Les méthodes de connexion

Cinq méthodes de connexion, à vous de choisir

Un code par e-mail, un mot de passe, « Continuer avec Google », une clé d’accès, et un lien depuis votre ENT. Le choix entre code et mot de passe, et la proposition de Google, se règlent séparément pour le personnel et pour les élèves, car un établissement qui utilise Google pour ses élèves ne l’utilise pas forcément pour son personnel.

Les clés d’accès sont la méthode la plus rapide ; elles sont proposées après la première connexion. Il suffit de son visage ou de son empreinte digitale, sur un appareil que l’on a déjà sur soi. L’offre n’est faite qu’une fois : si la personne répond « pas maintenant » ou « jamais », nous la lui reproposons une semaine plus tard. Une clé d’accès conservée dans le trousseau iCloud ou dans le gestionnaire de mots de passe de Google fonctionne sur tous les appareils synchronisés, et un administrateur système peut supprimer celle de n’importe qui, pour un départ ou un appareil perdu, sans bloquer la personne. L’e-mail reste toujours possible.

« Continuer avec Google » est une case à cocher sous chacun des deux groupes, pour le personnel et pour les élèves, et ce n’est qu’une alternative : le champ du code ou du mot de passe reste en place. Cette méthode ne crée jamais de compte dans un établissement : une personne connectée avec Google qui n’y a pas de compte est invitée à s’adresser à son administrateur. La seule exception concerne les personnes qui apprennent seules, dans l’établissement public, et qui s’inscrivent aux leçons gratuites ou au concours : Google, Microsoft et Facebook leur sont toujours proposés, peuvent créer leur compte et apparaissent sur la page de connexion une fois l’adresse saisie. Facebook n’est jamais proposé au personnel ni aux élèves d’un établissement.

Un établissement qui a connecté Moodle, Canvas, Blackboard ou un autre ENT compatible LTI 1.3 dispose de la cinquième : un lien dans un cours de l’ENT ouvre le module ici, la personne déjà connectée. La première fois, une adresse déjà enregistrée ici se connecte une fois de la manière habituelle, puis elle est reconnue. Rien n’est remplacé : la même personne peut toujours se connecter ici directement.

Microsoft 365 et la connexion propre à votre établissement

« Continuer avec Microsoft » est une case à cocher à côté de celle de Google, pour le personnel et pour les élèves, désactivée tant que vous ne l’activez pas. Elle fonctionne avec un compte scolaire Microsoft 365 ou Entra ID et avec un compte Microsoft personnel. Un établissement qui se connecte avec Microsoft et ne veut pas de Google laisse simplement la case de Google décochée : les deux sont indépendantes. Comme Google, elle ne crée jamais de compte dans un établissement, et le champ du code ou du mot de passe reste en place.

La première fois qu’une personne s’en sert, nous retrouvons son compte grâce à l’adresse que Microsoft garantit, laquelle doit appartenir à un domaine vérifié par votre locataire Microsoft. Ensuite, le compte est lié à son identité Microsoft et non à son adresse : un changement de nom de votre côté ne déplace personne. Un compte lié à une identité Microsoft n’est jamais lié à une seconde.

Si votre établissement gère son propre annuaire (Entra ID, Shibboleth ou tout fournisseur de la fédération britannique), un administrateur peut configurer « Continuer avec votre établissement », qui utilise SAML 2.0. Dans l’onglet Authentification des paramètres, vous donnez à votre annuaire notre identifiant d’entité, notre adresse de réponse et notre adresse de métadonnées, vous collez en retour ses métadonnées (ou son identifiant d’entité, son adresse de connexion et son certificat de signature), vous enregistrez, puis vous l’activez. Il ne connecte que des personnes qui ont déjà un compte dans votre établissement, n’en crée jamais et ne renvoie rien.

Quand la connexion d’une personne à votre annuaire échoue, par exemple après son départ, son compte est signalé sur la page Utilisateurs comme une connexion d’annuaire en échec, pour qu’un administrateur y jette un œil. C’est un signal, qui ne bloque jamais personne, et la prochaine connexion réussie l’efface. Suspendez ou supprimez la personne partie depuis la page Utilisateurs : votre annuaire ne peut pas encore le faire ici à votre place.

Codes, mots de passe et ce qui les protège

Un code se compose de six lettres choisies dans un alphabet sans caractères ambigus, valable dix minutes et cinq essais. En demander un autre oblige à attendre une minute, et une adresse peut en recevoir au plus cinq en quinze minutes : une adresse mal saisie ne peut donc pas servir à inonder une boîte mail.

Un mot de passe doit comporter au moins huit caractères et est évalué selon la difficulté réelle à le deviner, et non selon des symboles imposés. Cinq tentatives erronées verrouillent le compte pendant quinze minutes. Dans un établissement qui utilise des mots de passe, chacun doit choisir le sien lors de la première connexion, avant toute autre chose, et tant qu’il n’en a pas, il se connecte par code.

« Mot de passe oublié » se trouve à l’adresse /forgot-password. La réponse est la même que l’adresse ait un compte ou non, et le lien envoyé par e-mail ne fonctionne qu’une fois et pendant une heure. Un nouveau compte reçoit un lien pour choisir un mot de passe, valable une semaine, car personne ne l’attend. Quand l’établissement utilise des codes, il n’y a pas de mot de passe à définir : cet e-mail indique alors de saisir l’adresse pour recevoir un code.

On peut changer son mot de passe et gérer ses clés d’accès dans l’onglet « Mot de passe et authentification » du profil. Le champ du mot de passe n’existe que pour un compte qui se connecte avec un mot de passe, et les clés d’accès ne sont pas proposées à quelqu’un qui n’a fait que réserver un appel. Un élève choisit aussi, dans son profil, si les notifications sur son travail lui sont envoyées par e-mail en plus d’être affichées.

Les sessions expirent

Une session ouverte se ferme après 30 minutes sans activité, et après quatre heures quoi que la personne fasse. Cela convient à un poste partagé en salle de classe, et travailler sur une leçon compte comme une activité.

Une clé d’accès n’y change rien pour les enseignants ni pour les élèves. Seul un administrateur système connecté avec une clé d’accès n’est jamais déconnecté, et cette exemption est vérifiée à chaque requête d’après son compte.

Questions fréquentes

Les élèves doivent-ils retenir un mot de passe ?

Non. Par défaut, ils n’en ont aucun à retenir.

Pouvons-nous utiliser les comptes Google de notre établissement ?

Oui, dès que vous activez cette option pour les utilisateurs concernés.

Combien de temps un code reçu par e-mail est-il valable ?

Dix minutes, et cinq essais. Ensuite, la personne en demande un nouveau.

Pouvons-nous utiliser Microsoft 365 ou l’annuaire de notre établissement ?

Oui. « Continuer avec Microsoft » est une case à cocher dans les paramètres, et un établissement qui a son propre annuaire peut aussi y configurer la connexion SAML. Aucune des deux ne crée de compte, et le champ du code ou du mot de passe reste en place.

Que faire si un élève n’a plus accès à sa messagerie ?

Un administrateur de l’établissement peut modifier l’adresse e-mail du compte.