Connexion sans mot de passe : pourquoi nous envoyons un code et un lien

Dans une procédure de connexion, c'est le mot de passe qui pose le plus de problèmes. On l'oublie, on attend l'e-mail de réinitialisation ou on réutilise le même mot de passe sur d'autres sites. Pour le service, un mot de passe est aussi une donnée à stocker et à protéger contre les fuites.

Vous pouvez désormais vous connecter au tableau de bord Opus Growth sans mot de passe. Lorsque vous saisissez votre adresse e-mail, nous envoyons dans votre boîte de réception un code à six chiffres et un lien de connexion, et vous ouvrez votre session avec l'un ou l'autre. Cet article explique pourquoi nous envoyons les deux, en quoi cette méthode influe sur la sécurité et où regarder si l'e-mail n'arrive pas.

Pourquoi nous envoyons un code et un lien

Les systèmes qui n'envoient qu'un lien échouent dans une situation très courante. Si vous voulez vous connecter sur votre ordinateur mais que vous ouvrez l'e-mail sur votre téléphone et touchez le lien, la session s'ouvre dans le navigateur du téléphone et non sur l'ordinateur. Vous vous retrouvez connecté sur le mauvais appareil.

Le code règle ce problème parce qu'il ne dépend pas de l'appareil. Vous lisez l'e-mail sur votre téléphone, vous saisissez le code à six chiffres sur votre ordinateur et la session s'ouvre là où vous en avez besoin. Le lien est plus rapide si vous vous connectez sur l'appareil où vous lisez l'e-mail, car un seul geste suffit.

C'est pourquoi nous envoyons les deux. Nous n'avons pas à deviner quel appareil vous utilisez et les deux situations sont couvertes.

Ce que la connexion sans mot de passe change pour la sécurité

On pense souvent que la connexion sans mot de passe est moins sûre, alors qu'elle ferme complètement plusieurs voies d'attaque importantes.

• Les mots de passe divulgués ne servent à rien. Un mot de passe volé sur un autre site ne peut pas être utilisé ici, puisque votre compte n'en a pas.
• Les attaques par devinette échouent. Le code est valable 15 minutes et ne peut servir qu'une fois. Après cinq essais erronés, le code est annulé et vous devez en demander un nouveau.
• Il n'y a pas de mot de passe à voler. Un mot de passe qui n'est jamais stocké ne peut pas apparaître dans une fuite.

En contrepartie, la sécurité repose davantage sur votre compte e-mail, car une personne qui accède à votre boîte de réception pourrait aussi voir le code. Nous vous recommandons donc de garder la validation en deux étapes activée chez votre fournisseur de messagerie.

La courte durée de validité du code est elle aussi un choix délibéré. Un code valable longtemps permettrait à quelqu'un qui lit l'e-mail plus tard d'entrer dans le compte.

Si le clic sur le lien ne vous connecte pas

Votre session est enregistrée à l'adresse où le lien de connexion a été ouvert et elle ne passe pas à un autre sous-domaine. Si vous copiez le lien de l'e-mail pour l'ouvrir à une autre adresse, la connexion n'aboutit donc pas.

Dans ce cas, ouvrez le lien tel qu'il figure dans l'e-mail ou saisissez le code à la main.

Où regarder si le code n'arrive pas

1. Vérifiez le dossier de spam. Lors d'une première connexion, l'e-mail y arrive le plus souvent. Une fois que vous l'avez marqué comme légitime, les e-mails suivants arrivent dans votre boîte de réception.
2. Vérifiez l'adresse. La connexion par e-mail ne fonctionne que pour les comptes existants. Si l'adresse saisie est différente de celle enregistrée sur votre compte, aucun code n'y est envoyé. Si vous n'avez pas encore de compte, vous pouvez vous inscrire avec Google.
3. Pensez aux filtres d'entreprise. Les messageries d'entreprise peuvent mettre en quarantaine les messages automatiques venus de l'extérieur. Dans ce cas, demandez à votre service informatique de les autoriser ou utilisez une autre adresse enregistrée sur votre compte.

Si le code est arrivé mais qu'il a expiré, il suffit d'en demander un nouveau. Dès qu'un nouveau code est envoyé, l'ancien n'est plus valable.

Questions fréquentes

La connexion sans mot de passe est-elle sûre ?

Oui. Les mots de passe divulgués et les attaques par devinette ne fonctionnent pas avec cette méthode. En contrepartie, la sécurité de votre compte e-mail compte davantage, gardez donc la validation en deux étapes activée.

Pourquoi est-ce que je reçois un code et un lien ?

Le code sert à ceux qui lisent l'e-mail sur leur téléphone mais se connectent sur leur ordinateur, et le lien à ceux qui se connectent sur l'appareil où ils lisent l'e-mail. Les deux ouvrent la même session.

Combien de temps le code est-il valable ?

Le code est valable 15 minutes et ne peut servir qu'une fois. S'il a expiré ou a été mal saisi cinq fois, vous devez en demander un nouveau.

J'ai cliqué sur le lien mais je ne suis pas connecté. Pourquoi ?

Si vous avez ouvert le lien à une adresse différente de celle de l'e-mail, la session ne passe pas à cette adresse. Ouvrez le lien tel qu'il figure dans l'e-mail ou saisissez le code à la main.

Que faire si l'e-mail n'arrive pas ?

Vérifiez d'abord votre dossier de spam, puis assurez-vous que l'adresse saisie correspond à celle enregistrée sur votre compte. Si vous utilisez une adresse professionnelle, le filtre de votre entreprise a peut-être mis en quarantaine les messages automatiques.