Vivier/aide/securite.fr.md

Pourquoi Vivier protège ses accès

Vivier contient les CV, les coordonnées et les échanges avec des centaines de candidats. Ces données sont personnelles. IT Club en est responsable devant les candidats et devant la loi (RGPD).

Un mot de passe seul ne suffit plus : il se devine, se vole par un faux email ou circule après la fuite d'un autre site. Vivier ajoute donc plusieurs protections. Chacune bloque une attaque précise.

Protection	Ce qu'elle empêche
Accès sur invitation	Qu'un inconnu se crée un compte
Double authentification	Qu'un mot de passe volé suffise à entrer
Contrôle des mots de passe	L'usage d'un mot de passe déjà publié après une fuite
Blocage des essais	Qu'un programme essaie des milliers de mots de passe
Sessions limitées	Qu'un ordinateur oublié reste ouvert des jours
Journal des connexions	Qu'une intrusion passe inaperçue
Droits du gestionnaire	Qu'un seul compte compromis permette d'exporter tout le vivier

Cette page vaut pour tous les comptes. Elle se lit aussi sans être connecté, depuis la page de connexion.

Obtenir un compte : l'invitation

Vivier n'a pas d'inscription libre.

1. Le gestionnaire de Vivier crée un lien d'invitation à votre nom.
2. Il vous l'envoie, par email ou par la messagerie interne.
3. Vous ouvrez le lien, choisissez votre identifiant et votre mot de passe.
4. Vous activez la double authentification. Votre compte est prêt.

Le lien sert une seule fois et expire après 48 heures. Lien expiré : demandez-en un nouveau.

Le gestionnaire peut aussi créer votre compte avec un mot de passe provisoire. Vous le changez alors à la première connexion. Personne d'autre que vous ne connaît ensuite votre mot de passe.

La double authentification

À chaque connexion, Vivier demande deux preuves :

1. votre mot de passe, ce que vous savez
2. un code à 6 chiffres affiché par votre téléphone, ce que vous avez.

Un voleur qui connaît votre mot de passe reste dehors sans votre téléphone.

L'activer

À la première connexion, Vivier vous guide en trois étapes.

1. Installez une application d'authentification : Google Authenticator, Microsoft Authenticator, ou le gestionnaire de mots de passe que vous utilisez déjà (Bitwarden, 1Password, Mots de passe d'Apple).
2. Dans l'application, ajoutez un compte et scannez le QR code affiché par Vivier. Sans appareil photo, saisissez la clé écrite sous le QR code.
3. Saisissez le code à 6 chiffres que l'application affiche.

Le code change toutes les 30 secondes. L'application fonctionne sans réseau.

Les codes de secours

Vivier vous remet ensuite dix codes de secours, de la forme abcd-efgh. Ils remplacent le code du téléphone si vous le perdez ou l'oubliez.

• Chaque code sert une seule fois.
• Ils ne s'affichent qu'une fois. Copiez-les dans votre gestionnaire de mots de passe, ou imprimez-les et rangez la feuille.
• Il en reste peu ? Mon compte, Générer de nouveaux codes de secours. Les anciens cessent de marcher.

Changer de téléphone

Mon compte, Configurer une autre application. Scannez le nouveau QR code avec le nouveau téléphone. L'ancien cesse de marcher, vos autres sessions se ferment et vous recevez dix nouveaux codes de secours.

Téléphone perdu

1. Connectez-vous avec un code de secours, dans le champ du code.
2. Configurez tout de suite une autre application depuis Mon compte.

Plus de code de secours : le gestionnaire remet votre double authentification à zéro, après avoir vérifié qu'il s'agit bien de vous. Vous l'activez de nouveau à la connexion suivante.

Le code est refusé

• Vérifiez que l'heure de votre téléphone est réglée automatiquement. Un écart de plus d'une minute fausse le code.
• Saisissez le code affiché maintenant, pas celui d'avant.
• Un code déjà utilisé ne sert pas deux fois : attendez le suivant.

Le mot de passe

• 12 caractères au moins. Une phrase de plusieurs mots se retient mieux qu'un mélange de signes : quatre chats sur le toit bleu.
• Vivier refuse un mot de passe connu dans des fuites de données. Pour le vérifier, il envoie au service Pwned Passwords les 5 premiers caractères de l'empreinte du mot de passe, jamais le mot de passe lui-même.
• Gardez un mot de passe propre à Vivier. Un mot de passe réutilisé tombe avec le site le moins protégé.
• Vivier ne garde qu'une empreinte du mot de passe (Argon2id). Personne, même le gestionnaire, ne peut le lire.

