Prise en main

Créer un compte

Sur app.conformitly.fr/register, « Créer un compte » demande : prénom, nom, nom de l’organisation, e-mail professionnel et mot de passe (avec confirmation).

Le mot de passe doit comporter au moins 12 caractères, dont une majuscule, une minuscule, un chiffre et un caractère spécial. Une adresse e-mail ne peut servir qu’à un seul compte sur toute la plateforme.

L’inscription crée :

• votre organisation, sur l’offre gratuite ;
• une première entité, le siège, au nom de l’organisation ;
• votre compte, avec le rôle Administrateur sur ce siège.

Vous êtes connecté immédiatement et dirigé vers le parcours d’accueil. Aucun e-mail de confirmation n’est envoyé.

Se connecter

« Connexion » demande l’e-mail et le mot de passe.

• Après 5 échecs (mot de passe ou code de double authentification erronés, y compris un mot de passe actuel erroné en changeant de mot de passe depuis votre profil), le compte est verrouillé 15 minutes ; pendant ce délai, même le bon mot de passe est refusé.
• Au-delà de 5 tentatives par minute depuis la même adresse (mot de passe et code de double authentification confondus), la plateforme demande de patienter une minute.
• Si votre organisation restreint l’accès à certaines adresses IP, une connexion depuis une autre adresse est refusée avec un message explicite.

Changer un mot de passe expiré ou devenu non conforme

Votre organisation peut faire expirer les mots de passe ou exiger une longueur plus grande que les 12 caractères de la plateforme (voir Administration). Si votre mot de passe a expiré, ou s’il ne respecte plus la politique de votre organisation, la connexion se déroule normalement (mot de passe, puis code de double authentification si vous l’avez activée), puis l’écran « Changez votre mot de passe » en indique la raison :

1. Saisissez à nouveau votre mot de passe actuel.
2. Choisissez le nouveau mot de passe, en suivant la règle affichée sous le champ (longueur minimale de votre organisation et, si elle l’impose, différence avec vos derniers mots de passe, l’actuel compris), puis confirmez-le.
3. Cliquez sur « Changer et se connecter » : vous accédez à l’application, et vos autres sessions sont fermées.

L’écran reste valable 10 minutes. Un mot de passe actuel erroné compte comme un échec de connexion : au bout de 5 échecs, l’écran n’est plus utilisable et le compte est verrouillé 15 minutes, comme après 5 mots de passe erronés à la connexion. Si vous quittez l’écran, il vous est redemandé à la connexion suivante.

À partir de 14 jours avant l’expiration, un bandeau en haut de l’application indique la date et mène au profil pour changer de mot de passe à l’avance. Si votre mot de passe expire pendant qu’une session est ouverte, la session n’est plus renouvelée : la page de connexion l’explique, et la connexion suivante demande le changement.

Mot de passe oublié

1. Sur la page « Connexion », cliquez sur « Mot de passe oublié ? », saisissez l’adresse e-mail de votre compte puis cliquez sur « Envoyer le lien ».
2. La page confirme la demande. Le message est le même que l’adresse corresponde ou non à un compte : la plateforme ne révèle pas quelles adresses sont inscrites. Si votre compte est actif, vous recevez dans les minutes qui suivent un e-mail « Réinitialisation de votre mot de passe Conformitly » ; pensez à vérifier vos courriers indésirables.
3. Cliquez sur « Choisir un nouveau mot de passe » dans l’e-mail. Le lien est valable 30 minutes et ne sert qu’une fois ; s’il a expiré ou déjà servi, la page propose d’en demander un nouveau. Si vous avez demandé plusieurs liens, chacun fonctionne jusqu’à ce que l’un d’eux serve : la réinitialisation rend tous les autres caducs.
4. Saisissez et confirmez le nouveau mot de passe (même règle qu’à l’inscription : au moins 12 caractères, avec une majuscule, une minuscule, un chiffre et un caractère spécial ; la politique de votre organisation peut exiger davantage, ou interdire de reprendre un mot de passe récent, auquel cas le refus l’indique), puis cliquez sur « Changer le mot de passe ». Vous revenez sur la page « Connexion », qui confirme la réinitialisation.

La réinitialisation ferme toutes vos sessions ouvertes, sur tous les navigateurs, et lève le verrouillage du compte s’il était verrouillé après trop d’échecs. La double authentification reste activée : la connexion suivante demande toujours le code. Un compte désactivé par un administrateur ne reçoit pas de lien.

