Exiger l'authentification à deux facteurs pour les utilisateurs de Nextcloud

Pour activer l'authentification à deux facteurs (2FA) dans Nextcloud, commencez par activer au moins un fournisseur 2FA, puis activez son application dans les paramètres d'administration → Sécurité ou utilisez la occ twofactorauth:enforcecommande appropriée. Un fournisseur est la méthode qui fournit la deuxième preuve d'identité, comme un code à usage unique généré par une application d'authentification. L'activation de l'authentification à deux facteurs rend la 2FA obligatoire pour le périmètre que vous avez défini ; la simple installation d'un fournisseur ne suffit pas. Ces étapes sont conformes au manuel d'administration de Nextcloud 35.

Tenez-vous au courant des changements en matière d'application de la loi

Nextcloud dissocie la disponibilité du fournisseur d'authentification de l'obligation d'utiliser la double authentification (2FA). Les administrateurs activent d'abord le fournisseur ; ensuite, l'utilisateur active une méthode sur son compte, ou bien l'administrateur impose la 2FA afin que les utilisateurs doivent finaliser la configuration. Le fournisseur TOTP intégré prend en charge les codes à durée limitée générés par une application d'authentification compatible. Dans Nextcloud 35, il est installé mais désactivé par défaut. Le fournisseur de codes de secours est toujours activé et fournit aux utilisateurs des codes de récupération à usage unique.

Avant d'activer une exigence pour un groupe important, déterminez si elle s'applique à tous les comptes ou seulement à un groupe pilote. Identifiez également les comptes d'administrateur de service, d'intégration et d'urgence. Une règle trop générale peut bloquer l'accès aux utilisateurs non inscrits ou ne pouvant pas accéder à leur facteur d'accès. Le guide officiel de Nextcloud décrit la sélection et l'exclusion des groupes ; l'appartenance à un groupe sélectionné prévaut si un utilisateur appartient également à un groupe exclu. Vérifiez l'appartenance à un groupe avant d'appliquer une règle.

Préparer un prestataire et un plan de rétablissement

1. Connectez-vous en tant qu'administrateur Nextcloud et ouvrez Applications . Activez le fournisseur d'authentification à deux facteurs TOTP si vous prévoyez d'utiliser des codes d'authentification. La disposition exacte du menu peut varier légèrement selon les versions de serveur et les thèmes pris en charge.
2. Assurez-vous que le fournisseur de codes de secours soit disponible. Demandez à un utilisateur pilote d'accéder à ses paramètres personnels, de configurer l'authentification à deux facteurs et de générer des codes de secours. Le manuel d'utilisation de Nextcloud recommande de stocker ces codes à usage unique dans un endroit sûr et séparément de l'appareil d'authentification.
3. Testez la connexion de cet utilisateur dans une session de navigateur distincte : déconnectez-vous, reconnectez-vous et vérifiez que l’invite d’authentification à deux facteurs accepte un code valide. Si vos utilisateurs utilisent des clients de bureau ou mobiles, examinez également leur processus de connexion. Nextcloud indique que les clients ne prenant pas en charge l’authentification à deux facteurs peuvent nécessiter des mots de passe spécifiques à l’appareil.

Ne désactivez ni ne désinstallez un fournisseur auquel les utilisateurs sont déjà inscrits sans avoir planifié la migration. Le manuel d'administration indique que Nextcloud conserve les associations avec les fournisseurs ; la suppression de l'application peut entraîner l'affichage d'un message d'erreur lors de la connexion. Si un fournisseur est définitivement supprimé, consultez la procédure de nettoyage documentée et sachez que cette action est irréversible.

Imposer l'authentification à deux facteurs dans l'interface d'administration

1. Ouvrir les paramètres d'administration → Sécurité .
2. Trouvez les paramètres de contrôle de l'authentification à deux facteurs. Choisissez si l'authentification à deux facteurs doit être appliquée à l'ensemble du système, sélectionnez les groupes qui doivent l'utiliser et ajoutez des exclusions uniquement lorsque votre politique l'exige.
3. Enregistrez ou appliquez le paramètre si l'interface propose une option d'enregistrement, puis testez un compte standard dans le périmètre imposé et un compte hors périmètre.

