Sécurité du compte

PostShip n'a pas de mot de passe. On entre d'un geste avec une clé d'accès (empreinte, visage, clé physique), par un code envoyé par email, ou avec votre compte Google ou GitHub ; on renforce avec une application d'authentification. Tout se règle sur Compte → Sécurité. Cette page explique chaque bloc et ce qu'il protège vraiment.

Se connecter

Sur la page de connexion, saisissez votre adresse : « Un code vous est envoyé par email. Pas de mot de passe à retenir. » Ou choisissez Google ou GitHub. Il n'existe rien à définir ni à oublier — un mot de passe qui n'ouvre aucune porte n'a pas sa place sur un écran qui parle de sécurité.

Conséquence : votre boîte email est votre compte. Qui la lit peut entrer. C'est la raison d'être de la double authentification ci-dessous.

Les clés d'accès

Une clé d'accès (passkey, WebAuthn) remplace le code par email : sur la page de connexion, « Continuer avec une clé d'accès » ouvre l'invite du système — Touch ID, Face ID, Windows Hello, ou une clé physique — et la session s'ouvre. Rien à taper, rien à recevoir.

• Ajouter : Compte → Sécurité → Clés d'accès → « Ajouter cet appareil ». Le nom proposé est celui de l'appareil (« Mac », « iPhone »…), corrigeable. 5 clés au maximum.
• Ce qui est stocké : l'identifiant de la clé et sa clé publique. La clé privée ne quitte jamais votre appareil (ou votre trousseau iCloud, Google, 1Password, qui la synchronise entre vos appareils — « synchronisée » dans la liste).
• Liée au domaine : une clé créée sur postship.fr ne fonctionne que sur postship.fr. Un site qui imiterait le nôtre ne peut pas la faire signer.
• Retirer : « Retirer » dans la liste. Une clé retirée ne peut plus ouvrir de session ; la clé reste dans votre trousseau, sans effet, jusqu'à ce que vous l'y supprimiez.
• Avec la double authentification : si elle est active, le code à 6 chiffres est demandé après la clé d'accès, comme après un code par email.

La double authentification

Compte → Sécurité, bloc Double authentification : « Un code à 6 chiffres est demandé à chaque connexion, depuis une application d'authentification — Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden ou toute autre app compatible TOTP. »

1. Cliquez sur Activer, donnez un nom à l'appareil (« Mon téléphone » par défaut) et scannez le QR code dans votre application.
2. Saisissez le code affiché par l'application et cliquez sur Confirmer. La liste affiche l'appareil et sa date d'ajout.
3. Cliquez sur Ajouter un appareil pour en enregistrer un second (« Second appareil » par défaut).

Retirer un appareil demande confirmation : « ne pourra plus servir à valider une connexion. Vos autres appareils continuent de fonctionner. » Retirer le dernier désactive la double authentification (« Désactiver la double authentification ? »).

Ce que la session protège

Une fois activée, chaque connexion — code email ou Google/GitHub — passe par l'écran Vérification en 2 étapes avant d'atteindre l'application. Une session qui n'a pas fourni le code ne vaut qu'un premier facteur : elle est renvoyée vers cet écran sur toute page de l'application, et les routes qui rendent vos données (l'export du compte, par exemple) répondent 403 Double authentification requise. PostShip vérifie le niveau de la session côté serveur, jamais depuis le cookie seul : un cookie modifié pour prétendre avoir fourni le code n'entre pas.

Les clés d'API ne sont pas concernées : une clé est une preuve en soi, portez-y le même soin qu'à votre téléphone.

Les comptes liés

Bloc Comptes connectés : « Chaque compte lié est un moyen de vous connecter. Vous ne pouvez pas retirer le dernier. » Lier ajoute Google ou GitHub à votre compte (« Se connecter avec votre compte Google. ») ; Délier le retire. Le bouton est grisé quand il ne reste qu'un moyen de connexion, et l'action répond « C'est votre seul moyen de connexion — liez un autre compte avant de le retirer. »

Lier un compte Google ou GitHub ne donne à PostShip aucun accès à vos données chez eux : c'est une identité, pas une autorisation. L'installation de l'app GitHub pour les Check Runs est une chose distincte (Connecter GitHub).

