres
• Créez votre compte