Connexion, sessions et déconnexion en toute sécurité

Module 1: Comment fonctionne votre messagerie · Temps de lecture : 9 minutes

Objectif pédagogique : À l'issue de cette leçon, vous savez avec quels identifiants vous vous connectez au webmail, ce qu'est une session et combien de temps elle dure, et comment travailler et vous déconnecter en toute sécurité sur votre propre ordinateur comme sur un ordinateur partagé.

Notions clés : nom d'utilisateur, mot de passe de la boîte mail, champ Serveur, session, cookie, Rester connecté, fenêtre privée, déconnexion, blocage d'adresse IP

Qui êtes-vous pour le webmail ?

Pour le webmail, vous êtes une boîte mail : une adresse e-mail avec son propre mot de passe et son propre espace de stockage. C'est pourquoi vous vous connectez avec deux éléments :

• votre adresse e-mail complète comme nom d'utilisateur, donc julie@example.com et pas seulement julie. Un serveur de messagerie héberge les boîtes mail de nombreux domaines. Ce n'est qu'avec l'adresse complète que le serveur sait de quelle boîte mail il s'agit ;
• le mot de passe de cette boîte mail.

C'est souvent ce second point qui pose problème. Le mot de passe de votre boîte mail est différent du mot de passe de votre compte client chez votre hébergeur ou de celui du panneau d'administration (chez WebOké : Mon WebOké et DirectAdmin). Il s'agit du mot de passe choisi lors de la création de l'adresse e-mail. Si quelqu'un d'autre a créé votre adresse, par exemple l'administrateur de votre entreprise, cette personne le connaît peut-être ou peut en définir un nouveau.

L'image montre la page de connexion avec les champs Nom d'utilisateur, Mot de passe et Serveur. Le mot de passe est sensible à la casse. Si la connexion échoue alors que vous êtes certain que le mot de passe est correct, vérifiez d'abord que la touche Verr. Maj n'est pas activée.

Le champ Serveur : généralement vide

Le webmail de WebOké doit savoir sur quel serveur se trouve votre boîte mail. Normalement, il le détermine lui-même à partir de votre domaine. C'est pourquoi presque tout le monde laisse le champ Serveur vide.

Vous ne le remplissez que si votre domaine ne pointe pas vers WebOké alors que votre boîte mail s'y trouve bien, par exemple pendant le transfert de votre domaine. Vous saisissez alors le nom du serveur de votre formule d'hébergement. Un serveur d'un autre prestataire ne fonctionne pas : ce webmail est réservé aux boîtes mail hébergées chez WebOké.

Un piège que peu de gens connaissent : connectez-vous toujours de la même manière. Le webmail enregistre vos paramètres, identités, signature et carnet d'adresses en fonction de la manière dont vous vous connectez. Si vous vous connectez une fois avec le champ vide et une autre fois avec un nom de serveur, vous voyez bien les mêmes e-mails (ils se trouvent sur le serveur de messagerie), mais votre signature et votre carnet d'adresses semblent soudain vides. Ils n'ont pas disparu : ils sont liés à l'autre manière de vous connecter.

Dans les autres webmails, ce champ n'existe généralement pas : le webmail y est lié à un seul service, comme chez Gmail ou Outlook.com.

Qu'est-ce qu'une session ?

Une fois connecté, vous ne voulez pas retaper votre mot de passe à chaque clic. C'est pourquoi le webmail crée une session : le serveur retient que vous êtes connecté, et votre navigateur reçoit un cookie contenant un long code aléatoire. À chaque clic, votre navigateur envoie ce code. C'est ainsi que le serveur vous reconnaît.

Cela a une conséquence importante : quiconque possède ce cookie est vous aux yeux du webmail. Il n'a pas besoin de votre mot de passe. C'est pourquoi il est si important qu'une session ouverte sur un ordinateur qui n'est pas le vôtre soit réellement fermée.

Une session prend fin :

• lorsque vous cliquez sur Déconnexion : le serveur supprime la session et le cookie ne vaut alors plus rien ;
• lorsque vous restez inactif un certain temps et que le webmail n'est plus ouvert : le serveur laisse la session expirer. Tant que l'onglet est ouvert, le webmail maintient lui-même la session active en vérifiant de temps en temps s'il y a de nouveaux e-mails ;
• lorsque vous fermez le navigateur, sauf si vous avez activé Rester connecté.

Rester connecté et Mémoriser le nom d'utilisateur

Sous le mot de passe se trouvent deux cases à cocher. L'image les montre, avec l'explication qui apparaît lorsque vous activez Rester connecté.

• Mémoriser le nom d'utilisateur : la prochaine fois, votre adresse e-mail est déjà renseignée. Pratique, et peu risqué.
• Rester connecté : vous restez connecté pendant 30 jours, même si vous fermez le navigateur et éteignez votre ordinateur. Le cookie est alors conservé.

Rester connecté est confortable sur votre propre ordinateur portable protégé par un verrouillage d'écran. Sur tout autre appareil, c'est un risque : toute personne qui ouvre ensuite ce navigateur accède à votre boîte mail. Elle peut lire vos e-mails, envoyer des messages en votre nom et, via « mot de passe oublié » sur d'autres services, se faire envoyer de nouveaux mots de passe. Votre boîte mail est la clé de beaucoup de vos autres comptes.