Les appareils connectés

Carte Appareils connectés, en tête de Compte → Sécurité : chaque navigateur et chaque téléphone où votre compte est ouvert, avec son navigateur, son système, son adresse IP et sa dernière activité. Cet appareil marque celui que vous utilisez.

• Renommer donne un nom à l'appareil (« iPhone de Thibault ») ; le vider rend le nom par défaut.
• Déconnecter ferme la session de cet appareil : il devra se reconnecter avec un code, une clé d'accès ou Google/GitHub. L'appareil que vous utilisez se quitte par Se déconnecter.
• Déconnecter tous les autres appareils ferme toutes les sessions sauf celle-ci.

Une session ouverte avant le 25 septembre 2026 s'affiche « Appareil non identifié » : on la déconnecte comme les autres.

Changer d'adresse email

Bloc Email, champ Nouvelle adresse email, bouton Changer. « Un email de confirmation est envoyé à la nouvelle adresse — le changement n'est effectif qu'après avoir cliqué sur le lien. » Jusque-là, l'ancienne adresse reste celle qui reçoit les codes de connexion et les alertes.

Ce qui déclenche une alerte

Une connexion depuis un appareil jamais vu — un navigateur, un système ou un type d'appareil que votre compte n'avait pas encore utilisé — envoie l'email « Nouvelle connexion à votre compte », avec l'appareil, l'adresse IP et un bouton vers vos appareils. Les autres emails de sécurité viennent de la connexion elle-même : le code reçu quand vous vous connectez par email, et la confirmation de changement d'adresse.

Limites et plans

La sécurité du compte est identique sur tous les plans : code email, Google, GitHub, double authentification, comptes liés. Ce qui change avec le plan est ailleurs (plans).

Dépannage

Pourquoi je reçois « Double authentification requise » sur l'export alors que je suis connecté ?

Votre session a été ouverte avant l'activation, ou a été rafraîchie sans repasser par le code. Déconnectez-vous et reconnectez-vous : l'écran Vérification en 2 étapes s'affiche, puis l'export répond.

J'ai perdu mon téléphone et je n'ai pas de second appareil

Si votre session est encore ouverte sur un navigateur, allez sur Compte → Sécurité et retirez l'appareil perdu, puis enregistrez-en un autre. Sinon, écrivez au support depuis l'adresse email du compte : il n'y a pas de code de secours à retrouver.

Pourquoi le code de connexion n'arrive pas ?

Vérifiez les indésirables et que l'adresse est celle du compte. Le bouton Renvoyer en envoie un nouveau. Si vous avez lié Google ou GitHub, connectez-vous par là en attendant.

Données & rétention

Combien de temps PostShip garde chaque donnée, comment l'exporter, ce que le beacon RUM conserve de vos visiteurs, et comment supprimer un compte.

PostShip garde peu, et pas longtemps : la fenêtre de rétention est celle du plan, la purge tourne chaque nuit, et ce qui concerne vos visiteurs est réduit à ce qu'un graphique a besoin de savoir. Cette page dit, donnée par donnée, ce qui est conservé, combien de temps, et comment le récupérer ou l'effacer.

Ce qui suit la rétention du plan

Chaque nuit à 4 h (UTC), une purge efface, projet par projet, ce qui est plus vieux que la fenêtre du propriétaire :

• Les vérifications : chaque passage sur chaque URL (check_runs). C'est ce que le Journal, la disponibilité et les graphiques de latence affichent.
• Les vitals réels et les erreurs visiteurs (RUM, erreurs) : une mesure de visiteur n'a pas à survivre à la fenêtre qu'on affiche.
• Le journal des alertes envoyées : une ligne par canal et par envoi.
• Les images archivées des déploiements — cartes sociales, captures et images de différences (archive, régression visuelle). Sur Découverte, seul le dernier déploiement garde ses images, quel que soit son âge.

