Double authentification pour PrestaShop : guide du module

Two-Factor Authentication (2FA / TOTP). Two-Factor Authentication ajoute des codes à usage unique TOTP (Google Authenticator, Authy, Microsoft Authenticator) au back office et au compte client : inscription par QR code, secrets chiffrés au repos, codes de secours à usage unique et verrouillage contre la force brute. Le module se suffit à lui-même : aucun service extérieur, aucun appel réseau, aucune bibliothèque supplémentaire.

Two-Factor Authentication ajoute des codes à usage unique TOTP (Google Authenticator, Authy, Microsoft Authenticator) au back office et au compte client : inscription par QR code, secrets chiffrés au repos, codes de secours à usage unique et verrouillage contre la force brute. Le module se suffit à lui-même : aucun service extérieur, aucun appel réseau, aucune bibliothèque supplémentaire.

1. Installation

1. Dans le back office, allez dans Modules → Gestionnaire de modules → Téléverser un module et sélectionnez le ZIP du module.
2. Une fois l'installation terminée, cliquez sur Configurer pour ouvrir l'assistant.

Si, à la place de la confirmation, vous lisez « Upload failed », PrestaShop a peut-être désactivé le module sans vous le dire : vos réglages et vos données restent en place. Comment mettre à jour un module, et que faire en cas de « Upload failed ».

2. Configuration : étape par étape

L'écran Configurer présente un panneau de réglages suivi de deux listes d'inscrits. Fixez d'abord la règle, puis servez-vous des listes pour voir qui est protégé et pour débloquer quelqu'un.

Two-Factor Authentication - Réglages interrupteur général

Ce panneau définit où s'applique la double authentification et avec quelle sévérité. Enregistrez avec le bouton Enregistrer en bas.

• Activer la 2FA pour le back office : met en service le second facteur pour les employés qui se connectent à l'administration. Une fois activé, toute requête au back office est bloquée tant que le code n'est pas vérifié.
• Activer la 2FA pour le front office : met en service le second facteur pour les clients, dans leur espace compte.
• Imposer la 2FA à ces profils : les identifiants de profil séparés par des virgules (par exemple 1 pour SuperAdmin). Les employés de ces profils sont obligés de s'inscrire ; le formulaire rappelle l'identifiant et le nom de chaque profil.
• Fenêtre de tolérance (pas de 30 s) : le décalage d'horloge accepté, en pas de 30 secondes (0 à 5). Une valeur élevée pardonne davantage si l'horloge du téléphone dérive ; une valeur basse est plus stricte.
• Nombre de codes de secours : combien de codes de secours à usage unique sont produits à l'inscription (4 à 20, 8 par défaut). Chaque code sert une seule fois, quand l'application n'est pas disponible.
• Nom de l'émetteur (affiché dans l'application) : le libellé qui apparaît à côté du compte dans l'application d'authentification. Laissez vide pour utiliser le nom de la boutique.
• Supprimer les données à la désinstallation : si vous répondez Oui, tous les secrets d'inscription et les codes de secours sont supprimés quand le module est désinstallé.

Two-Factor Authentication : le panneau des réglages

Employés inscrits

La liste de tous les employés du back office qui ont mis en place la 2FA, avec identifiant, nom, adresse e-mail, état (Actif ou En attente) et date de dernière mise à jour.

• Réinitialiser la 2FA : efface le secret de cet employé et remet à zéro son compteur d'échecs, ce qui lui permet de s'inscrire à nouveau depuis le début (à utiliser quand quelqu'un perd son téléphone ou reste bloqué).
• Si personne ne s'est encore inscrit, le panneau le dit simplement.

Employés inscrits : voir l'état et redonner l'accès

Clients inscrits

La même liste pour les clients du front office qui ont activé la 2FA sur leur compte : identifiant, nom, adresse e-mail, état et dernière mise à jour.

• Réinitialiser la 2FA : efface l'inscription d'un client et son compteur d'échecs pour qu'il puisse recommencer, bien pratique quand un client ne parvient plus à se connecter et vous écrit.
• La liste reste vide tant qu'aucun client ne s'est inscrit.

Clients inscrits : voir l'état et redonner l'accès

3. Vérifier que tout fonctionne

• Activez la 2FA pour le back office, puis déconnectez-vous et reconnectez-vous : vous devez être invité à scanner un QR code et à saisir un code à 6 chiffres avant d'atteindre le tableau de bord.
• Une fois inscrit, vérifiez que votre compte apparaît dans la liste Employés inscrits avec l'état Actif.
• Déconnectez-vous, reconnectez-vous et saisissez, à la place du code de l'application, l'un de vos codes de secours : il doit vous laisser entrer une fois, puis être consommé.
• Depuis le back office, cliquez sur Réinitialiser la 2FA pour un compte de test et vérifiez qu'il disparaît de la liste et qu'on lui redemande de s'inscrire à la connexion suivante.

4. Questions fréquentes

Quelles applications d'authentification sont acceptées ?

Toute application TOTP standard (RFC 6238), Google Authenticator, Authy, Microsoft Authenticator et les autres fonctionnent toutes.

Et si un employé perd son téléphone ?

Il peut utiliser un code de secours, ou un administrateur peut cliquer sur Réinitialiser la 2FA dans la liste des inscrits pour lui permettre d'enregistrer un nouvel appareil.

Faut-il une connexion internet ou un service extérieur ?

Non. Les codes sont produits et vérifiés en local ; les secrets sont chiffrés au repos. Il n'y a aucun appel réseau et aucune dépendance extérieure.

Est-ce résistant à la force brute ?

Oui. Des codes erronés à répétition déclenchent un verrouillage anti force brute, et la fenêtre de tolérance se règle pour trouver l'équilibre entre sécurité et confort.