Quelqu’un qui se connecte à votre LMS une fois par an pour une remise à niveau réglementaire ne se souviendra jamais de son mot de passe. Il clique donc sur « mot de passe oublié », attend un e-mail, invente un nouveau mot de passe qu’il oubliera encore, ou abandonne et ouvre un ticket. La connexion sans mot de passe supprime le mot de passe lui-même. Ce guide explique comment elle fonctionne, où se situent réellement les compromis de sécurité, et quand il vaut la peine d’y ajouter l’authentification unique SAML.
Pourquoi les mots de passe échouent avec les apprenants occasionnels
Les mots de passe fonctionnent mieux pour des systèmes que l’on utilise tous les jours. Une plateforme de formation est souvent le contraire : on s’y connecte quand on est inscrit, quand un rappel arrive, ou quand un certificat est sur le point d’expirer.
Cela crée une série de problèmes prévisibles :
- Mots de passe oubliés. Avec des mois entre deux connexions, beaucoup d’apprenants commencent par une réinitialisation, souvent le jour où la formation est due.
- Réutilisation. Les personnes qui n’arrivent pas à retenir un mot de passe de plus en réutilisent un venu d’ailleurs. Si cet autre site est piraté, la même combinaison d’e-mail et de mot de passe peut être essayée sur votre LMS.
- Contournements. Des règles strictes de mot de passe conduisent à des mots de passe sur des post-it, ou à des variantes prévisibles, comme ajouter un chiffre à chaque fois.
- Charge de support. Chaque blocage et chaque réinitialisation est un ticket pour votre service d’assistance ou votre équipe de formation.
Il y a aussi un point plus discret. La plupart des systèmes à mot de passe permettent de le réinitialiser par e-mail, ce qui signifie que la boîte mail contrôle déjà le compte. Le mot de passe est la partie que les gens oublient, pas celle qui les protège. La connexion sans mot de passe ne fait que le rendre explicite.
Comment fonctionne la connexion sans mot de passe
Codes à usage unique par e-mail
- L’apprenant saisit son adresse e-mail.
- Le LMS génère un court code aléatoire et le lui envoie par e-mail.
- L’apprenant saisit le code, et le LMS le vérifie.
Un code bien conçu ne fonctionne qu’une fois, expire en quelques minutes et cesse de fonctionner après quelques erreurs. Il n’y a rien à retenir, rien de réutilisé depuis un autre site, et aucun mot de passe susceptible de fuiter.
Certains systèmes envoient un lien de connexion par e-mail au lieu d’un code. Les codes sont pratiques quand quelqu’un lit ses e-mails sur son téléphone mais se connecte depuis un ordinateur professionnel, car il lui suffit de recopier le code.
Comptes Google, Microsoft ou LinkedIn
Avec les boutons « se connecter avec », le LMS confie la connexion au fournisseur au moyen de protocoles standards comme OAuth 2.0 et OpenID Connect. Le fournisseur vérifie l’identité de la personne, y compris toute vérification en deux étapes activée sur son compte, puis indique au LMS qui elle est et quelle est son adresse e-mail vérifiée. Le LMS ne voit jamais son mot de passe.
Cela convient aux collaborateurs qui se connectent déjà tous les jours à Microsoft 365 ou à Google Workspace : un clic et ils sont dedans.
Les compromis de sécurité, en toute honnêteté
Le sans mot de passe n’a rien de magique. Il déplace la confiance ailleurs, et vous devez savoir où.
| Méthode | Ce qui protège le compte | Points de vigilance |
|---|---|---|
| Mot de passe | Quelque chose dont l’apprenant se souvient | Réutilisation, choix faibles, et de toute façon des réinitialisations par e-mail |
| Code par e-mail | L’accès à la boîte mail de l’apprenant | Une boîte mail compromise signifie un compte LMS compromis |
| Google, Microsoft ou LinkedIn | Le compte du fournisseur et sa vérification en deux étapes | Les comptes personnels échappent à votre contrôle |
| Authentification unique SAML | Votre fournisseur d’identité et ses politiques | L’effort de configuration, et la dépendance à la disponibilité du fournisseur |
Quelques points précis à bien comprendre :
- Le compte de messagerie est ce qui compte le plus. Quiconque peut lire les e-mails d’un apprenant peut se connecter à sa place. L’authentification multifacteur sur les boîtes mail professionnelles fait plus pour la sécurité du LMS que n’importe quelle règle de mot de passe.
- L’expiration et le nombre d’essais limité empêchent les devinettes. Un code à six chiffres compte environ un million de valeurs possibles : trois essais ne laissent donc à qui devine que quelques chances sur un million, et chaque code ne vit que quelques minutes. Des limites sur la fréquence des demandes de codes ralentissent encore les choses.
- Les codes peuvent quand même être hameçonnés. Une fausse page de connexion peut demander un code et l’utiliser aussitôt. Apprenez aux personnes à ne saisir les codes que sur l’adresse réelle de votre LMS, et que personne, support compris, ne leur en demandera jamais un.
- Les boîtes mail partagées affaiblissent vos dossiers. Si plusieurs personnes peuvent lire une même boîte, n’importe laquelle peut se connecter à la place de son titulaire. Chaque apprenant a besoin de sa propre adresse pour que les dossiers de formation aient un sens.
- Il faut retirer les partants partout. Un compte Google ou LinkedIn personnel ne disparaît pas quand quelqu’un s’en va. Suspendez-les ou archivez-les dans le LMS dans le cadre du processus de départ, et pas seulement dans votre annuaire.
