Sécuriser votre compte avec la double authentification (2FA)

La double authentification, ou 2FA, ajoute une seconde barrière à votre mot de passe : même si quelqu’un le devine ou l’intercepte, il ne pourra pas se connecter sans un code temporaire généré par votre téléphone.

LAVARANG utilise le protocole TOTP (Time-based One-Time Password), compatible avec toutes les applications d’authentification standards : Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden, etc.

Pourquoi activer la 2FA

Votre compte LAVARANG donne accès à des informations sensibles : coordonnées bancaires de vos locataires, IBAN de dépôts de garantie, montants de loyers, pièces d’identité, baux signés. Une fuite de votre mot de passe seul suffit à compromettre ces données. Avec la 2FA activée, un attaquant devrait aussi dérober votre téléphone, ce qui est beaucoup moins probable.

Nous la recommandons fortement pour :

• Tout compte propriétaire dès 2 biens en gestion
• Tout compte SCI (multi-associés = surface d’attaque élargie)
• Tout compte régie (données de multiples clients)
• Tout compte admin de votre organisation

Activer la 2FA

1. Ouvrez le menu utilisateur (en haut à droite) → Paramètres → Sécurité
2. Dans la section Double authentification (TOTP), cliquez sur Configurer
3. Scannez le QR code affiché avec votre application d’authentification
4. Saisissez le code à 6 chiffres affiché par l’app pour confirmer
5. Enregistrez immédiatement vos 10 codes de récupération (voir section suivante)

À partir de votre prochaine connexion, LAVARANG vous demandera systématiquement ce code à 6 chiffres après votre mot de passe.

Les codes de récupération (backup codes)

Après activation, LAVARANG affiche 10 codes de récupération uniques. Chacun d’eux vous permettra de vous connecter une seule fois à la place du code TOTP de votre téléphone.

À quoi servent-ils

Ils sont votre filet de sécurité si vous perdez l’accès à votre téléphone : vol, casse, changement d’appareil, application désinstallée par erreur, voyage sans le téléphone, etc. Sans eux, vous devriez contacter notre support pour retrouver l’accès, ce qui prend plusieurs jours ouvrés.

Comment les conserver

Ces 10 codes ne vous seront jamais réaffichés. LAVARANG en stocke uniquement une empreinte chiffrée et ne peut pas les retrouver pour vous.

Bonnes pratiques :

• Téléchargez le fichier .txt proposé et stockez-le dans votre gestionnaire de mots de passe (1Password, Bitwarden, Dashlane…)
• Imprimez la liste et rangez-la avec vos documents importants (coffre, dossier bancaire)
• Ne partagez jamais ces codes, même à un proche ou à notre support

À éviter :

• Stocker les codes dans un simple e-mail non chiffré
• Les laisser sur le bureau de votre ordinateur en fichier texte
• Les photographier sur votre téléphone (si on vous le vole, tout est compromis)

Utiliser un code de récupération

Au moment de saisir le code TOTP lors de la connexion, saisissez simplement l’un de vos codes de récupération à la place (format XXXXX-XXXXX). LAVARANG détecte automatiquement le format et consomme le code. Celui-ci devient définitivement inutilisable ensuite.

Régénérer vos codes de récupération

Si vous pensez que vos codes ont pu être compromis, ou s’il vous en reste trop peu, vous pouvez en régénérer 10 nouveaux à tout moment.

1. Paramètres → Sécurité
2. Dans la section Codes de récupération, cliquez sur Régénérer les codes
3. Saisissez un code TOTP à 6 chiffres de votre application pour confirmer
4. Les 10 nouveaux codes s’affichent — les précédents sont immédiatement invalidés
5. Enregistrez les nouveaux comme à la première activation

Désactiver la 2FA

Si vous souhaitez désactiver la 2FA (non recommandé) :

1. Paramètres → Sécurité
2. Saisissez un code TOTP valide
3. Cliquez sur Désactiver

Tous vos codes de récupération sont également supprimés. Si vous réactivez la 2FA plus tard, 10 nouveaux codes seront générés.

J’ai tout perdu : appareil et codes de récupération

C’est la situation la plus difficile. Dans ce cas, contactez le support à contact@lavarang.fr depuis l’adresse e-mail du compte. Après vérification d’identité (documents à fournir), nous pourrons désactiver manuellement la 2FA. Prévoyez 2 à 5 jours ouvrés pour cette procédure.

Ce scénario est précisément ce que les codes de récupération existent pour éviter : prenez 5 minutes pour les sauvegarder correctement à l’activation.