# Sécurité

> Mot de passe, double authentification, sessions, alertes.

L'icône **Bouclier** du rail. Quatre blocs, et rien d'autre : c'est une page où l'on vient
rarement, elle doit se lire en trente secondes.


<Frame caption="Quatre blocs, et rien d'autre">
  <img src="/images/espace-client/securite.webp" alt="Quatre blocs, et rien d'autre" />
</Frame>

## Mot de passe

L'ancien, le nouveau, et sa confirmation. Le changement **révoque toutes les autres
sessions** : si quelqu'un était entré, il sort.

## Double authentification

Trois étapes, et l'ordre compte.

<Steps>
  <Step title="Ton mot de passe">
    On le redemande avant d'activer quoi que ce soit.
  </Step>
  <Step title="Le QR code">
    Scanne-le avec ton application — Google Authenticator, 1Password, Aegis. Si tu ne peux
    pas scanner, la clé se saisit à la main, en choisissant le type « basé sur le temps ».
  </Step>
  <Step title="Un code, puis les codes de secours">
    Le code à six chiffres valide l'activation. **Dix codes de secours** s'affichent alors,
    une seule fois.
  </Step>
</Steps>

<Warning>
Tant que l'étape 3 n'est pas franchie, la double authentification **n'est pas active** :
ton mot de passe suffit encore. Et les codes de secours ne se réaffichent jamais — range-les
ailleurs que sur le téléphone qui porte l'application.
</Warning>

## Sessions

Chaque appareil connecté, avec son navigateur, son adresse et sa dernière activité. La
session courante est marquée. Le bouton **Déconnecter** ferme la session visée tout de
suite.

<Tip>
Une session que tu ne reconnais pas : déconnecte-la, **puis** change ton mot de passe.
Dans cet ordre — le changement de mot de passe révoque le reste de toute façon, mais la
déconnexion immédiate coupe plus vite.
</Tip>

## Alertes

Les courriels qu'on t'envoie quand quelque chose bouge sur ton compte : une connexion
depuis un nouvel appareil, un changement de mot de passe, un solde qui descend.