Authentification et contrôle d'accès

Le système d'authentification de Cothon est construit sur Supabase Auth, offrant une sécurité de niveau entreprise avec plusieurs méthodes d'authentification, une gestion complète des sessions et des contrôles d'accès granulaires. Que vous soyez un professionnel de l'approvisionnement solo ou que vous gériez une équipe de coordonnateurs de soumissions, notre cadre d'authentification garantit que seuls les utilisateurs autorisés peuvent accéder à vos données de propositions sensibles et à votre intelligence concurrentielle.

Ce guide couvre tout, depuis l'authentification de base par mot de passe jusqu'à l'intégration SSO d'entreprise avancée, la configuration de l'authentification à deux facteurs et le contrôle d'accès basé sur les rôles pour les organisations.

Méthodes d'authentification

Cothon prend en charge plusieurs méthodes d'authentification pour s'adapter aux différentes exigences de sécurité et politiques organisationnelles.

Authentification par courriel et mot de passe

La méthode d'authentification par défaut utilise des adresses courriel et des mots de passe robustes sécurisés par hachage conforme aux normes de l'industrie.

Authentification par lien magique

Les liens magiques offrent une authentification sans mot de passe par courriel, idéale pour un accès rapide ou pour les utilisateurs qui préfèrent ne pas gérer de mots de passe.

Considérations de sécurité :

• Les liens magiques sont aussi sécurisés que votre compte courriel. Activez la 2FA sur votre fournisseur de courriel.
• Les liens expirent après 10 minutes ou la première utilisation, selon ce qui arrive en premier.
• Seul le lien magique le plus récent est valide ; demander un nouveau lien invalide les liens précédents.
• Si quelqu'un accède à votre courriel, il peut accéder à votre compte Cothon via les liens magiques. Utilisez l'authentification par mot de passe + 2FA pour une sécurité maximale.

Authentification sociale (OAuth)

Cothon prend en charge l'authentification OAuth avec Google et Microsoft pour une création de compte et une connexion plus rapides.

Authentification unique d'entreprise (SSO)

Les plans entreprise prennent en charge l'intégration SSO SAML 2.0 avec des fournisseurs d'identité d'entreprise comme Okta, Azure AD, OneLogin et Google Workspace.

Authentification par jeton API

Pour l'accès programmatique à l'API de Cothon, utilisez des jetons API au lieu des identifiants utilisateur.

Authentification à deux facteurs (2FA)

L'authentification à deux facteurs ajoute une deuxième couche de sécurité critique, nécessitant à la fois votre mot de passe et un code temporel pour vous connecter.

Applications d'authentification TOTP

L'authentification par mot de passe à usage unique basé sur le temps (TOTP) utilise des applications comme Authy, Google Authenticator ou 1Password.

2FA par SMS (Bêta)

L'authentification par SMS envoie un code de vérification à votre téléphone par message texte. Bien que plus pratique que les applications d'authentification, le SMS est moins sécurisé en raison des attaques par échange de carte SIM.

Clés de sécurité matérielles (Bientôt disponible)

Cothon prendra bientôt en charge les clés de sécurité matérielles FIDO2/WebAuthn (YubiKey, Google Titan) pour une authentification résistante au hameçonnage. Contactez enterprise@cothon.ca pour rejoindre le programme d'accès anticipé.

Gestion de la 2FA

Une fois la 2FA activée, vous pouvez la gérer depuis Paramètres → Sécurité → Authentification à deux facteurs.

Voir les codes de récupération Cliquez sur "Voir les codes de récupération" pour afficher vos codes de récupération sauvegardés. Cela nécessite d'entrer votre mot de passe pour des raisons de sécurité.

Si vous avez utilisé des codes de récupération, générez-en de nouveaux en cliquant sur "Générer de nouveaux codes de récupération". Cela invalide tous les codes de récupération précédents.

Désactiver la 2FA Pour désactiver l'authentification à deux facteurs (non recommandé), cliquez sur "Désactiver la 2FA". Cela nécessite :

1. Entrer votre mot de passe
2. Entrer un code 2FA actuel (ou un code de récupération)

Vous recevrez une confirmation par courriel que la 2FA a été désactivée.

