Compte et connexion

Cette page couvre tout ce qui se passe avant d’entrer dans l’application et au moment d’en sortir : l’inscription, la confirmation de l’adresse e-mail, la connexion, la double authentification (2FA), le mot de passe oublié, l’essai sans compte, l’acceptation d’une invitation et la déconnexion.

Ces écrans partagent le même gabarit :

• en haut, le nom TechWatchAlert (il mène au site vitrine), le nom de l’écran (« Connexion », « Créer un compte »…) et, à droite, le bouton qui bascule entre le thème clair et le thème sombre ;
• en bas, les liens Le site, Documentation, Conditions d’utilisation, Confidentialité et Support (écrire à support@techwatchalert.com).

Se connecter

Adresse : /login. C’est l’écran sur lequel vous arrivez si vous n’êtes pas connecté.

1. Email professionnel : l’adresse de votre compte. La casse n’a pas d’importance.
2. Mot de passe.
3. Afficher le mot de passe : une case qui affiche en clair ce que vous tapez.
4. Mot de passe oublié ? : mène à la demande de réinitialisation.
5. Se connecter.
6. Créer un compte → : mène à l’inscription.
7. Bascule entre thème clair et thème sombre.
8. Liens du pied de page.

En vous connectant, vous acceptez les CGU et la politique de confidentialité (liens sous le formulaire).

Ce qui se passe ensuite

• Sans double authentification, vous arrivez sur le tableau de bord, ou sur la page que vous vouliez ouvrir avant d’être renvoyé vers la connexion.
• Si la double authentification est activée, l’écran Vérification en 2 étapes vous demande votre code.
• Si votre compte n’a encore aucune organisation, l’application vous envoie sur l’assistant de démarrage. Voir Premiers pas.
• Si vous arriviez d’une invitation, elle est acceptée dans la foulée.

La session reste ouverte tant que vous l’utilisez : elle se renouvelle d’elle-même et n’expire qu’après 7 jours sans activité, et au plus tard 30 jours après la connexion, où qu’en soit l’activité. Il faut alors se reconnecter.

Connexion par SSO

Quand vous quittez le champ e-mail, TechWatchAlert regarde si votre domaine relève d’une organisation qui a configuré l’authentification unique (SSO). Si c’est le cas, le bouton Se connecter via le SSO de votre organisation apparaît sous l’adresse :

• si l’organisation autorise encore le mot de passe, le formulaire habituel reste proposé sous la mention « ou avec un mot de passe » ;
• si elle impose le SSO, le champ mot de passe disparaît et seul le bouton SSO reste.

L’adresse que renvoie votre fournisseur d’identité doit appartenir à l’un des domaines vérifiés de l’organisation ; sinon la connexion est refusée avec le message « Cette adresse n’appartient pas à un domaine vérifié de votre organisation : connexion SSO refusée. ».

La configuration du SSO est décrite dans Organisations.

Messages d’erreur

Message	Cause
Identifiants invalides	Adresse inconnue ou mot de passe faux. Le message est volontairement le même dans les deux cas.
Compte désactivé	Le compte a été désactivé par l’administration de la plateforme.
Ce compte est en cours de suppression. Écrivez au support avant le jj/mm/aaaa pour l’annuler.	Vous avez confirmé la suppression du compte (voir Paramètres › Supprimer mon compte) : elle est encore réversible jusqu’à cette date.
Votre organisation impose la connexion via SSO.	Votre domaine est soumis au SSO : utilisez le bouton SSO.
Trop de tentatives. Réessayez dans une minute.	Plus de 10 tentatives en une minute depuis la même adresse réseau.
Trop de tentatives sur ce compte. Réessayez dans n minute(s).	Verrouillage temporaire du compte : voir ci-dessous.
La connexion via votre fournisseur SSO a échoué, la session SSO a expiré, etc.	Retour en erreur du fournisseur d’identité. Relancez la connexion SSO.