Les demandes sont limitées à 3 par minute depuis la même adresse. Un administrateur ne peut pas réinitialiser le mot de passe d’un autre utilisateur : chacun utilise ce parcours.

Durée de la session

Une session, partagée par tous les onglets du même navigateur, se termine selon la politique de votre organisation (voir Administration), par défaut :

• après 2 heures sans activité : vos clics, frappes et défilements dans l’application comptent, mais pas un onglet laissé ouvert. Deux minutes avant, la fenêtre « Votre session va expirer » affiche un compte à rebours ; cliquez sur « Rester connecté » (ou reprenez simplement votre travail) pour continuer ;
• au bout de 8 heures, quelle que soit l’activité. Cinq minutes avant, la fenêtre « Votre session se termine bientôt » indique l’heure de fin : enregistrez votre travail.

Une fois la session terminée, la page de connexion en donne la raison. Elle se termine aussi si votre mot de passe expire, si vous le changez ou le réinitialisez ailleurs, ou si vous la fermez depuis un autre appareil. Pour fermer la session en cours, utilisez « Deconnexion » dans le menu du compte : elle prend effet immédiatement, dans tous les onglets. Les autres sessions se révoquent depuis votre profil.

Votre profil

La page Profil se trouve à l’adresse app.conformitly.fr/profile (le lien « Profil » du menu du compte n’est pas encore actif). Elle permet de :

• modifier votre prénom et votre nom (l’e-mail n’est pas modifiable) ;
• choisir votre fuseau horaire et votre langue préférée (Français ou English) : ces deux réglages sont enregistrés mais ne modifient pas encore l’application, qui reste en français ;
• changer votre mot de passe (mot de passe actuel, nouveau, confirmation). Le nouveau mot de passe suit la politique de votre organisation, rappelée sous le champ : au moins 12 caractères (davantage si l’organisation l’exige), avec une majuscule, une minuscule, un chiffre et un caractère spécial, et, si l’historique est activé, différent de vos derniers mots de passe, l’actuel compris. Le changement ferme vos autres sessions ; celle d’où vous le faites reste ouverte. En cas d’oubli, voir « Mot de passe oublié » plus haut ;
• gérer la double authentification ;
• consulter les sessions actives (navigateur, adresse IP, dernière activité, heure à laquelle chacune se termine, sans activité ou au plus tard) et révoquer les autres sessions : la session révoquée est fermée immédiatement.

Les préférences de notification sont à l’adresse app.conformitly.fr/profile/notifications (voir Rapports et notifications).

Double authentification

Elle s’active depuis le profil, carte « Authentification à deux facteurs » :

1. Cliquez sur « Activer le 2FA ».
2. Scannez le QR code avec une application d’authentification (TOTP, codes à 6 chiffres renouvelés toutes les 30 secondes), ou saisissez la clé secrète. Le QR code est produit par Conformitly lui-même : la clé n’est transmise à aucun service extérieur.
3. Notez les 10 codes de secours affichés : ils ne seront plus montrés ensuite. Chacun ne sert qu’une fois.
4. Saisissez le code à 6 chiffres, puis cliquez sur « Confirmer l’activation ».

À la connexion suivante, après le mot de passe, l’écran « Vérification en deux étapes » demande le code de l’application ou un code de secours. Le délai pour le saisir est de 5 minutes.

La clé secrète est conservée chiffrée par Conformitly.

Pour désactiver la double authentification, saisissez votre mot de passe, puis cliquez sur « Désactiver le 2FA ». Pour obtenir de nouveaux codes de secours, désactivez-la puis réactivez-la.

La double authentification est un choix de chaque utilisateur : le réglage « Authentification à deux facteurs » des paramètres de sécurité de l’organisation est enregistré mais n’est pas encore appliqué.

Renouvellement obligatoire de la clé

Jusqu’à la version qui a corrigé ce point, l’image du QR code d’activation était produite par un service externe (api.qrserver.com), à qui la clé secrète était transmise. Par précaution, toute double authentification activée avant cette correction doit être renouvelée, une seule fois, à la connexion suivante :

1. Connectez-vous comme d’habitude : mot de passe, puis code de votre application (ou un code de secours).
2. L’écran « Renouvellement de la double authentification » affiche un nouveau QR code et la nouvelle clé secrète. Scannez-le avec votre application d’authentification ; remplacez l’ancienne entrée Conformitly plutôt que d’en garder deux.
3. Saisissez le code à 6 chiffres affiché pour la nouvelle entrée, puis cliquez sur « Confirmer la nouvelle clé ».

