Administration

Les Paramètres (en bas du menu) regroupent six onglets : Organisation, Entités, Utilisateurs, Sécurité, Centre de confiance, Journal d’audit. Ils sont visibles de tous, sauf les Utilisateurs, réservés aux Administrateurs et RSSI, et le Journal d’audit, réservé aux Administrateurs, RSSI et Auditeurs ; les modifications sont réservées aux rôles indiqués ci-dessous.

Organisation

• La carte Abonnement rappelle l’offre et l’usage (entités et utilisateurs).
• Profil de l’organisation : nom, SIREN, site web, pays, secteur, e-mail de contact sécurité, description. Modifiable par les Administrateurs.

Entités

« Créer une entité » demande le nom, l’entité parente (parmi celles dont vous êtes Administrateur), le type, le pays et, en option, le secteur. Seuls les types « Siège social », « Filiale » et « Succursale » sont acceptés : « Département » et « Co-entreprise » sont proposés mais refusés à l’enregistrement.

• L’arborescence compte 5 niveaux au plus, siège compris.
• Le créateur et les Administrateurs de l’entité parente deviennent automatiquement Administrateurs de la nouvelle entité.
• La colonne « Cadres » active ou désactive un référentiel sur l’entité (Administrateurs de l’entité ; voir Référentiels et contrôles).
• Archiver une entité est définitif ; le siège et une entité qui a encore des entités actives ne peuvent pas être archivés.

Les entités ne se modifient pas depuis l’interface après leur création. La classification NIS2 d’une entité vient du parcours d’accueil.

Utilisateurs et invitations

La page liste les utilisateurs (nom, e-mail, rôles par entité, dernière connexion, statut Actif, Désactivé ou Invité) et les invitations en attente.

Inviter (Administrateurs) : cliquez sur « Inviter un utilisateur », saisissez son e-mail, puis ajoutez une ou plusieurs lignes Entité + Rôle. L’invitation est valable 72 heures ; « Renvoyer » envoie un nouveau lien et relance les 72 heures (tant qu’elle n’a pas expiré), « Annuler » la retire. Une invitation expirée disparaît de la liste : invitez à nouveau.

Une adresse déjà rattachée à un compte d’une autre organisation ne peut pas être invitée : un compte n’appartient pour l’instant qu’à une seule organisation. L’invitation est refusée avec un message explicite ; invitez une autre adresse. Une invitation envoyée avant cette règle à une telle adresse est refusée à l’ouverture du lien, sans rien modifier : annulez-la.

Invités externes : un compte d’une autre organisation qui détient des rôles sur vos entités (accordés par une invitation acceptée avant cette règle) apparaît dans la liste avec le badge « Invité externe », avec ses seuls rôles chez vous et sans sa date de dernière connexion. Vous pouvez modifier ou retirer ces rôles ; « Retirer l’accès », sur sa fiche, les retire tous. Son compte lui-même (désactivation, suppression) reste géré par son organisation, et il ne compte pas comme Administrateur de la vôtre. Pour l’instant, il ne peut pas utiliser ces rôles : une connexion ouvre toujours l’organisation de son compte.

Fiche d’un utilisateur :

• « Désactiver » / « Réactiver » : l’utilisateur désactivé perd l’accès dans les 30 secondes au plus et en est informé par e-mail ; ses sessions ouvertes sont fermées (raison account_deactivated) et la réactivation ne les rouvre pas : il doit se reconnecter ;
• « Rôles par entité » : changer un rôle, le retirer, en ajouter un. Un utilisateur a un seul rôle par entité et garde au moins un rôle ;
• le dernier Administrateur de l’organisation ne peut être ni désactivé, ni rétrogradé, ni retiré (un invité externe n’est pas compté).

Un changement de rôle s’applique aux droits de l’utilisateur concerné en quelques secondes ; son interface (sélecteur d’entités, menus) se met à jour au prochain chargement de l’application dans son navigateur, ou à sa prochaine connexion.

Le bouton « Supprimer » de la fiche utilisateur ne permet pas encore de supprimer un compte (aucun utilisateur ne peut être choisi pour la réaffectation) : désactivez l’utilisateur. Via l’API, la suppression d’un compte ferme aussi ses sessions ouvertes (raison account_deleted).

Sécurité

Adresses IP autorisées

Disponible en offre Enterprise et On-Premises, modifiable par les Administrateurs. La liste accepte des adresses IPv4 ou IPv6 et des plages CIDR. Une liste vide n’impose aucune restriction.

Une fois renseignée, elle s’applique à tous les utilisateurs, quel que soit leur rôle : à la connexion, à chaque requête, à la double authentification, au renouvellement de session et à l’acceptation d’une invitation. Une modification qui vous couperait vous-même l’accès est refusée. Le Trust Center public et le portail des questionnaires fournisseurs ne sont pas concernés.

