Connexion, MFA et sessions

Inscription

L'inscription se fait depuis la page d'accueil https://conformvault.com :

1. Cliquez sur Commencer ou Inscription.
2. Renseignez votre adresse courriel et choisissez un mot de passe d'au moins 10 caractères (mélange recommandé : majuscules, minuscules, chiffres, symbole).
3. Renseignez le nom de votre organisation et son adresse.
4. Sélectionnez votre plan : Free (gratuit), Pro ou Business. Pour les plans payants, un formulaire Stripe sécurisé s'affiche.
5. Acceptez les conditions et finalisez.

Votre compte est créé instantanément avec :

• Un espace organisationnel dédié et isolé
• Un bucket S3 privé (région BHS Québec par défaut)
• Une paire de clés RSA-4096 propre à votre organisation
• Quelques dossiers par défaut (Documents, Archives)

Un courriel de bienvenue est envoyé à votre adresse.

Connexion

1. Sur https://conformvault.com, cliquez sur Connexion.
2. Saisissez votre courriel et votre mot de passe.
3. Si la MFA est activée, saisissez le code à 6 chiffres généré par votre application TOTP.
4. Vous arrivez sur le tableau de bord.

Connexion via SSO (Single Sign-On)

Si votre organisation a configuré l'intégration SSO (via Zitadel — auth.secuaas.com), un bouton Connexion via SSO apparaît sur la page de connexion. Le flux OIDC redirige vers le fournisseur d'identité de votre entreprise puis revient vers ConformVault.

Le SSO est compatible avec tout fournisseur OIDC (Google Workspace, Microsoft Entra, Okta, JumpCloud, etc.) configuré dans Zitadel par votre administrateur.

Mot de passe oublié

1. Sur la page de connexion, cliquez sur Mot de passe oublié ?.
2. Saisissez votre adresse courriel.
3. Vous recevez un courriel contenant un lien de réinitialisation valable 1 heure.
4. Cliquez sur le lien et choisissez un nouveau mot de passe.

Si vous ne recevez pas le courriel, vérifiez vos indésirables et que noreply@secuaas.com n'est pas bloqué.

Authentification multi-facteurs (MFA / TOTP)

L'activation de la MFA est fortement recommandée pour tous les comptes, et particulièrement pour les administrateurs.

Activer la MFA

1. Connectez-vous et accédez à Profil → Sécurité (ou cliquez sur l'icône bouclier).
2. Cliquez sur Activer la MFA.
3. Un QR code s'affiche. Scannez-le avec une application TOTP :
   • Google Authenticator
   • Authy
   • 1Password
   • Bitwarden
   • Microsoft Authenticator
4. Saisissez le code à 6 chiffres affiché par l'application pour confirmer.
5. Conservez précieusement les codes de secours affichés (10 codes à usage unique). Imprimez-les ou stockez-les dans un gestionnaire de mots de passe — ils sont la seule façon de récupérer votre compte si vous perdez votre téléphone.

Régénérer les codes de secours

Si vous avez consommé plusieurs codes ou égaré la liste, depuis Profil → Sécurité, cliquez sur Régénérer les codes de secours. Les anciens codes sont immédiatement invalidés.

Désactiver la MFA

Depuis Profil → Sécurité, cliquez sur Désactiver la MFA. Vous devrez confirmer votre mot de passe et un code TOTP en cours.

Désactiver la MFA réduit drastiquement la sécurité de votre compte. Ne le faites que si vous prévoyez d'en ré-activer une autre forme immédiatement.

Que faire si je perds mon téléphone

1. Utilisez l'un de vos codes de secours lors de la connexion (option Saisir un code de secours sur l'écran MFA).
2. Une fois connecté, désactivez la MFA puis ré-activez-la avec votre nouveau téléphone.

Si vous n'avez plus aucun code de secours, contactez le support ConformVault depuis l'adresse courriel rattachée au compte. Une vérification d'identité manuelle est alors requise.

Sessions actives et appareils connectés

ConformVault garde une trace des appareils depuis lesquels vous vous connectez. Depuis Appareils dans le menu :

• Liste : nom de l'appareil, type (Web Chrome, Web Firefox, macOS, Windows), dernière activité, IP.
• Activité : cliquez sur un appareil pour voir le journal détaillé de ses connexions et actions.
• Révoquer : un bouton permet de déconnecter un appareil non reconnu. Sa session est invalidée immédiatement (le token JWT est rejeté à la prochaine requête).

Si vous voyez un appareil que vous ne reconnaissez pas, révoquez-le immédiatement et changez votre mot de passe. Activez la MFA si ce n'est pas déjà fait.

Politique de mot de passe

Cycle de vie de la session

Le refresh est invisible pour l'utilisateur — l'interface renouvelle automatiquement le token en arrière-plan.

Politiques côté organisation

Votre administrateur peut imposer des règles à l'échelle de l'organisation :

• MFA obligatoire : tous les utilisateurs doivent activer la MFA
• Restriction d'IP (sandbox / prod API)
• Politique de mots de passe renforcée (à venir)

Si la MFA est exigée par votre organisation, vous serez forcé de la configurer à votre prochaine connexion.