Changer de méthode 2FA Pour passer de TOTP à SMS (ou vice versa) :

1. Désactivez la méthode 2FA actuelle
2. Activez la nouvelle méthode 2FA en suivant les étapes de configuration

Perdu l'accès à la 2FA ? Si vous avez perdu l'accès à votre application d'authentification et n'avez pas de codes de récupération :

1. Contactez support@cothon.ca depuis votre adresse courriel enregistrée
2. Fournissez une preuve d'identité (pièce d'identité gouvernementale correspondant au nom de votre compte)
3. Notre équipe de support vérifiera votre identité et désactivera la 2FA (3 à 5 jours ouvrables)
4. Vous recevrez un lien de réinitialisation de mot de passe sécurisé par courriel
5. Configurez à nouveau la 2FA immédiatement après avoir retrouvé l'accès

Gestion des sessions

Cothon utilise des JSON Web Tokens (JWT) pour la gestion des sessions, équilibrant sécurité et commodité utilisateur.

Comment fonctionnent les sessions

Lorsque vous vous connectez, Cothon émet deux jetons :

1. Jeton d'accès : Jeton de courte durée (15 minutes) inclus dans toutes les requêtes API. Contient votre ID utilisateur, adhésions organisationnelles et permissions.

2. Jeton de rafraîchissement : Jeton de longue durée (30 jours) utilisé pour obtenir de nouveaux jetons d'accès. Stocké de manière sécurisée dans des cookies httpOnly, inaccessibles à JavaScript.

Cette architecture signifie :

• Vous restez connecté jusqu'à 30 jours sans ressaisir les identifiants
• Les jetons d'accès expirent rapidement, limitant les dommages s'ils sont interceptés
• Les jetons de rafraîchissement sont sécurisés dans des cookies httpOnly, empêchant les attaques XSS

Sessions actives

Visualisez et gérez toutes les sessions actives dans Paramètres → Sécurité → Sessions actives.

Délai d'expiration et d'inactivité des sessions

Les sessions sont soumises à plusieurs politiques de délai d'expiration :

Se souvenir de moi : Cocher "Se souvenir de moi" lors de la connexion prolonge le jeton de rafraîchissement à 90 jours au lieu de 30 jours.

Politiques d'entreprise : Les plans entreprise peuvent configurer des politiques de délai de session personnalisées :

• Durées de vie des jetons d'accès plus courtes (5 à 60 minutes)
• Délais d'inactivité (15 minutes à 24 heures)
• Durée maximale absolue de session (1 à 90 jours)
• Forcer la réauthentification pour les opérations sensibles (même avec une session valide)

Contactez enterprise@cothon.ca pour configurer des politiques de session personnalisées.

Sessions simultanées

Cothon permet des sessions simultanées illimitées par défaut, vous pouvez donc être connecté sur :

• Votre ordinateur de bureau au bureau
• Votre ordinateur portable à la maison
• Votre tablette pour les présentations
• Votre téléphone pour un accès rapide

Limites d'entreprise : Les organisations peuvent limiter les sessions simultanées par utilisateur (par ex., maximum 3 sessions actives). Lorsque la limite est atteinte, la session la plus ancienne est automatiquement révoquée.

Stockage sécurisé des sessions

Cothon implémente plusieurs protections pour la sécurité des sessions :

Cookies httpOnly : Les jetons de rafraîchissement sont stockés dans des cookies httpOnly qui ne peuvent pas être accessibles par JavaScript, empêchant les attaques XSS de voler les jetons.

Flag Secure : Tous les cookies sont marqués Secure, garantissant qu'ils sont uniquement transmis via des connexions HTTPS.

Protection SameSite : Les cookies utilisent SameSite=Lax pour prévenir les attaques de falsification de requête inter-sites (CSRF).

Rotation des jetons : Chaque fois qu'un jeton d'accès est rafraîchi, le jeton de rafraîchissement est également pivoté, limitant la fenêtre de vulnérabilité si un jeton est compromis.

Empreinte digitale : Les sessions sont liées à des caractéristiques spécifiques d'appareil/navigateur. Les tentatives de réutilisation de jetons depuis différents appareils sont rejetées.