Verrouillage temporaire

Chaque échec sur une même adresse e-mail est compté, qu’il vienne du mot de passe ou du code de double authentification, et d’où qu’il vienne. À partir du 5e échec en une heure, les connexions à cette adresse sont bloquées 1 minute, puis 2, 4, 8 minutes… à chaque nouvel échec, une heure au plus. Une connexion réussie remet le compteur à zéro. Le verrou s’applique de la même façon qu’un compte existe ou non pour cette adresse : il ne révèle rien. Patientez le temps indiqué, ou passez par Mot de passe oublié ? si vous n’êtes plus sûr de votre mot de passe.

Si l’adresse n’a pas encore été confirmée, vous n’obtenez pas d’erreur : vous êtes envoyé sur l’écran Vérifiez votre boîte mail, qui permet de renvoyer le lien.

Créer son compte

Adresse : /register, ou Créer un compte → depuis la connexion.

1. Prénom et Nom : obligatoires.
2. Email professionnel : obligatoire. Il deviendra votre identifiant (enregistré en minuscules).
3. Organisation (optionnel) : le nom de votre équipe ou entreprise. Il n’est pas envoyé au serveur à ce stade : il préremplit le nom de l’organisation dans l’assistant de démarrage, si vous vous connectez ensuite depuis le même navigateur.
4. Mot de passe : voir les règles ci-dessous. La case Afficher le mot de passe l’affiche en clair.
5. J’accepte les conditions d’utilisation et la politique de confidentialité : obligatoire.
6. Créer mon compte.
7. Se connecter → : si vous avez déjà un compte ; l’adresse saisie est reprise sur l’écran de connexion.
8. Pas encore convaincu ? Testez votre stack sans compte : mène à l’essai sans compte.

Sous le formulaire, une ligne rappelle l’adresse à écrire pour un SSO d’entreprise (contact@techwatchalert.com).

Vous démarrez sur le plan gratuit, sans carte bancaire. L’inscription ne crée aucune organisation : c’est l’assistant de démarrage qui s’en charge à la première connexion, sauf si vous rejoignez une organisation par invitation (acceptée quand vous confirmez votre adresse).

Les règles du mot de passe

C’est la même règle partout : à l’inscription, à la réinitialisation et au changement de mot de passe dans les paramètres. Dès que vous entrez dans le champ, une jauge et quatre règles apparaissent. Chaque règle respectée est cochée, et la jauge monte d’un cran (Faible, Moyen, Bon, Excellent) :

• 12 caractères au moins ;
• Majuscule + minuscule ;
• Un chiffre ;
• Un symbole (tout caractère qui n’est ni une lettre ni un chiffre).

Le bouton Créer mon compte n’est jamais grisé : au clic, il dit ce qui manque et y place le curseur.

• Une règle manque (longueur comprise) : Le mot de passe ne respecte pas encore les 4 règles ci-dessous.
• Case non cochée : Cochez la case pour accepter les conditions d’utilisation.

Autres refus

Message	Cause
Inscription impossible avec ces informations.	Un compte existe déjà pour cette adresse. Le message ne le dit pas explicitement, pour ne pas révéler quelles adresses sont inscrites. Utilisez Se connecter → ou Mot de passe oublié ?.
Les adresses email temporaires ou jetables ne sont pas autorisées. Utilisez une adresse permanente.	Adresse d’un service de messagerie jetable.
Trop de tentatives. Réessayez dans une minute.	Plus de 10 tentatives en une minute depuis la même adresse réseau.

Si votre domaine relève d’une organisation qui impose le SSO, l’inscription par mot de passe est refusée : connectez-vous directement avec le bouton SSO de l’écran de connexion.

Après l’envoi

Un e-mail de confirmation part vers votre adresse. Son lien est valable 24 heures. Le bouton Je n’ai rien reçu, renvoyer ouvre l’écran de renvoi décrit ci-dessous ; le lien Se connecter sert si vous avez déjà confirmé.

Astuce

Pensez aux courriers indésirables. L’e-mail de confirmation est rédigé dans la langue de l’interface au moment de l’inscription.

