# Comment bloquer les bots et exiger la connexion en deux étapes ?

Source: https://help.didit.me/fr/authentication/bot-protection-mfa-and-sessions
Updated: 2026-11-12

Activez la protection contre les bots, exigez la MFA et réglez sessions et mots de passe dans Authentification, avec ce qui demande Growth.

Ouvrez **Authentification → Protection contre les bots** et activez **Autoriser uniquement les humains** pour protéger l'inscription, la connexion et la réinitialisation du mot de passe. Ouvrez **Authentification → Sécurité et sessions** pour choisir qui doit utiliser la MFA, la durée d'une session, vos règles de mot de passe et vos URL de redirection. La MFA, la durée de session personnalisée et le blocage d'utilisateurs demandent le forfait Growth ou supérieur.

![La page Protection contre les bots dans la console Didit, avec l'interrupteur Autoriser uniquement les humains, le Mode attaque et le mode de chaque protection](https://help.didit.me/screenshots/auth-bot-protection-light.webp)

*Protection contre les bots : choisissez Désactivé, Journaliser, Vérifier ou Bloquer pour chaque protection.*

## Protection contre les bots

La protection contre les bots est désactivée par défaut. Quand vous activez **Autoriser uniquement les humains**, six protections surveillent chaque inscription, connexion et réinitialisation du mot de passe :

| Protection | Ce qu'elle détecte |
|---|---|
| **Détection de bots** | Les scripts, les navigateurs sans interface et les pilotes de navigateur, à partir de signaux de l'appareil et du formulaire |
| **Bourrage d'identifiants** | Un même appareil ou réseau qui essaie de nombreux comptes, ou un mot de passe compromis connu |
| **Verrouillage anti-force brute** | Des tentatives échouées répétées sur un même compte |
| **E-mails jetables** | Les inscriptions, et les connexions par code e-mail ou lien magique, depuis des domaines d'e-mail jetables |
| **IP de VPN et de centres de données** | Les tentatives depuis des réseaux VPN, Tor ou de centres de données, selon l'analyse d'IP de Didit |
| **Voyage impossible** | Une connexion très éloignée de la précédente, trop rapide pour être la même personne |

Donnez à chaque protection l'un des quatre modes :

| Mode | Ce qu'il fait |
|---|---|
| **Désactivé** | La protection n'est pas vérifiée. |
| **Journaliser** | La tentative passe et Didit enregistre la correspondance. |
| **Vérifier** | La personne doit d'abord fournir une preuve supplémentaire. C'est un code par e-mail ou une clé d'accès. |
| **Bloquer** | La tentative est refusée. |

Les vraies personnes ne voient jamais de casse-tête. Une tentative bloquée ne dit jamais à l'appelant si un compte existe. Chaque décision apparaît dans **Authentification → Connexions**.

### Autres protections

- **Vérification des mots de passe compromis** : les nouveaux mots de passe et ceux réinitialisés sont comparés à des mots de passe compromis connus, et un mot de passe compromis est refusé. Le mot de passe lui-même n'est jamais envoyé nulle part.
- **Mode attaque** : pour les urgences. Cliquez sur **Activer le mode attaque** et choisissez sa durée : 1, 6 ou 24 heures. Tant qu'il est actif, chaque inscription et connexion est vérifiée par une clé d'accès, les nouvelles inscriptions depuis des réseaux de centres de données sont refusées, et les personnes sans clé d'accès ne peuvent pas terminer avant la fin du mode. Il s'arrête de lui-même, vos réglages enregistrés reprennent effet, et votre équipe est prévenue à la fin.
- **Limites de requêtes** : elles s'appliquent toujours, quels que soient vos réglages.
- **Verrouillage** : tant que vous n'avez pas enregistré les réglages de protection contre les bots, 5 mots de passe erronés verrouillent le compte pendant 15 minutes. Avec le verrouillage anti-force brute sur **Bloquer**, la personne doit réinitialiser son mot de passe. Vous pouvez aussi déverrouiller la personne vous-même (voir [utilisateurs, sessions et organisations](https://help.didit.me/fr/authentication/users-sessions-and-organizations)).

### Tester en Bac à sable

Les tests de navigateur automatisés comptent comme des bots. Exécutez-les dans une application Bac à sable avec **Détection de bots** sur **Désactivé** ou **Journaliser**.

## Listes d'autorisation et de blocage

Sur Growth et au-dessus, et dans chaque application Bac à sable, la **Liste de blocage** et la **Liste d'autorisation** de votre application dans **Listes** s'appliquent à chaque inscription, connexion et réinitialisation de mot de passe, que la protection contre les bots soit activée ou non. Ce sont les mêmes listes que celles de vos vérifications : une valeur que vous y bloquez l'est aussi à la connexion.