Sur un ordinateur partagé

Si vous travaillez sur l'ordinateur de quelqu'un d'autre, dans une bibliothèque ou sur le PC d'un client, procédez ainsi :

1. Ouvrez une fenêtre privée (dans Chrome, une fenêtre de navigation privée ; dans Firefox et Safari, une fenêtre privée). Une fenêtre privée démarre sans cookies et les supprime lorsque vous fermez toutes les fenêtres privées. Elle ne protège pas contre un logiciel espion installé sur l'ordinateur, mais bien contre les cookies oubliés.
2. Décochez les deux cases.
3. Ne laissez pas le navigateur enregistrer votre mot de passe. À la question « Enregistrer le mot de passe ? », choisissez Jamais ou Pas maintenant.
4. Cliquez sur Déconnexion lorsque vous avez terminé, puis fermez la fenêtre privée.

Après la déconnexion, le bouton Retour du navigateur peut parfois encore afficher une ancienne page. Elle provient de la mémoire du navigateur, pas du serveur. Si vous cliquez quelque part, vous arrivez sur la page de connexion, car la session n'existe plus.

Enregistrer votre mot de passe dans le navigateur ?

Sur votre propre appareil, protégé par un verrouillage d'écran, un mot de passe enregistré dans un gestionnaire de mots de passe (y compris celui de votre navigateur) ne pose aucun problème. Il aide même contre le phishing : un gestionnaire de mots de passe ne remplit le mot de passe que sur la véritable adresse du webmail, pas sur un faux site (leçon 2.4). Sur un appareil partagé ou un ordinateur sans compte utilisateur personnel, n'enregistrez jamais rien.

Trop de mots de passe erronés

Les serveurs de messagerie sont attaqués toute la journée par des programmes qui tentent de deviner des mots de passe. C'est pourquoi le pare-feu du serveur bloque une adresse IP qui essaie trop souvent un mot de passe erroné. Cela protège votre boîte mail, mais cela peut aussi vous toucher vous-même.

L'exemple classique : Hugo modifie le mot de passe de sa messagerie, mais oublie de le changer sur sa vieille tablette rangée dans un tiroir. Cette tablette tente toutes les quelques minutes de se connecter avec l'ancien mot de passe. Au bout d'un moment, le pare-feu bloque l'adresse IP du bureau. Le webmail ne fonctionne alors plus pour personne au bureau, et souvent le site web non plus, alors que tout fonctionne en 4G sur le téléphone. C'est ce dernier point qui donne l'indice : le problème vient de l'adresse de votre connexion, pas de votre boîte mail.

La solution comporte toujours deux étapes : configurez le bon mot de passe sur tous les appareils, puis faites lever le blocage.

En pratique : comment cela fonctionne dans le webmail

Vous ouvrez le webmail de WebOké sur webmail.weboke.fr. Pour vous déconnecter, utilisez le bouton Déconnexion en bas à gauche du menu. Les étapes figurent dans le manuel Roundcube, aux sections Se connecter au webmail, Le champ Serveur et Rester connecté et se déconnecter. Si la connexion échoue, consultez la section Impossible de se connecter. Avec l'authentification à deux facteurs (leçon 8.1), le webmail demande encore un code après votre mot de passe. Dans les autres webmails, comme Gmail ou Outlook.com, le fonctionnement est similaire : là aussi, la case s'appelle par exemple Rester connecté et les mêmes règles s'appliquent sur un ordinateur partagé.

Résumé

• Vous vous connectez avec votre adresse e-mail complète et le mot de passe de la boîte mail, pas avec le mot de passe de votre compte client ou du panneau d'administration.
• Laissez le champ Serveur vide, sauf si votre domaine est hébergé ailleurs, et connectez-vous toujours de la même manière.
• Une session est un cookie grâce auquel le serveur vous reconnaît ; quiconque possède le cookie est vous aux yeux du webmail.
• Rester connecté (30 jours) uniquement sur votre propre appareil ; sur un ordinateur partagé : fenêtre privée, cases décochées, déconnexion.
• Un appareil configuré avec un ancien mot de passe peut faire bloquer votre adresse IP.

Quiz

Exercice

Exercice D1.3 : S'exercer à se connecter et à se déconnecter. Ouvrez une fenêtre privée dans votre navigateur et rendez-vous sur le webmail. Regardez quelles cases se trouvent sous le mot de passe et ce qui apparaît lorsque vous activez Rester connecté (désactivez-la ensuite avant de vous connecter). Connectez-vous, ouvrez un message, puis cliquez sur Déconnexion. Appuyez ensuite sur le bouton Retour de votre navigateur et cliquez sur un élément de la page affichée. Répondez ensuite à ces questions : que s'est-il passé lorsque vous avez appuyé sur Retour après la déconnexion, puis cliqué, et pourquoi ? Sur quels appareils que vous utilisez activeriez-vous Rester connecté, et sur lesquels non ? Avez-vous quelque part un appareil sur lequel un ancien mot de passe de messagerie pourrait être enregistré ?

Pour aller plus loin

Lorsque des étapes dans le webmail sont décrites, elles s'appliquent au webmail de WebOké ; dans les autres webmails, le fonctionnement est similaire.

• Roundcube Webmail 1.2: Se connecter au webmail
• Roundcube Webmail 1.3: Le champ Serveur : quand faut-il le remplir ?
• Roundcube Webmail 1.4: Rester connecté et se déconnecter
• Roundcube Webmail 13.1: Impossible de se connecter
• Accéder au webmail et que faire si vous ne parvenez pas à vous connecter
• Modifier le mot de passe ou les limites d'une adresse e-mail
• Gestionnaire de mots de passe et passkeys : sécurisez vos connexions
• Formation gratuite Sécurité en ligne pour les entrepreneurs 5.2: Utiliser votre ordinateur portable et votre téléphone en toute sécurité