Confirmer son adresse e-mail

Adresse : /verify-email. Vous y arrivez de trois façons : après l’inscription, en cliquant le lien reçu par e-mail, ou en tentant de vous connecter avant d’avoir confirmé.

• En attente : l’écran rappelle l’adresse et propose Renvoyer le lien de confirmation. Après l’envoi : « Si un compte non confirmé existe pour cette adresse, un nouveau lien vient d’être envoyé. » Un même destinataire ne reçoit pas plus d’un lien toutes les deux minutes.
• Lien cliqué : « Confirmation en cours… », puis Adresse email confirmée. et le bouton Se connecter.
• Lien invalide ou expiré : un message d’erreur, puis un champ Email professionnel pour demander un nouveau lien.

Double authentification (2FA)

La double authentification ajoute, après le mot de passe, un code à 6 chiffres produit par une application d’authentification (Google Authenticator, 1Password, Authy, FreeOTP…).

L’activer

1. Ouvrez le menu utilisateur (en bas de la barre latérale) › Paramètres › Sécurité.

   

2. Cliquez Configurer la 2FA. Un QR code apparaît, avec la clé à saisir à la main si vous ne pouvez pas le scanner (Saisie manuelle).

   

3. Scannez-le avec votre application, puis tapez le code à 6 chiffres qu’elle affiche et cliquez Activer.

4. TechWatchAlert affiche alors 10 codes de récupération. Chacun ne sert qu’une fois et ils ne seront plus jamais affichés : Télécharger ou Copier, puis J’ai sauvegardé mes codes.

À l’activation, toutes vos autres sessions sont déconnectées ; l’appareil sur lequel vous êtes reste connecté. La désactivation et la régénération des codes sont décrites dans Paramètres du compte.

Se connecter avec la 2FA

Après le mot de passe, l’écran Vérification en 2 étapes s’ouvre (adresse /2fa).

• Votre adresse est rappelée ; Changer ramène à l’écran de connexion.
• Tapez les 6 chiffres : le code est envoyé automatiquement au sixième chiffre, sans bouton à cliquer. Vous pouvez aussi le coller.
• Un code faux fait trembler la grille, affiche Code incorrect. Réessayez ou utilisez un code de secours. puis la vide pour un nouvel essai.

Les règles :

• Vous avez 5 minutes entre le mot de passe et le code.
• 5 essais au plus par connexion : au cinquième code faux, l’étape est annulée.
• Au-delà de ces limites, l’écran affiche Trop d’essais ou vérification expirée : reconnectez-vous avec votre mot de passe. et vous ramène à l’écran de connexion.
• Un code faux compte aussi dans le verrouillage temporaire du compte.
• Un code déjà accepté ne peut pas resservir, même dans ses 30 secondes de validité.

Code de secours

Sans votre application, cliquez Utiliser un code de secours et saisissez l’un des codes sauvegardés à l’activation (10 caractères ; tirets, espaces et majuscules sont ignorés). Le bouton Valider le code s’active à partir de 10 caractères. Chaque code ne fonctionne qu’une fois. ← Revenir au code 2FA ramène à la grille.

Attention

Application perdue et codes de secours perdus : seul le support peut vous aider (lien Contacter le support en bas de l’écran).

Mot de passe oublié

Adresse : /forgot-password, ou Mot de passe oublié ? sur l’écran de connexion.

1. Saisissez votre Email professionnel et cliquez Envoyer le lien.

2. L’écran Un email est en route. s’affiche dans tous les cas, que l’adresse ait un compte ou non : c’est voulu, pour ne pas révéler qui est inscrit.

   

3. Ouvrez l’e-mail « Réinitialiser votre mot de passe, TechWatchAlert ». Il indique quand, d’où et depuis quel appareil la demande a été faite : si ce n’est pas vous, ignorez-le.

4. Cliquez le lien : il est valable une heure et ne fonctionne qu’une fois.

Si votre adresse relève d’une organisation qui impose le SSO, aucun lien n’est envoyé (l’écran reste le même) : votre mot de passe local ne sert pas, connectez-vous par le SSO.