Si aucun groupe n'est sélectionné, Nextcloud impose l'authentification à deux facteurs (2FA) à tous les utilisateurs, sauf aux membres des groupes exclus. Si vous sélectionnez des groupes, la 2FA est imposée aux membres de ces groupes. Si un utilisateur appartient à la fois à un groupe sélectionné et à un groupe exclu, c'est le groupe sélectionné qui est prioritaire ; l'exigence de 2FA reste donc applicable. Il est donc important de vérifier les appartenances aux groupes imbriqués ou synchronisés avant d'activer l'application de ces règles.

Utilisez occ lorsque vous avez besoin d'une politique reproductible

occ`ls` est l'outil d'administration en ligne de commande de Nextcloud. Exécutez les commandes depuis le répertoire d'installation de Nextcloud en tant qu'utilisateur du serveur web ; l'utilisateur et le chemin peuvent varier selon la méthode d'installation. Les exemples ci-dessous utilisent le compte documenté de type Debian ou Ubuntu www-data.

# Enforce 2FA for every user
sudo -E -u www-data php occ twofactorauth:enforce --on

# Enforce for selected groups, with a service-account exclusion
sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

# Check a user's 2FA state
sudo -E -u www-data php occ twofactorauth:state alex

Remplacez les ID de groupe et l'ID utilisateur par des valeurs existantes sur votre serveur. La politique d'exemple impose l'authentification à deux facteurs (2FA) aux membres des groupes staffetadmins ; il n'est pas recommandé d'exclure systématiquement les comptes de service. N'excluez un compte qu'après avoir défini son mode d'authentification et les mesures de protection correspondantes. Nextcloud documente --offla désactivation de l'application de cette authentification, mais considérez cette option comme une solution de repli planifiée et non comme un substitut aux tests.

sudo -E -u www-data php occ twofactorauth:enforce --off

Consultez la documentation officielle des commandes utilisateur et groupe de Nextcloud 35 pour connaître la syntaxe actuelle. Les installations conteneurisées, Snap et autres peuvent nécessiter un préfixe de commande ou un contexte d'exécution différent ; suivez les instructions relatives à votre déploiement plutôt que de copier l'exemple à la lettre.

Vérifiez le déploiement et évitez les blocages.

Vérifiez l'état d'application de la politique pour les utilisateurs représentatifs occ twofactorauth:state <uid>. Testez ensuite une connexion via navigateur classique pour un utilisateur concerné et confirmez que Nextcloud exige une authentification à deux facteurs. Ne vérifiez un utilisateur exclu que si l'exception est intentionnelle. Protégez les codes de récupération et assurez-vous que les administrateurs connaissent la procédure de récupération documentée avant d'étendre la politique.

Si un utilisateur perd son authentification à deux facteurs, Nextcloud propose une commande d'administration spécifique au fournisseur permettant de désactiver cette fonctionnalité pour cet utilisateur, si le fournisseur la prend en charge sudo -E -u www-data php occ twofactorauth:disable <uid> <provider_id>. Il s'agit d'une mesure de récupération, et non d'un moyen d'assouplir la sécurité pour tous. Le manuel officiel décrit également une application distincte d'assistance à l'administration de l'authentification à deux facteurs, capable de générer un code de connexion unique dans les situations compatibles. Veuillez vérifier la méthode appropriée pour votre version installée et votre fournisseur avant de l'utiliser.

Pour plus de détails, consultez le guide de l'administrateur Nextcloud 35 relatif à l'authentification à deux facteurs et le guide de l'utilisateur Nextcloud 35 relatif à l'inscription et aux codes de sauvegarde . La disponibilité du fournisseur et les libellés exacts de l'interface peuvent varier selon votre version de Nextcloud et les applications activées ; vérifiez-les sur votre instance avant d'appliquer l'authentification à deux facteurs à tous les utilisateurs.