Sécurité du compte

Mot de passe, 2FA, sessions, codes de secours et audit.

Votre compte Nexte contient vos données clients, factures, communications et paramètres de paiement — c'est une cible de choix pour un attaquant. Activez toutes les mesures de sécurité disponibles (5 minutes au total) pour passer d'un niveau de risque « élevé » à « négligeable ».

Mot de passe

Paramètres → Sécurité → Mot de passe. Exigences : minimum 12 caractères, au moins 1 majuscule, 1 chiffre, 1 caractère spécial. Nexte vérifie automatiquement via HaveIBeenPwned si le mot de passe n'a pas fuité dans une brèche connue.

Utilisez un gestionnaire : 1Password, Bitwarden, Apple Keychain. N'essayez pas de mémoriser.
Un mot de passe unique : jamais partagé avec un autre service. Une fuite ailleurs ne compromet pas Nexte.
Rotation : changez tous les 6-12 mois minimum. Obligatoire après suspicion de compromission.
Ne jamais envoyer : par email, Slack, SMS. Utilisez l'invitation Nexte pour créer un nouveau compte.

Double authentification (2FA)

Paramètres → Sécurité → 2FA. Scannez le QR code avec Google Authenticator, Authy, 1Password ou Raycast Authenticator. À chaque connexion, un code à 6 chiffres sera demandé après votre mot de passe. Même si votre mot de passe fuite, l'attaquant ne peut pas se connecter sans votre téléphone.

TOTP (par app) : méthode recommandée. Fonctionne hors ligne, indépendant de votre opérateur.
SMS : disponible mais déconseillé (SIM swapping possible). Utilisez uniquement en backup.
Clé physique WebAuthn/FIDO2 (Agence) : YubiKey, Titan Key. Niveau de sécurité maximum pour les comptes à fort enjeu.

Codes de secours

Au moment de l'activation 2FA, Nexte génère 10 codes à usage unique. Téléchargez-les en PDF ou imprimez-les, et stockez-les dans un endroit sûr (hors de votre téléphone). Utilisés si vous perdez votre téléphone.

Sans codes de secours ET sans téléphone, la récupération d'accès prend 72h (vérification d'identité via support) et peut entraîner un gel temporaire de vos données.

Sessions actives

Paramètres → Sécurité → Sessions actives. Voir la liste des appareils connectés avec leur IP, leur navigateur, leur dernière activité et leur localisation approximative (basée sur l'IP). Déconnectez à distance n'importe quelle session en un clic.

Session anormale : IP inhabituelle, pays inattendu, navigateur jamais utilisé. Déconnectez immédiatement et changez votre mot de passe.
Durée de session : 30 jours par défaut. Personnalisable dans Paramètres (jusqu'à 1h pour environnements sensibles).
Auto-logout : après 7 jours d'inactivité. Paramétrable par admin Agence.
Device fingerprinting : Nexte détecte les changements majeurs (nouveau pays, nouveau navigateur) et demande une re-authentification.

Changer d'email de connexion

Paramètres → Sécurité → Email de connexion. Un code de confirmation à 6 chiffres est envoyé à la nouvelle adresse (valide 15 minutes). Une fois validé, l'ancien email est retiré immédiatement. Vos données restent liées au même compte.

Journal d'audit

Paramètres → Sécurité → Journal d'audit. Historique complet des actions sensibles : connexions (réussies et échouées), changements de mot de passe, 2FA activée/désactivée, exports de données, ajout/suppression de membres. Conservé 90 jours (Indépendant) ou 1 an (Agence). Exportable en CSV.