Je n’ai rien reçu, renvoyer un lien relance l’envoi. Un même destinataire ne reçoit pas plus d’un lien toutes les deux minutes, même si le message « Lien renvoyé ✓ » s’affiche. Retour à la connexion ramène à /login.

Choisir un nouveau mot de passe

Adresse : /reset-password, ouverte par le lien de l’e-mail.

• Nouveau mot de passe : mêmes quatre règles qu’à l’inscription (12 caractères, majuscule et minuscule, un chiffre, un symbole), avec la même jauge.
• Confirmer le mot de passe : si les deux ne correspondent pas, « Les mots de passe ne correspondent pas. » s’affiche.
• Afficher : montre les deux champs en clair.
• Mettre à jour le mot de passe ne s’active que lorsque les quatre règles sont respectées et que les deux saisies sont identiques.

Le serveur vérifie les mêmes règles et refuse un mot de passe trop faible. Une fois le mot de passe changé (Mot de passe mis à jour.), toutes vos sessions ouvertes sont déconnectées, sur tous vos appareils. Reconnectez-vous avec Se connecter.

Un lien déjà utilisé, expiré ou incomplet mène à Lien invalide ou expiré., avec le bouton Demander un nouveau lien.

Essai sans compte

Adresse : /essai, ou Pas encore convaincu ? Testez votre stack sans compte sur l’inscription. Cet écran montre, sans compte, quelles failles connues touchent une liste de composants.

1. Dans Vos composants, collez :

   • une liste « nom version », un composant par ligne (nginx 1.18.0) ;
   • ou le contenu d’un manifeste : package.json, requirements.txt, go.mod… ;
   • ou un SBOM CycloneDX (JSON ou XML).

   Vous pouvez aussi cliquer Choisir un fichier (fichiers .json, .txt, .xml, .lock, .toml, .mod, .sum, .cdx, .gradle, .csproj, 200 Ko au plus), ou Voir un exemple, qui remplit le champ avec cinq composants anciens.

   

2. Cliquez Analyser.

Le résultat apparaît sous le formulaire :

• un titre (« 20 failles connues touchent vos versions », ou « Aucune faille connue sur ces versions ») et le nombre de composants analysés et de failles déjà exploitées ;
• une carte par composant reconnu, les plus exposés en premier (d’abord ceux qui ont des failles exploitées, puis des failles critiques, puis le plus de failles). Pour chacun : le nombre de failles, d’exploitées et de critiques, la version conseillée (« Passez à X ou plus ») quand elle est connue, et au plus cinq failles détaillées : identifiant, gravité, pastille Exploitée, résumé (en anglais, tel que publié), score CVSS et probabilité d’exploitation (EPSS). Les autres sont annoncées (« et 3 autres failles dans votre espace après inscription ») ;
• la liste des composants non reconnus (les 12 premiers sont affichés).

Une faille est dite exploitée quand elle figure au catalogue KEV ou qu’une exploitation avérée est connue par ailleurs.

Être alerté pour cette stack mène à l’inscription. Les composants reconnus sont gardés dans votre navigateur et préremplissent la stack de l’assistant de démarrage après l’inscription (même navigateur).

Règles de l’essai :

• rien de ce que vous collez n’est conservé sur le serveur ;
• 300 composants au plus sont analysés (les doublons produit et version ne comptent qu’une fois) ;
• 10 analyses par heure depuis une même adresse réseau (« Beaucoup d’essais depuis cette adresse : réessayez dans une heure, ou créez un compte. »), et un plafond global quand l’essai est très demandé ;
• un contenu vide donne « Collez au moins un composant, ou choisissez un fichier. » ; un fichier trop gros, « Ce fichier dépasse 200 Ko… » ; un contenu dont aucun composant n’est reconnu, « Aucun composant reconnu… ».

Accepter une invitation

Quand un administrateur vous invite (voir Équipe, rôles et groupes), vous recevez un lien vers /invitations/accept/….

