Imposer la MFA à votre équipe

Vous pouvez exiger l’authentification multifacteur (MFA) pour tous les membres d’une équipe, ou pour chaque membre de votre organisation. Lorsque vous activez l’application, vous choisissez avec quelle rigueur elle s’applique : une bannière persistante qui rappelle aux membres de configurer la MFA, ou un verrouillage complet à la fin d’un délai de grâce de 14 jours.

Où imposer la MFA

L’application de la MFA est disponible à deux niveaux :

Niveau	Emplacement	Qui peut la modifier
Équipe	Team Settings > General, sous MFA enforcement	Les éditeurs de l’équipe et les administrateurs de l’organisation
Organisation	Organization Settings > Security, interrupteur Require MFA for all members	Les administrateurs de l’organisation

L’application au niveau de l’organisation prime sur l’interrupteur de l’équipe. Lorsque votre organisation impose la MFA, l’interrupteur de l’équipe est verrouillé sur activé et affiche l’infobulle « MFA is enforced at the organization level. Team-level settings cannot override this. »

Activer l’application de la MFA pour une équipe

1. Ouvrez les paramètres de l’équipe ou accédez à Team Settings > General
2. Sous MFA enforcement, activez l’interrupteur
3. Dans la boîte de dialogue Enable MFA enforcement?, choisissez Banner ou Lockout
4. Cliquez sur Enable

Toute personne autorisée à gérer l’équipe peut modifier ce paramètre, donc les éditeurs de l’équipe comme les administrateurs de l’organisation. Les lecteurs de l’équipe voient l’interrupteur mais ne peuvent pas le modifier.

Activer l’application de la MFA pour toute l’organisation

1. Ouvrez les paramètres de l’organisation ou accédez à Organization Settings > Security
2. Activez Require MFA for all members
3. Dans la boîte de dialogue Enable MFA Enforcement?, choisissez Persistent banner ou Full lockout
4. Cliquez sur Enable

Seuls les administrateurs de l’organisation voient l’onglet Security. Une fois l’application activée, la page affiche le mode actif sous forme de badge ainsi que le nombre de jours restants du délai de grâce.

Modes d’application

Les deux niveaux proposent les deux mêmes modes, nommés Banner / Lockout sur l’interrupteur de l’équipe et Persistent banner / Full lockout sur la page de l’organisation.

Bannière

Les membres sans MFA voient une bannière persistante en haut du tableau de bord les invitant à la configurer. Ils peuvent continuer à utiliser toutes les fonctionnalités tant que la bannière est affichée. Utilisez ce mode pour encourager l’adoption sans perturber le travail de votre équipe.

Verrouillage

Les membres sans MFA voient la même bannière pendant le délai de grâce. Une fois ce délai écoulé, ils sont verrouillés hors du tableau de bord jusqu’à ce qu’ils terminent la configuration de la MFA. Utilisez ce mode lorsque votre politique de sécurité exige la MFA et que vous avez besoin d’une échéance ferme.

Pour changer de mode, désactivez puis réactivez l’application et choisissez l’autre mode dans la boîte de dialogue.

Le délai de grâce de 14 jours

Chaque membre dispose de 14 jours pour configurer la MFA avant que le verrouillage s’applique. Le délai de grâce démarre à la plus tardive des deux dates suivantes : la date d’activation de l’application ou la date à laquelle le membre a rejoint l’équipe ou l’organisation. Un membre invité après l’activation de l’application bénéficie de ses propres 14 jours à partir du jour où il rejoint.

Pendant le délai de grâce, les membres voient toujours la bannière, quel que soit le mode choisi. À son terme, le mode configuré s’applique. Lorsqu’un membre est couvert par plusieurs applications (par exemple son organisation et une équipe), le mode le plus strict et l’échéance la plus proche l’emportent.

Ce qui se passe lorsque la MFA est imposée

• Les membres qui ont déjà activé la MFA peuvent se connecter normalement, quel que soit le mode
• Les membres sans MFA voient une bannière les invitant à configurer la MFA
• En mode verrouillage, les membres qui n’ont pas configuré la MFA à la fin de leur délai de grâce sont verrouillés jusqu’à ce qu’ils terminent la configuration
• La désactivation de l’application prend effet immédiatement et efface le délai de grâce

Toutes les modifications d’application sont enregistrées dans les journaux d’audit.

Méthodes de MFA prises en charge

Les deux méthodes de MFA fonctionnent avec l’application :

• Applications d’authentification - Authy, Google Authenticator, 1Password et autres applications TOTP
• Clés de sécurité matérielles - YubiKeys et autres appareils FIDO2

Les membres de l’équipe peuvent choisir l’une ou l’autre méthode lors de la configuration. Pour des instructions étape par étape, consultez Comment configurer la MFA.

Bonnes pratiques

• Prévenez votre équipe au préalable. Partagez le guide de configuration de la MFA avant d’activer l’application afin que les personnes puissent se configurer à leur propre rythme.
• Commencez par la bannière. Utilisez le mode bannière pendant quelques semaines, puis passez au verrouillage une fois que la plupart des membres ont terminé leur configuration.
• Recommandez des méthodes de secours. Le fait de disposer à la fois d’une application d’authentification et d’une clé matérielle évite les verrouillages si l’une des méthodes est indisponible.
• Vérifiez les journaux d’audit. Après avoir activé l’application, utilisez les journaux d’audit pour confirmer que les membres terminent leur configuration.