- La remise des e-mails fait partie du système. Des codes qui atterrissent dans les courriers indésirables ou arrivent en retard provoquent des échecs de connexion. Demandez au service informatique de laisser passer les e-mails du LMS à travers vos filtres de messagerie.
Prévoir la récupération avant d’en avoir besoin
Avec la connexion sans mot de passe, les tickets « mot de passe oublié » disparaissent en grande partie. La question habituelle au support devient « je n’ai pas reçu mon code », et la réponse est presque toujours de vérifier le dossier des courriers indésirables, de confirmer l’adresse et de demander un nouveau code.
Les administrateurs demandent plus de réflexion. Si vous vous appuyez sur l’authentification unique et que votre fournisseur d’identité subit une panne, ou qu’un paramètre est modifié par erreur, il vous faut un moyen d’entrer qui ne dépende pas de ce qui est tombé en panne. Bonnes pratiques :
- Gardez au moins deux administrateurs, pour que la perte d’accès d’une seule personne ne verrouille pas l’organisation.
- Assurez-vous que les administrateurs disposent d’une voie de récupération qui ne dépend pas de votre fournisseur d’identité.
- Essayez cette voie de récupération une fois, au calme, avant d’en avoir besoin un mauvais jour.
- Si vous limitez les administrateurs aux plages d’adresses IP du bureau, vérifiez comment les administrateurs à distance pourront entrer.
Quand ajouter l’authentification unique SAML
Les codes par e-mail et la connexion via des comptes tiers conviennent à la plupart des apprenants. L’authentification unique SAML vaut la peine d’être ajoutée lorsque :
- Vos collaborateurs sont déjà gérés dans Microsoft Entra ID, Okta ou Google Workspace.
- Vous voulez que les politiques multifacteur et d’accès de votre fournisseur d’identité s’appliquent aussi à la formation.
- Vous voulez que les personnes perdent l’accès dès qu’elles sont désactivées dans votre annuaire.
- Les revues de sécurité ou les questionnaires de vos clients demandent l’authentification unique.
Elle ne suffit pas si de nombreux apprenants se trouvent en dehors de votre annuaire, comme des prestataires, des bénévoles, des clients ou des collaborateurs d’autres organisations. Dans ce cas, utilisez le SSO pour vos propres collaborateurs et gardez les codes par e-mail pour tous les autres. Nous détaillons la configuration dans l’authentification unique pour votre LMS.
Comment Acadenix procède
Acadenix n’utilise aucun mot de passe. Les personnes se connectent de l’une des manières suivantes :
- Codes par e-mail. Les personnes saisissent leur adresse e-mail et reçoivent un code à six chiffres. Il ne fonctionne qu’une fois, pendant cinq minutes, et cesse de fonctionner après trois erreurs. Si vous demandez des codes trop souvent, on vous demande d’attendre.
- Google, Microsoft et LinkedIn. Chaque méthode s’active ou se désactive dans Settings → Authentication (paramètres → authentification), et peut être limitée à certains domaines d’e-mail vérifiés. Avant l’enregistrement d’un changement, vous voyez combien de personnes et de sessions il concerne.
- Vos propres applications de connexion. Les organisations peuvent utiliser leur propre application Google, Microsoft ou LinkedIn. Avec votre propre application Microsoft, seuls les comptes de votre tenant peuvent l’utiliser.
- Authentification unique SAML avec Gold. Connectez Microsoft Entra ID, Okta ou Google Workspace. Les comptes apprenants peuvent être créés à la première connexion, mais uniquement pour les adresses des domaines d’e-mail de votre organisation. La première fois que quelqu’un se connecte via SAML, un code lui est envoyé par e-mail pour confirmer le lien, une seule fois par personne. Les autres méthodes que vous avez activées restent la solution de repli. Voir offres et tarifs.
Des garde-fous supplémentaires existent pour les administrateurs. Les administrateurs peuvent être limités à vos plages d’adresses IP sans que cela n’affecte les apprenants, et les sessions inactives se déconnectent. Si votre connexion habituelle cesse de fonctionner, un administrateur peut toujours entrer avec un code de récupération envoyé à son adresse e-mail, et cette voie ne peut pas être désactivée. Suspendre le compte de quelqu’un l’empêche de se connecter immédiatement, et Email History (historique des e-mails) montre quels e-mails ont été envoyés ou ont échoué au cours des 30 derniers jours, sans conserver le contenu des messages ni les codes. Vous trouverez plus de détails sur notre page Sécurité.
À retenir
- Pour les apprenants occasionnels, les mots de passe créent des réinitialisations, de la réutilisation et des tickets sans apporter beaucoup de protection.
- Les codes par e-mail et la connexion avec un compte professionnel suppriment le mot de passe ; la boîte mail ou le compte du fournisseur devient la clé, protégez-le donc par une authentification multifacteur.
- Des codes à usage unique, qui expirent vite et n’autorisent que peu d’essais, rendent toute tentative de devinette irréaliste, mais il faut quand même que les personnes sachent ne jamais en partager un.
- Prévoyez la récupération des comptes administrateurs et le processus de départ avant d’activer les méthodes.
- Ajoutez l’authentification unique SAML lorsque vos collaborateurs vivent dans un fournisseur d’identité centralisé, et gardez les codes par e-mail pour tous les autres.
Si les mots de passe sont la première source de tickets de support de votre formation, voyez comment la connexion sans mot de passe fonctionne avec vos propres collaborateurs. Demandez un essai et configurez les méthodes de connexion qui conviennent à votre organisation.