L’écran indique :

• l’organisation ou le projet à rejoindre, et qui vous invite ;
• le Rôle accordé et la date d’Expiration ;
• la pastille Invitation nominative (adressée à vous seul) ou Invitation par lien (lien partageable) ;
• les Règles de cette invitation : expiration automatique (7 jours après l’envoi pour une invitation nominative, 24 heures pour un lien), usage unique, révocable par un administrateur tant qu’elle n’a pas servi.

Ensuite :

• Pas connecté : Se connecter ou Créer un compte. L’invitation est retenue par le navigateur et acceptée automatiquement juste après la connexion ; pour un nouveau compte, après la confirmation de l’adresse et la première connexion. Un bandeau le rappelle sur ces écrans.

  

• Déjà connecté : l’invitation est acceptée d’elle-même (« Acceptation en cours… »). Vous êtes ensuite conduit aux réglages de l’organisation rejointe, ou au tableau de bord pour un projet.

Une invitation nominative (envoyée à une adresse précise) ne peut être acceptée que par le compte de cette adresse. Si vous créez votre compte avec cette adresse, vous rejoignez l’organisation dès que vous confirmez votre adresse e-mail (le lien de confirmation fait foi), et l’assistant de démarrage est sauté. Un lien partageable (sans adresse) expire 24 heures après sa création ; une invitation nominative dure 7 jours par défaut.

Messages possibles : Invitation indisponible, suivi de la raison (« Invitation introuvable », « Invitation expirée », invitation déjà acceptée ou révoquée) ; puis, au moment d’accepter, « Cette invitation n’est pas destinée à votre compte » (invitation nominative ouverte avec un autre compte) ou « Vous êtes déjà membre de cette organisation ». Une invitation dont l’auteur a depuis quitté l’organisation ou perdu son rôle d’administrateur est révoquée au moment où vous l’ouvrez. Une invitation à un projet d’organisation demande d’être déjà membre de l’organisation. Déjà connecté, vous pouvez aussi accepter ou refuser vos invitations nominatives depuis la page Organisations (encart Invitations reçues).

Se déconnecter

Ouvrez le menu utilisateur (votre nom, en bas de la barre latérale) et cliquez Déconnexion. La session est fermée côté serveur et vous revenez à l’écran de connexion.

La session est aussi coupée immédiatement côté serveur, sans attendre l’expiration de son jeton. Pour fermer toutes vos sessions (sur d’autres appareils), changez votre mot de passe ou activez la double authentification.

Qui peut faire quoi

• Tout le monde peut créer un compte, essayer sans compte et demander une réinitialisation de mot de passe.
• La double authentification se règle compte par compte, par son titulaire. Une organisation peut en revanche imposer le SSO à ses domaines.
• Seul le rôle choisi par l’émetteur d’une invitation est accordé : vous ne pouvez pas le changer en l’acceptant.

Questions fréquentes

Je n’ai pas reçu l’e-mail de confirmation. Vérifiez vos courriers indésirables, puis utilisez Je n’ai rien reçu, renvoyer. Attendez deux minutes entre deux demandes. Les adresses jetables sont refusées dès l’inscription.

Le lien de confirmation ne marche plus. Il expire après 24 heures et ne sert qu’une fois. Demandez-en un autre depuis l’écran qui s’affiche.

Je me suis inscrit avec la mauvaise adresse. L’adresse du compte se modifie dans Paramètres du compte une fois connecté : le changement se confirme par un lien envoyé à la nouvelle adresse. Si vous ne pouvez pas vous connecter, créez un nouveau compte avec la bonne adresse.

« Trop de tentatives sur ce compte ». Plusieurs essais ont échoué sur votre adresse : attendez le délai indiqué (une heure au plus), puis réessayez, ou réinitialisez votre mot de passe.

J’ai perdu mon téléphone. Connectez-vous avec un code de secours. Désactiver la 2FA ou régénérer les codes demande en revanche un code de l’application elle-même : sans elle, contactez le support pour remettre la double authentification à zéro, puis réactivez-la avec votre nouvel appareil.