Connexion et sécurité · WearCheckout Docs

Pas de mots de passe. Vous vous connectez avec une clé d'accès ou un lien par e-mail, et vous ajoutez une deuxième étape : un code d'une application d'authentification, ou une clé de sécurité physique. Les propriétaires et les admins doivent l'activer. Tout se trouve dans Votre compte, Sécurité.

Se connecter

Avec une clé d'accès : l'empreinte, le visage ou le code PIN de votre appareil. C'est plus rapide qu'un lien, et cela résiste au phishing.
Avec un lien par e-mail : il ne sert qu'une fois, pendant 15 minutes. Il ouvre une page appelée « Terminer la connexion » avec un seul bouton, Se connecter, pour qu'un scanner d'e-mails qui ouvre les liens ne puisse pas vous connecter à votre place.

Clés d'accès

La carte Clés d'accès dans Votre compte, Sécurité liste les vôtres. Ajoutez-en une avec Ajouter une clé d'accès, et renommez ou retirez chacune là. Retirez votre dernière clé d'accès et vous vous connecterez par lien par e-mail.

La connexion en 2 étapes demande une deuxième étape après chaque connexion par lien e-mail. C'est gratuit. Utilisez l'une ou l'autre, ou les deux :

Une application d'authentification : le code à 6 chiffres de Google Authenticator, Microsoft Authenticator, 1Password, Authy ou toute autre application qui génère des codes temporels (TOTP). Le code change toutes les 30 secondes. Pas de SMS.
Une clé de sécurité, la plus sûre : une clé FIDO2 (WebAuthn) qui se connecte en USB, NFC ou Lightning. Elle résiste au phishing.

Qui en a besoin

Les propriétaires et les admins doivent l'activer. D'ici là, ils voient toutes les pages, mais tout ce que seul un propriétaire ou un admin peut modifier leur demande d'abord d'activer la connexion en 2 étapes.
Une clé d'accès seule ne suffit pas, car un lien par e-mail vous connecterait encore en une seule étape.
Les lecteurs peuvent aussi l'activer, et nous le recommandons.

L'activer

Sur la carte Connexion en 2 étapes, activez l'interrupteur et choisissez Application d'authentification ou Clé de sécurité :

Ajoutez votre application ou votre clé. Pour une application, scannez le QR code avec elle (ou saisissez la clé de configuration qu'elle affiche), puis entrez le code à 6 chiffres qu'elle génère. Pour une clé, insérez-la ou approchez-la de votre téléphone, et touchez-la quand elle clignote.
Nommez-la. Un nom permet de distinguer vos applications et vos clés.
Enregistrez vos codes de secours. Vous recevez 10 codes à usage unique, affichés seulement maintenant et masqués jusqu'à ce que vous appuyiez sur Afficher les codes (ils se masquent à nouveau si vous changez de fenêtre). Utilisez Tout copier ou Télécharger le .txt, cochez « Je les ai rangés en lieu sûr », puis Terminer.

Une fois activée

Vos applications et clés sont listées ensemble, chacune avec son nom, sa date d'ajout et sa dernière utilisation. Chacune a Renommer et Retirer.
Ajoutez une solution de secours. Une deuxième application ou clé est recommandée : gardez une clé en lieu sûr, loin de la première.
Nouveaux codes de récupération génère une nouvelle série de 10. Vos anciens codes cessent aussitôt de fonctionner.
Retirer votre dernière application ou clé désactive la connexion en 2 étapes, et vos codes de secours cessent de fonctionner. Les propriétaires et les admins ne le peuvent pas : ajoutez d'abord un autre moyen, ou quittez le rôle.
La désactiver vous demande d'abord de confirmer votre identité. Vos applications, clés et codes de secours sont retirés. Les propriétaires et les admins la gardent activée.

Se connecter avec la connexion en 2 étapes activée

Après le lien par e-mail, Se connecter sur « Terminer la connexion » mène à votre deuxième étape. Avec une application : saisissez le code à 6 chiffres qu'elle affiche, la connexion se fait au sixième chiffre. Avec une clé : choisissez Utiliser une clé de sécurité, insérez votre clé ou approchez-la de votre téléphone, et touchez-la.
Vous avez les deux ? Utiliser plutôt une clé de sécurité, ou Utiliser plutôt votre application d'authentification, permet de passer de l'une à l'autre.
Un code ne sert qu'une fois. S'il ne correspond pas, saisissez celui affiché maintenant : les codes changent toutes les 30 secondes.
Une clé d'accès compte pour les deux étapes. C'est déjà un appareil plus votre empreinte, votre visage ou votre code PIN.

Si vous perdez votre téléphone ou une clé

Utilisez votre application ou clé de secours, ou choisissez Utiliser plutôt un code de secours et saisissez l'un de vos 10 codes. Ils ressemblent à k7q2m-9xd4p, et chacun ne sert qu'une fois.
Retirez ensuite l'élément perdu et ajoutez-en un nouveau dans Votre compte, Sécurité.

Confirmer à nouveau votre identité

Si vous vous êtes connecté il y a plus de 10 minutes, ces actions vous demandent de confirmer à nouveau votre identité :

Connecter ou déconnecter un prestataire de paiement
Changer un prix
Passage en production
Exporter vos données
Supprimer votre compte
Ajouter un membre à l'équipe

Confirmez avec Utiliser ma clé d'accès. Pas de clé d'accès sur cet appareil ? Choisissez M'envoyer un lien par e-mail : il fonctionne 15 minutes, et Utiliser plutôt ma clé d'accès vous ramène en arrière.

E-mails de sécurité

L'e-mail Nouvelles connexions est toujours activé. Il vous signale chaque clé d'accès, application d'authentification ou clé de sécurité ajoutée ou retirée, et chaque connexion depuis un nouvel appareil.

Sessions

Une session prend fin après 12 heures d'inactivité, et dure 30 jours au plus.
La carte Sessions dans Votre compte, Sécurité liste les endroits où vous êtes connecté. Déconnectez-vous de l'une d'elles, ou de toutes les autres à la fois.

Studios et membres de l'équipe

Un studio regroupe vos applications, vos ventes, votre formule et votre équipe. Vous pouvez faire partie de plusieurs : le menu du compte en bas de la barre latérale passe de l'un à l'autre, et Nouveau studio en crée un autre. Chaque studio a sa propre formule.

Les équipes relèvent de la formule Studio : 3 personnes incluses, puis 5 $US par mois pour chaque personne en plus. Starter et Pro sont pour une personne. Chaque coéquipier se connecte avec son propre e-mail et sa clé d'accès : pas d'identifiants partagés. Le lien d'une invitation ne sert qu'une fois, pendant 7 jours. Retirer quelqu'un le déconnecte partout aussitôt ; ses actions passées restent dans l'historique.

Ce que nous protégeons pour vous

Les numéros de carte ne nous parviennent jamais. Les acheteurs paient sur la page de paiement du prestataire.
Les secrets des connexions de paiement sont chiffrés, et supprimés aussitôt quand vous déconnectez.
Nous n'enregistrons jamais l'ID d'appareil d'une montre ni un e-mail. Plus d'infos dans Vos données et celles de vos acheteurs.