Combien de temps restez-vous connecté

Par défaut, une heure d’inactivité. La session se prolonge toute seule tant que vous vous servez de la plateforme, et se ferme une heure après votre dernière action.

Concrètement, une journée de travail normale ne provoque aucune reconnexion. Un onglet laissé ouvert pendant une réunion, si.

Ce qui compte comme une activité Un clic, une frappe au clavier, un défilement. Les échanges que la page fait toute seule en arrière-plan, comme la relève du compteur de notifications toutes les minutes, ne prolongent rien. C’est ce qui donne un sens au délai : sinon un onglet oublié resterait connecté indéfiniment.

Cinq minutes avant la fermeture, une fenêtre vous prévient et propose de rester connecté. Tant qu’elle est affichée, la session tient : vous ne perdez pas le formulaire que vous étiez en train de remplir.

Rester connecté plus longtemps

La case Rester connecté sur cet appareil, sur la page de connexion, ouvre une session de sept jours sans délai d’inactivité.

Elle est faite pour votre poste de travail, pas pour un ordinateur partagé ni pour un poste en libre accès. Sur une machine que vous ne contrôlez pas, laissez-la décochée et fermez votre session en partant.

Cette case est refusée automatiquement si vous appartenez à une organisation qui impose la double authentification. Une règle de sécurité posée sur une organisation ne doit pas pouvoir être contournée par une session longue ouverte depuis une autre.

Ce qui ferme une session

  • La déconnexion. Elle ne se contente pas d’effacer un cookie : la session est supprimée de nos serveurs, et l’identifiant qu’elle utilisait ne vaut plus rien, même s’il est réutilisé.
  • Le changement de mot de passe. Vous gardez votre place, mais votre session repart sur un nouvel identifiant : celui qui circulait avant le changement cesse de fonctionner.
  • L’activation ou la désactivation de la double authentification, qui ferme toutes vos autres sessions, ouvertes sous l’ancien niveau de sécurité.
  • Le retrait d’un membre de l’organisation, qui ferme les siennes.

Gérer les accès de votre équipe

Ces points concernent surtout les personnes qui administrent l’organisation.

Le retrait d’un membre est immédiat. Ses sessions en cours sont fermées, il n’attend pas l’expiration d’un délai pour perdre l’accès. Le retrait d’un accès partiel l’est tout autant : les droits ne sont jamais mémorisés dans la session, ils sont relus à chaque requête, donc un changement de rôle prend effet à l’action suivante et non à la prochaine connexion.

Imposer la double authentification à toute l’organisation se règle depuis l’écran Compte, carte « Imposer la double authentification ». La conséquence côté sessions est décrite plus haut : les sessions de sept jours deviennent indisponibles pour les membres concernés.

Le journal d’activité conserve les actions sensibles, horodatées et attribuées à leur auteur : activation d’un second facteur, changement de politique de sécurité, arrivée et départ des membres. C’est là qu’il faut regarder pour reconstituer qui a fait quoi.

Les intégrations ne dépendent pas de votre session. Une clé API ou une connexion à un fournisseur d’envoi continue de fonctionner quand votre session se ferme : ce sont des accès distincts, avec leur propre cycle de vie, révocables séparément depuis le tableau de bord.

Comment la session est protégée

Votre navigateur ne conserve qu’un identifiant aléatoire. Rien de ce qui décrit votre session, ni votre identité, ni vos droits, ni votre organisation, ne circule ni ne se lit côté navigateur : tout reste sur nos serveurs et disparaît avec la session.

Le cookie qui porte cet identifiant est marqué httpOnly, Secure et SameSite=Lax. En clair, il est inaccessible au JavaScript de la page, il ne voyage que sur une connexion chiffrée, et il n’est pas transmis lors d’une requête déclenchée depuis un autre site.