Un mot de passe oublié, quelques essais de mémoire… et un message qui vous demande de patienter. Quand on veut simplement retrouver une information du CSE, cette pause peut sembler un peu contrariante. Pourtant, elle a son utilité : ce qui prend quelques secondes à une personne peut être répété à toute vitesse par un programme. Lui imposer un délai change la donne.
C’est le principe de la limitation de débit, ou rate limiting, comme on l’appelle souvent dans la tech. Voici comment cette protection fonctionne sur LiveCSE, et ce qu’elle apporte aux élus comme aux bénéficiaires.
Pourquoi ralentir les tentatives de connexion ?
Imaginez quelqu’un qui essaie un trousseau entier de clés sur une porte. S’il doit attendre entre ses essais, il lui faudra beaucoup plus de temps pour trouver la bonne. Pour un mot de passe, l’idée est la même : rendre les essais à répétition moins rapides, donc moins efficaces.
Sur une plateforme CSE, un compte donne accès à des informations et à des fonctions selon les droits de son titulaire. Ralentir les tentatives pour en deviner le mot de passe contribue à protéger les données des bénéficiaires et le travail des élus. C’est l’une des précautions qui complètent une bonne gestion des données des salariés.
La limitation de débit peut encadrer différentes actions, comme le nombre de demandes ou d’e-mails envoyés pendant une période. Pour les connexions LiveCSE, elle prend la forme de pauses progressives après plusieurs mots de passe incorrects.
Une petite pause, puis davantage si les erreurs continuent
Une faute de frappe arrive à tout le monde. Les premiers essais incorrects sur un compte existant ne déclenchent donc pas d’attente. Si les erreurs s’accumulent, les pauses s’allongent :
| Mots de passe incorrects successifs | Pause avant un nouvel essai |
|---|---|
| De 1 à 4 | Aucune |
| 5 | 30 secondes |
| 6 | 1 minute |
| 7 | 2 minutes |
| 8 et suivants | De 4 à 15 minutes, progressivement |
Après cinq erreurs, par exemple, il faut patienter trente secondes. Si l’essai suivant échoue encore une fois cette pause terminée, l’attente passe à une minute. Chaque durée correspond à la nouvelle pause, sans compter le temps déjà écoulé.
Inutile de recliquer pendant ce délai : le nouvel essai sera refusé avant même la vérification du mot de passe. Ces clics ne rallongent toutefois pas, à eux seuls, le temps d’attente.
Dès que le bon mot de passe est vérifié, son compteur repart à zéro. Il est aussi remis à zéro après une heure sans nouvelle erreur vérifiée. Chaque pause reste plafonnée à quinze minutes ; une nouvelle erreur peut ensuite en déclencher une autre.
L’objectif est de laisser une marge pour les erreurs du quotidien tout en freinant leur répétition. Ce principe de pauses croissantes figure parmi les moyens de protection décrits par l’OWASP (lien externe, nouvel onglet), un organisme qui publie des recommandations de sécurité pour les applications. Les durées présentées ici sont celles de LiveCSE à la date de cet article et peuvent évoluer.
Vos collègues peuvent continuer à se connecter
Dans une entreprise, plusieurs dizaines, voire plusieurs centaines de salariés peuvent partager la même adresse IP publique : c’est l’adresse par laquelle leur réseau est reconnu sur Internet. Bloquer cette adresse après quelques erreurs ferait aussi patienter des collègues qui ont saisi le bon mot de passe du premier coup.
LiveCSE suit donc les tentatives par compte et par CSE. Vos erreurs ne bloquent pas tout l’open space. À l’inverse, changer de réseau ou passer de l’ordinateur au téléphone ne remet pas le compteur de votre compte à zéro.
Le mot de passe n’est pas le seul à être protégé
Un code de double authentification peut lui aussi faire l’objet d’essais répétés. Lorsqu’une connexion par mot de passe demande un code généré par une application d’authentification, les codes incorrects sont comptés séparément, avec la même progression des pauses. Saisir le bon mot de passe ne remet donc pas à zéro le compteur des erreurs de code.
La même logique aide aussi à éviter qu’une boîte de réception soit inondée de messages :
- Pour réinitialiser un mot de passe, les demandes d’envoi sont comptées par adresse e-mail au sein du CSE. On freine ainsi les messages répétés vers une même boîte.
- Pour ajouter une adresse e-mail à un compte, les demandes de vérification sont comptées pour l’utilisateur qui les lance. Changer de destinataire à chaque demande ne permet donc pas de repartir à zéro.
Dans ces deux cas, le compteur suit les demandes d’envoi autorisées. Chaque action a son propre compteur : plusieurs erreurs de mot de passe ne consomment pas les demandes de réinitialisation.
Une protection qui travaille avec les autres
Sur LiveCSE, la sécurité repose sur plusieurs protections qui se complètent. La limitation de débit freine les essais répétés sur un compte. La double authentification par application ajoute une preuve supplémentaire lors d’une connexion par mot de passe. Les droits d’accès encadrent ensuite les informations et les fonctions accessibles à chacun.
Ces mesures interviennent à différentes étapes, de la connexion à l’utilisation de la plateforme. Notre page consacrée à la sécurité de LiveCSE présente cet ensemble et le rôle de chaque protection.
Et si l’écran vous demande de patienter ?
Le plus simple est de suivre l’heure indiquée à l’écran, puis de vérifier l’adresse utilisée et le mot de passe enregistré dans votre gestionnaire. Si votre mot de passe vous échappe, passez par la réinitialisation : vous éviterez d’enchaîner les suppositions. Demandez un message, puis laissez-lui le temps d’arriver ; ces envois sont eux aussi limités.
Ce délai ne signifie pas forcément que quelqu’un essaie d’accéder à votre compte. Quelques erreurs de saisie peuvent suffire à le déclencher. Si les blocages reviennent sans raison apparente, contactez l’assistance en précisant l’heure du message et ce que vous étiez en train de faire. Gardez votre mot de passe et vos codes pour vous : ils ne sont pas nécessaires pour expliquer la situation.
Questions fréquentes
Qu'est-ce que la limitation de débit ?
La limitation de débit, ou rate limiting, encadre le rythme auquel une action peut être répétée. Sur LiveCSE, plusieurs erreurs de connexion déclenchent une courte pause, qui s’allonge si les erreurs continuent.
Combien de temps faut-il attendre après plusieurs erreurs ?
La pause commence à 30 secondes après le cinquième mot de passe incorrect, puis augmente progressivement si les erreurs continuent, jusqu'à quinze minutes par pause. L'écran de connexion indique quand réessayer.
Mes collègues sont-ils bloqués si je me trompe plusieurs fois ?
Les compteurs sont liés au compte et au CSE, pas à l'adresse IP partagée par les ordinateurs de l'entreprise. Vos erreurs ne déclenchent donc pas une pause pour tous vos collègues connectés au même réseau.
Cette protection remplace-t-elle la double authentification ?
Non. Elle ralentit les essais répétés, tandis que la double authentification demande une preuve supplémentaire lors d'une connexion par mot de passe. Ces deux protections sont complémentaires.