Ce qui ne suit pas cette fenêtre :

Changer de plan change la fenêtre dès la nuit suivante : passer de Pro Plus à Pro efface ce qui a plus de 30 jours.

Exporter

Chaque export est un fichier, sans passer par un ticket :

Les CSV sont en UTF-8 avec marque d'ordre d'octets, pour qu'Excel lise « résolu » et pas « résolu » ; les cellules qui contiennent une virgule, un guillemet ou un saut de ligne sont entourées. L'export du compte exige une session complète : avec la double authentification activée, une session sans le code reçoit 403 Double authentification requise. L'API et les exports donnent le même accès par programme.

Ce que le RUM conserve de vos visiteurs

Le snippet de vitals réels envoie un beacon par page, depuis le navigateur du visiteur. PostShip en garde :

• le chemin de la page, sans la requête ni le fragment — c'est là que vivent les jetons, les identifiants de session et les adresses email pré-remplies, et ce qui n'est pas stocké ne peut pas fuir ; 200 caractères au plus ;
• l'appareil : mobile ou desktop ;
• les 4 métriques (LCP, CLS, INP, TTFB), bornées — une valeur absurde est ignorée sans rejeter les autres ;
• pour les erreurs visiteurs : la sorte, le message (300 caractères, normalisé), la source, la ligne et la colonne. 10 erreurs au plus par beacon.

Pas d'adresse IP en base, pas d'agent utilisateur, pas d'identifiant de visiteur, pas de cookie posé. L'adresse IP ne sert qu'à limiter le débit au moment de la réception, et n'est pas conservée avec la mesure. L'origine du beacon est vérifiée pour qu'un jeton copié sur un autre site ne pollue pas vos mesures.

Supprimer un compte

Compte → Danger, du réversible à l'irréversible :

• Révoquer toutes les clés : les clés d'API et les clés d'accès cessent de fonctionner à l'instant.
• Exporter vos données en JSON, à faire avant de supprimer.

Supprimer tous les projets d'un espace se fait dans les réglages de cet espace, section Suppression (propriétaire seulement) : les projets, leurs URLs, leur historique, leurs incidents ; l'espace et le compte restent. Se confirme en recopiant l'adresse de l'espace.

• Supprimer le compte, en recopiant votre adresse email : « Supprime définitivement votre compte, tous vos projets, vos URLs surveillées et l'historique des vérifications. Résilie aussi l'abonnement Stripe actif s'il y en a un. »

Dans l'ordre : l'abonnement Stripe est résilié immédiatement ; votre session est fermée ; le compte est supprimé, et tout ce qui en dépend part en cascade — projets, URL, vérifications, déploiements, incidents, pages de statut, jetons, invitations. Ce que Stripe garde (factures, client) reste chez Stripe ; c'est aussi ce qui retrouve votre fiche client si vous revenez avec la même adresse (facturation).

Un collaborateur qui supprime son compte disparaît des projets où il était invité ; les projets eux-mêmes restent à leur propriétaire.

Dépannage

Pourquoi mon Journal s'arrête à 30 jours ?

C'est la fenêtre du plan Pro. Le Journal ne peut pas montrer ce qui a été purgé. Exportez-le régulièrement si vous avez besoin de plus, ou passez en Pro Plus pour 90 jours.

Pourquoi le diff d'un vieux déploiement dit « modifié » sans montrer l'image ?

Ses images ont été purgées à la fin de la fenêtre. La comparaison des champs (titre, H1, og:image en tant qu'URL) est conservée avec le déploiement.

Pourquoi la suppression du compte a échoué ?

La session est fermée avant la suppression ; si la suppression échoue ensuite, le message s'affiche sur la page de connexion. Reconnectez-vous et réessayez, ou écrivez au support : le compte n'a pas été touché.