Sécurité du compte

PostShip n'a pas de mot de passe. On entre par un code à 6 chiffres envoyé par email, ou en un clic avec un compte Google ou GitHub ; on renforce avec une application d'authentification. Tout se règle sur Compte → Sécurité. Cette page explique chaque bloc et ce qu'il protège vraiment.

Se connecter

Sur la page de connexion, saisissez votre adresse : « Un code à 6 chiffres vous est envoyé par email. Pas de mot de passe à retenir. » Ou choisissez Google ou GitHub. Il n'existe rien à définir ni à oublier — un mot de passe qui n'ouvre aucune porte n'a pas sa place sur un écran qui parle de sécurité.

Conséquence : votre boîte email est votre compte. Qui la lit peut entrer. C'est la raison d'être de la double authentification ci-dessous.

La double authentification

Compte → Sécurité, bloc Double authentification : « Un code à 6 chiffres est demandé à chaque connexion, depuis une application d'authentification — Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden ou toute autre app compatible TOTP. »

1. Cliquez sur Activer, donnez un nom à l'appareil (« Mon téléphone » par défaut) et scannez le QR code dans votre application.
2. Saisissez le code affiché par l'application et cliquez sur Confirmer. La liste affiche l'appareil et sa date d'ajout.
3. Cliquez sur Ajouter un appareil pour en enregistrer un second (« Second appareil » par défaut).

Retirer un appareil demande confirmation : « ne pourra plus servir à valider une connexion. Vos autres appareils continuent de fonctionner. » Retirer le dernier désactive la double authentification (« Désactiver la double authentification ? »).

Ce que la session protège

Une fois activée, chaque connexion — code email ou Google/GitHub — passe par l'écran Vérification en deux étapes avant d'atteindre l'application. Une session qui n'a pas fourni le code ne vaut qu'un premier facteur : elle est renvoyée vers cet écran sur toute page de l'application, et les routes qui rendent vos données (l'export du compte, par exemple) répondent 403 Double authentification requise. PostShip vérifie le niveau de la session côté serveur, jamais depuis le cookie seul : un cookie modifié pour prétendre avoir fourni le code n'entre pas.

Les jetons d'API ne sont pas concernés : un jeton est une preuve en soi, portez-y le même soin qu'à votre téléphone.

Les comptes liés

Bloc Comptes connectés : « Chaque compte lié est un moyen de vous connecter. Vous ne pouvez pas retirer le dernier. » Lier ajoute Google ou GitHub à votre compte (« Se connecter en un clic avec votre compte Google ») ; Délier le retire. Le bouton est grisé quand il ne reste qu'un moyen de connexion, et l'action répond « C'est votre seul moyen de connexion — liez un autre compte avant de le retirer. »

Lier un compte Google ou GitHub ne donne à PostShip aucun accès à vos données chez eux : c'est une identité, pas une autorisation. L'installation de l'app GitHub pour les Check Runs est une chose distincte (Connecter GitHub).

Changer d'adresse email

Bloc Email, champ Nouvelle adresse email, bouton Changer. « Un email de confirmation est envoyé à la nouvelle adresse — le changement n'est effectif qu'après avoir cliqué sur le lien. » Jusque-là, l'ancienne adresse reste celle qui reçoit les codes de connexion et les alertes.

Ce qui déclenche une alerte

Rien sur cette page n'alerte. Les emails de sécurité que vous recevez viennent de la connexion elle-même : le code à 6 chiffres quand vous vous connectez par email, et la confirmation de changement d'adresse.

Limites et plans

La sécurité du compte est identique sur tous les plans : code email, Google, GitHub, double authentification, comptes liés. Ce qui change avec le plan est ailleurs (plans).

Dépannage

Pourquoi je reçois « Double authentification requise » sur l'export alors que je suis connecté ?

Votre session a été ouverte avant l'activation, ou a été rafraîchie sans repasser par le code. Déconnectez-vous et reconnectez-vous : l'écran Vérification en deux étapes s'affiche, puis l'export répond.

J'ai perdu mon téléphone et je n'ai pas de second appareil

Si votre session est encore ouverte sur un navigateur, allez sur Compte → Sécurité et retirez l'appareil perdu, puis enregistrez-en un autre. Sinon, écrivez au support depuis l'adresse email du compte : il n'y a pas de code de secours à retrouver.

Pourquoi le code de connexion n'arrive pas ?

Vérifiez les indésirables et que l'adresse est celle du compte. Le bouton Renvoyer en envoie un nouveau. Si vous avez lié Google ou GitHub, connectez-vous par là en attendant.