Politiques de mots de passe

Cothon applique des politiques de mots de passe robustes pour protéger les comptes contre les accès non autorisés.

Exigences de mots de passe

Tous les mots de passe doivent répondre à ces exigences :

Indicateur de force du mot de passe : Lors de la création ou du changement de mots de passe, Cothon affiche un indicateur de force en temps réel :

• Faible (rouge) : Ne répond pas aux exigences minimales
• Passable (orange) : Répond aux exigences mais pourrait être plus fort
• Bon (jaune) : Mot de passe robuste avec une bonne complexité
• Fort (vert) : Excellent mot de passe avec une entropie élevée

Visez des mots de passe "Forts" pour une sécurité maximale.

Changements de mot de passe

Changez votre mot de passe dans Paramètres → Sécurité → Changer le mot de passe.

Changements de mot de passe forcés : Dans certaines situations, vous pouvez être obligé de changer votre mot de passe :

• Votre mot de passe a été trouvé dans une violation de données
• Votre compte a montré des signes d'accès non autorisé
• Votre organisation applique la rotation périodique des mots de passe (fonctionnalité entreprise)

Réinitialisation du mot de passe

Si vous oubliez votre mot de passe, utilisez le flux de réinitialisation du mot de passe.

Contrôle d'accès basé sur les rôles (RBAC)

Les organisations Cothon utilisent le contrôle d'accès basé sur les rôles pour gérer les permissions des membres de l'équipe.

Rôles organisationnels

Chaque membre d'organisation a l'un des quatre rôles :

Matrice de permissions détaillée

Gestion des membres de l'équipe

Les Propriétaires et Admins d'organisation peuvent gérer les membres de l'équipe dans Paramètres → Organisation → Membres de l'équipe.

Permissions au niveau du projet (Bientôt disponible)

Les versions futures prendront en charge le contrôle d'accès au niveau du projet, vous permettant de :

• Créer des projets privés au sein d'une organisation
• Accorder à des membres spécifiques l'accès aux soumissions sensibles
• Définir des rôles spécifiques au projet (remplaçant les rôles à l'échelle de l'organisation)

Contactez enterprise@cothon.ca pour demander un accès anticipé.

Journaux d'accès et pistes d'audit

Les Admins et Propriétaires d'organisation peuvent examiner les journaux d'audit complets dans Paramètres → Sécurité → Journaux d'audit.

Ce qui est journalisé

Cothon enregistre tous les événements pertinents pour la sécurité :

Chaque entrée de journal inclut :

{
  "timestamp": "2026-03-30T14:23:45.123Z",
  "event_type": "bid_analysis.viewed",
  "actor": {
    "user_id": "usr_abc123",
    "email": "jane.smith@acmecorp.com",
    "name": "Jane Smith",
    "role": "Member"
  },
  "target": {
    "type": "bid_analysis",
    "id": "analysis_xyz789",
    "name": "Ville de Vancouver - AO de gestion de flotte"
  },
  "metadata": {
    "ip_address": "192.0.2.45",
    "user_agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)...",
    "location": "Vancouver, BC, Canada"
  },
  "result": "success"
}

Recherche dans les journaux d'audit

Utilisez des filtres pour trouver des événements spécifiques :

Détection d'anomalies

Cothon signale automatiquement les modèles suspects dans les journaux d'audit :

Les admins reçoivent des résumés de sécurité hebdomadaires mettant en évidence les événements signalés pour examen.

Meilleures pratiques de sécurité

Pour les utilisateurs individuels

Pour les organisations

Foire aux questions

Ressources supplémentaires

• Sécurité API - Intégration API sécurisée et authentification webhook
• Confidentialité des données - Conformité LPRPDE et pratiques de confidentialité
• Vue d'ensemble de la sécurité - Documentation complète de l'architecture de sécurité
• Configuration du compte - Guide de configuration initiale du compte

---

Besoin d'aide ?

• Questions de sécurité : security@cothon.ca
• Support technique : support@cothon.ca
• Configuration SSO entreprise : enterprise@cothon.ca

Dernière mise à jour : 30 mars 2026