Sur Free, les listes d'une application Production ne s'appliquent qu'à la vérification d'identité.

| Liste | Ce qu'elle fait à la connexion |
|---|---|
| **Liste de blocage** | Une personne dont l'adresse e-mail, le numéro de téléphone, l'adresse IP (ou une plage qui la couvre), l'appareil ou l'utilisateur (son `vendor_data`) figure sur cette liste ne peut ni s'inscrire ni se connecter. La tentative est refusée et apparaît comme **Bloquée** dans **Authentification → Connexions**. |
| **Liste d'autorisation** | Une adresse IP (ou une plage) figurant sur cette liste ignore **Détection de bots**, **Bourrage d'identifiants** et **IP de VPN et de centres de données**. Une adresse e-mail figurant sur cette liste ignore **E-mails jetables**. Un appareil figurant sur cette liste ne change rien à la connexion. **Verrouillage anti-force brute**, **Voyage impossible**, le mode attaque, les limites de requêtes et la Liste de blocage s'appliquent toujours. |

- Une personne déjà connectée qui est ensuite ajoutée à la Liste de blocage est déconnectée en moins de cinq minutes.
- Une valeur présente sur les deux listes est bloquée.
- Une modification d'une liste s'applique en 30 secondes.
- Les listes personnalisées, comme High Risk Countries (pays à haut risque), ne s'appliquent pas à la connexion.
- Si les listes ne peuvent pas être vérifiées, la connexion se poursuit. Une connexion n'échoue jamais à cause de cette vérification.

## Sécurité et sessions

**Authentification → Sécurité et sessions** regroupe ces réglages :

| Réglage | Options | Par défaut |
|---|---|---|
| **Qui doit utiliser la MFA** | Tout le monde, Administrateurs de l'organisation, Facultative | Administrateurs de l'organisation |
| **Méthodes MFA** | La clé d'accès, l'application d'authentification et les codes de secours sont tous acceptés. Choisir lesquels n'est pas encore possible. | L'une d'elles |
| **Durée de la session** | 1 jour, 7 jours, 30 jours, 90 jours | 30 jours |
| **Fin après une période d'inactivité** | 30 minutes, 2 heures, 1 jour, 7 jours | 1 jour |
| **Longueur minimale du mot de passe** | 8, 10, 12 ou 14 | 10 |
| **Qui peut s'inscrire** | Tout le monde, Personnes invitées, Domaines autorisés (jusqu'à 100 domaines) | Tout le monde |

Autres réglages de la page :

- **Plusieurs appareils à la fois** : activé par défaut. Désactivez-le pour déconnecter une personne de ses autres sessions à chaque nouvelle connexion.
- **Déconnecter les autres appareils au changement de mot de passe** : activé par défaut. Il met fin à toutes les sessions après une réinitialisation du mot de passe.
- **Sous-adresses e-mail** : indique si une adresse avec un signe plus, comme `name+tag@example.com`, est acceptée. Désactivé par défaut.
- **Domaines de messagerie autorisés** : utilisés quand l'inscription est limitée aux domaines autorisés.
- **Listes d'autorisation et de blocage** : ouvre **Listes**, où vous gérez les listes de l'application. Là où votre forfait l'inclut, les deux listes s'appliquent à la connexion, comme le décrit la section ci-dessus.
- **URL de redirection** et **Origines autorisées** : l'endroit où les personnes reviennent après la connexion, et les sites autorisés à appeler Didit. Enregistrez vos adresses exactes. Les applications Production n'acceptent que `https://`.

Une session prend aussi fin quand votre équipe révoque ou bloque la personne, ou quand un jeton d'actualisation est réutilisé.

## Ce qui demande Growth

| Élément | Forfait |
|---|---|
| Connexion en deux étapes (MFA), durée de session personnalisée, blocage d'utilisateurs, listes d'autorisation et de blocage à la connexion | Growth et supérieurs |
| 30 jours de journaux de connexion | Scale et supérieurs |

Sur un forfait qui ne les inclut pas, **Sécurité et sessions** affiche « Les paramètres de sécurité demandent une mise à niveau » avec **Voir les offres**. Les sessions ont alors une durée fixe. Voir [tarifs et utilisateurs actifs](https://help.didit.me/fr/authentication/pricing-and-active-users).

Modifier les réglages demande un rôle qui peut modifier les applications : Développeur, Administrateur ou Propriétaire par défaut.

## Voir aussi

- [Voir les connexions et déconnecter ou bloquer un utilisateur](https://help.didit.me/fr/authentication/users-sessions-and-organizations)
- [Ce que coûte Authentification](https://help.didit.me/fr/authentication/pricing-and-active-users)
- [Protection contre les bots dans la documentation](https://docs.didit.me/authentication/bot-protection)
- [Vue d'ensemble d'Authentification dans la documentation](https://docs.didit.me/authentication/overview)