Pour le changer : Mon compte, Changer de mot de passe. Vos autres sessions se ferment.

Mot de passe oublié : le gestionnaire vous en donne un provisoire, que vous changez à la connexion.

Les blocages

Vivier compte les essais manqués.

• 5 échecs sur un identifiant, depuis une même adresse : blocage de 15 minutes. Puis 30 minutes au 10e échec, et 60 minutes au 15e.
• 20 échecs en une heure depuis une même adresse, tous identifiants confondus : l'adresse est bloquée.
• Un code de double authentification faux compte comme un échec.
• Les essais de mot de passe faits pour confirmer une action sensible comptent aussi.

Le blocage vise l'adresse d'où viennent les essais. Un inconnu ne peut donc pas bloquer votre compte depuis chez lui.

Vous êtes bloqué : attendez la durée affichée, ou demandez au gestionnaire de lever le blocage.

Les sessions

• Une session se ferme après 2 heures sans activité.
• Elle se ferme dans tous les cas 12 heures après la connexion.
• Changer de mot de passe ferme vos autres sessions.
• Mon compte, Déconnecter mes autres sessions ferme tout sauf la session en cours. Utile après un oubli sur un autre ordinateur ou la perte d'un téléphone.
• Un compte désactivé perd aussitôt toutes ses sessions.

Vivier ne fonctionne qu'en HTTPS : une adresse en http:// est redirigée, et le navigateur retient pendant un an qu'il doit passer par HTTPS.

Qui voit quoi

Tous les comptes lisent et modifient tous les profils. Certaines actions touchent tout le vivier d'un coup : elles sont réservées au gestionnaire.

Action	Tous les comptes	Gestionnaire
Kanban, profils, besoins, suivi, tableau de bord	Oui	Oui
Importer, modifier, commenter, archiver un profil	Oui	Oui
CV IT Club et Europass, export des données d'un candidat	Oui	Oui
Export CSV de la liste des profils	Non	Oui
Journal des actions, conservation, corbeille	Non	Oui
Supprimer un profil	Non	Oui
Comptes, invitations, journal des connexions	Non	Oui
Sauvegarde et archive des fichiers	Non	Oui, avec son mot de passe

Le gestionnaire retape son mot de passe pour confier la gestion à un autre compte, changer le mot de passe d'un autre, remettre à zéro une double authentification ou télécharger l'archive des fichiers. Une session laissée ouverte ne suffit donc pas pour ces actions.

Le journal des connexions

Vivier note chaque essai de connexion : date, compte, adresse IP, navigateur, résultat. Le journal se garde 12 mois.

• Vous voyez vos dernières connexions dans Mon compte. Une connexion que vous ne reconnaissez pas : changez votre mot de passe et prévenez le gestionnaire.
• Le gestionnaire voit toutes les connexions, menu Gestion, Connexions.
• Un compte gestionnaire qui se connecte depuis un réseau jamais vu déclenche un email d'alerte à IT Club.

Les données

• Les CV, rapports et photos sont rangés hors de la partie publique du site, sous un nom aléatoire. Ils ne s'ouvrent qu'après connexion.
• Les clés de double authentification sont chiffrées. La clé de chiffrement est gardée hors de la base de données.
• Aucune page de Vivier n'apparaît dans un moteur de recherche.
• Chaque action sur un profil est tracée avec son auteur.
• Avec l'analyse automatique, le CV est transmis à Anthropic, éditeur de Claude, pour l'analyse et la traduction. Aucun autre service externe ne reçoit de données des candidats.

Les bons réflexes

• Ne communiquez jamais votre mot de passe ni un code, même au gestionnaire. Il n'en a jamais besoin.
• Méfiez-vous d'un email qui vous demande de vous connecter. Tapez vous-même l'adresse de Vivier.
• Verrouillez votre écran quand vous quittez votre poste.
• Sur un ordinateur partagé, utilisez Déconnexion en partant.
• Téléchargez un CV seulement si vous en avez besoin, et supprimez la copie après usage.
• Envoyez un CV anonymisé quand le nom n'est pas nécessaire.

Signaler un problème

Prévenez le gestionnaire de Vivier sans attendre si :

• vous voyez une connexion que vous ne reconnaissez pas
• vous avez perdu votre téléphone ou un ordinateur où Vivier était ouvert
• vous avez saisi votre mot de passe sur une page douteuse
• vous recevez un code ou un lien d'invitation que vous n'avez pas demandé.

Le gestionnaire peut fermer vos sessions, changer votre mot de passe, remettre à zéro votre double authentification et consulter le journal des connexions.