Politique de mots de passe

Modifiable par les Administrateurs, elle s’applique à tous les utilisateurs dont le compte appartient à l’organisation, quel que soit leur rôle, administrateurs compris. Les valeurs proposées par la page sont exactement celles que la plateforme accepte.

• Longueur minimale : de 12 à 128 caractères. La plateforme exige toujours au moins 12 caractères, avec une majuscule, une minuscule, un chiffre et un caractère spécial : ces exigences ne se désactivent pas.
• Expiration : jamais, 90, 180 ou 365 jours après le dernier changement. Le délai court à partir du dernier changement, mais jamais avant le moment où l’expiration a été activée : l’activer laisse à chaque mot de passe existant le délai complet. Modifier un délai déjà actif ne remet pas ce point de départ à zéro : le nouveau délai s’applique tout de suite, compté depuis le dernier changement de chaque mot de passe (ou depuis l’activation, s’il est plus ancien). L’allonger repousse donc l’échéance de chacun d’autant ; le raccourcir fait expirer aussitôt les mots de passe déjà plus anciens que le nouveau délai, dont les titulaires devront en choisir un nouveau à leur prochaine connexion. Désactiver puis réactiver l’expiration accorde de nouveau le délai complet. Pour les mots de passe choisis avant la mise en service de cette politique, il court au plus tôt à partir de cette mise en service. À partir de 14 jours avant l’échéance, un bandeau prévient l’utilisateur dans l’application.
• Historique : de 0 à 24. Un nouveau mot de passe doit être différent des N derniers, le mot de passe actuel compris (« Ce mot de passe a déjà été utilisé récemment. ») ; à 0, l’actuel peut être conservé. La plateforme garde l’empreinte des 24 derniers mots de passe de chaque compte (jamais les mots de passe eux-mêmes), donc augmenter l’historique s’applique aussitôt aux mots de passe déjà utilisés.

La politique s’applique à chaque mot de passe choisi : inscription, acceptation d’une invitation (la page indique la longueur exigée), changement depuis le profil et réinitialisation. Elle ne refuse jamais une connexion : un utilisateur dont le mot de passe a expiré, ou ne respecte plus la politique (après une augmentation de la longueur minimale, par exemple), se connecte normalement, double authentification comprise, puis doit choisir un nouveau mot de passe avant d’accéder à l’application. Une session ouverte avec un mot de passe qui expire ensuite n’est plus renouvelée : l’utilisateur est renvoyé à la connexion. En revanche, une augmentation de la longueur minimale ne s’applique qu’au prochain choix de mot de passe et à la prochaine connexion avec le mot de passe : une session déjà ouverte continue jusqu’à sa fin (voir la politique de session ci-dessous). Une modification de la politique est prise en compte dans les 30 secondes pour ces vérifications et est inscrite au journal d’audit, avec les valeurs avant et après.

Politique de session

Modifiable par les Administrateurs, elle s’applique, comme la politique de mots de passe, à tous les utilisateurs dont le compte appartient à l’organisation, administrateurs compris (et administrateurs de la plateforme Coderise).

• Durée maximale : de 1 à 720 heures (8 heures par défaut). Une session se termine à cette durée après la connexion, quelle que soit l’activité : l’utilisateur doit alors se reconnecter. Il en est prévenu 5 minutes avant.
• Délai d’inactivité : de 15 à 1 440 minutes (2 heures par défaut), sans dépasser la durée maximale. Une session se termine après ce délai sans activité : toute action dans l’application (clic, frappe, défilement, au plus une fois par minute) et toute requête à l’API compte comme une activité, mais pas le simple fait de laisser un onglet ouvert. Deux minutes avant, une fenêtre « Votre session va expirer » propose « Rester connecté ».

Quand une session se termine, l’utilisateur est renvoyé à la page de connexion, qui en indique la raison. Une modification de la politique s’applique aussi aux sessions déjà ouvertes, dans les 30 secondes : réduire la durée maximale déconnecte, à leur requête suivante, les utilisateurs connectés depuis plus longtemps. Elle est inscrite au journal d’audit (organization.session_policy.updated), avec les valeurs avant et après.

Politique de double authentification

Ce réglage s’enregistre mais n’est pas encore appliqué par la plateforme, ce que signale le badge « Pas encore appliqué » sur sa carte : la double authentification reste au choix de chaque utilisateur.

Journal d’audit

Ouvert aux Administrateurs et RSSI, qui voient toute l’organisation, et aux Auditeurs, qui ne voient que les entrées des entités qu’ils auditent ; l’onglet n’est pas proposé aux Contributeurs. Il liste les modifications faites dans l’organisation, avec filtres (catégorie, dates, recherche), le détail de chaque entrée (adresse IP, navigateur, valeurs avant et après) et un export CSV. Son contenu exact et ses limites sont décrits dans le guide auditeur.