Vous n’accédez à l’application qu’après cette confirmation. L’ancienne clé reste valable jusque-là, puis cesse de fonctionner ; vos codes de secours ne changent pas. Si vous quittez l’écran, l’étape vous est redemandée à la connexion suivante ; une session déjà ouverte est fermée à son prochain renouvellement. Le renouvellement est inscrit au journal d’audit. Les utilisateurs sans double authentification ne sont pas concernés. Désactiver puis réactiver la double authentification depuis le profil produit aussi une nouvelle clé, qui n’a pas à être renouvelée.

Le même écran apparaît si la clé enregistrée ne peut plus être relue par la plateforme : connectez-vous alors avec un code de secours, puis scannez la nouvelle clé.

Le parcours d’accueil

À la première connexion après l’inscription, un parcours en six étapes configure l’organisation. Les utilisateurs invités ne le voient pas.

1. Organisation : nom, pays, secteur d’activité (secteurs des annexes I et II de NIS2, ou « Autre »), effectif, chiffre d’affaires, site web, SIREN.
2. Entités : le siège existe déjà ; vous pouvez ajouter des filiales, succursales ou divisions (nom, type, pays). Retirer une entité de la liste puis cliquer sur « Suivant » la supprime ; c’est refusé, avec un message, si elle a déjà ses propres sous-entités ou des données (actifs, risques, contrôles renseignés, réponses à l’analyse d’écart…) : gardez-la, vous pourrez l’archiver une fois la configuration terminée depuis Paramètres › Entités.
3. Cadres : choisissez les référentiels parmi NIS2, RGPD, DORA et ISO 27001 (au moins un). Ils sont activés sur le siège ; pour les autres entités, activez-les ensuite dans Paramètres › Entités.
4. Qualification :
   • NIS2 : classement automatique en entité essentielle, importante ou hors périmètre, à partir du secteur, de l’effectif et du chiffre d’affaires (les secteurs de l’annexe II sont toujours classés « importante », quelle que soit la taille). C’est une indication simplifiée (elle ne tient pas compte du total de bilan, par exemple), pas un avis juridique ;
   • DORA : type d’entité (entité financière, prestataire TIC, hors périmètre) ;
   • RGPD : désignation ou non d’un DPO, et ses coordonnées ;
   • ISO 27001 : certification existante et ses dates.
5. Analyse d’écart : une série de questions par domaine, avec les réponses Oui, Partiellement, Non ou Je ne sais pas.
6. Résumé : « Lancer Conformitly » génère les contrôles des référentiels choisis. Leur statut initial dépend de vos réponses à l’analyse d’écart (Oui : Implémenté, Partiellement : En cours, sinon Non démarré), puis un premier score est calculé.

Rejoindre une organisation sur invitation

Un administrateur vous invite depuis Paramètres › Utilisateurs (voir Administration). Vous recevez un e-mail « … vous invite à rejoindre … sur Conformitly » avec le bouton « Accepter l’invitation ». Le lien est valable 72 heures.

La page d’acceptation affiche votre e-mail et les rôles prévus. Saisissez votre prénom, votre nom et un mot de passe (12 caractères minimum, ou la longueur exigée par l’organisation qui vous invite, indiquée sous le champ, avec majuscule, minuscule, chiffre et caractère spécial), confirmez-le dans « Confirmer le mot de passe », puis cliquez sur « Créer mon compte » : vous êtes connecté directement, sans parcours d’accueil. Si le lien a expiré, demandez une nouvelle invitation.

Vous avez déjà un compte Conformitly avec cette adresse, dans une autre organisation : l’invitation est refusée, avec le message « Cette adresse e-mail est déjà associée à un compte d’une autre organisation… ». Un compte n’appartient pour l’instant qu’à une seule organisation : demandez à la personne qui vous a invité d’utiliser une autre adresse.

Votre compte appartient déjà à l’organisation qui vous invite : la page affiche seulement les rôles prévus et le bouton « Rejoindre l’organisation ». Les rôles sont ajoutés à votre compte, mais l’acceptation n’ouvre pas de session : vous arrivez sur la page de connexion, avec le message « Invitation acceptée. Connectez-vous pour accéder à … » et votre e-mail déjà saisi. Connectez-vous avec votre mot de passe habituel (et votre code de double authentification si vous l’avez activée). Un lien d’invitation prouve seulement l’accès à la boîte mail : il ne remplace ni votre mot de passe ni votre second facteur.

Après la connexion, vous travaillez dans l’organisation de votre compte : le passage d’une organisation à l’autre n’est pas encore proposé.