Comment Polpo Desk assure votre sécurité
L'essentiel sur le chiffrement de bout en bout (WebRTC DTLS-SRTP), l'approbation des connexions, les mots de passe à usage unique et la sécurité du compte.
Dernière mise à jour:
L'assistance à distance consiste à confier le contrôle de votre ordinateur à quelqu'un d'autre. C'est pourquoi Polpo Desk repose sur trois principes : le contenu des sessions est chiffré de bout en bout, c'est vous qui décidez qui se connecte et les mots de passe sont protégés pour ne pas pouvoir être devinés.
Chiffrement de bout en bout
L'image de l'écran, le contrôle du clavier et de la souris, les messages de discussion et les fichiers transférés d'une session à distance sont transmis chiffrés de bout en bout (WebRTC DTLS-SRTP).
- Dans la mesure du possible, l'image et les données circulent directement entre les deux appareils.
- Si votre réseau ne permet pas de connexion directe, le trafic passe par un serveur relais (TURN) ; le contenu y reste également chiffré.
- Nos serveurs ne font que mettre les deux parties en relation. Ils ne voient ni ne conservent le contenu des sessions.
Qui décide d'une connexion ?
Un opérateur peut se connecter à votre ordinateur de trois façons :
| Ce que l'opérateur connaît | Ce qui se passe |
|---|---|
| Uniquement Votre identifiant de connexion | La fenêtre Demande de connexion entrante s'ouvre sur votre écran. Aucune connexion n'est établie tant que vous n'avez pas cliqué sur Autoriser la connexion. |
| L'identifiant + le Mot de passe de session à usage unique | La connexion est acceptée sans vous le demander. Partager le mot de passe revient à l'autoriser. |
| L'identifiant + un mot de passe d'accès permanent | Accès sans surveillance : l'opérateur se connecte sans vous le demander. Cela ne fonctionne que si vous l'avez activé. |
La fenêtre d'approbation affiche le nom, la société et la photo de profil de la personne qui souhaite se connecter. Le serveur transmet ces informations à partir du compte Polpo Desk de l'opérateur. Si vous voyez un nom que vous ne connaissez pas, appuyez sur Refuser.
Pendant une connexion, cliquez sur la ligne d'état du client pour voir la liste Opérateurs connectés, et mettez fin à tout moment à la connexion de n'importe quel opérateur avec Déconnecter.
Vous restez également informé et maître de la situation pendant la session :
- Si un opérateur enregistre la session, le client affiche un bandeau rouge Cette session est enregistrée par l'opérateur pendant toute la durée de l'enregistrement. L'enregistrement est sauvegardé uniquement sur l'ordinateur de l'opérateur, jamais sur nos serveurs.
- Avec Autoriser le transfert de fichiers et Autoriser le partage du presse-papiers dans les paramètres du client, vous décidez si des fichiers et le contenu du presse-papiers peuvent être échangés. Consultez Paramètres de sécurité du client.
Mot de passe de session à usage unique
- Le Mot de passe de session du client comporte 6 chiffres.
- Un nouveau mot de passe est généré chaque fois que le client s'enregistre auprès du serveur (au démarrage, ou lorsqu'il se reconnecte après une perte de connexion).
- Le bouton Renouveler le mot de passe invalide immédiatement l'ancien mot de passe.
- Ce n'est pas une clé permanente ; après une session d'assistance, il suffit de le renouveler pour le rendre inutilisable.
Protection contre la force brute (devinette de mot de passe)
Se connecter en devinant le mot de passe est pratiquement impossible, car le serveur limite les tentatives erronées :
- Si 5 mots de passe erronés sont saisis pour un appareil en 15 minutes, les connexions par mot de passe à cet appareil sont bloquées pendant 15 minutes et le mot de passe de session est renouvelé automatiquement.
- Si un compte opérateur effectue 20 tentatives erronées en 15 minutes, les tentatives de connexion par mot de passe de ce compte sont suspendues pendant 15 minutes.
- Un mot de passe peut être saisi au maximum 3 fois pour une demande en attente ; ensuite, la demande est abandonnée.
Accès sans surveillance
Pour vous connecter à vos propres ordinateurs ou à des serveurs que vous gérez lorsque personne n'est présent, vous pouvez définir un mot de passe permanent. Cette fonction est désactivée par défaut et ne fonctionne que si vous l'activez dans le client. Le mot de passe permanent n'est pas stocké en clair sur le serveur, mais sous forme d'empreinte à sens unique. Si un opérateur laisse la console mémoriser le mot de passe permanent d'un appareil, cette copie est stockée chiffrée sur le serveur, liée au compte de l'opérateur, et n'est jamais renvoyée au navigateur ; si elle ne fonctionne plus, la copie mémorisée est supprimée. Détails : Configurer l'accès sans surveillance.
Sécurité du compte
- Mots de passe : les mots de passe des comptes ne sont stockés sur le serveur que sous forme d'empreinte à sens unique (PBKDF2) et doivent comporter au moins 8 caractères.
- Cookie de session : votre session du panneau et de la console est conservée dans un cookie illisible par JavaScript (HttpOnly), et les requêtes qui modifient des données doivent comporter un en-tête de sécurité supplémentaire. Cela empêche d'autres sites d'envoyer des requêtes en votre nom.
- Protection contre les robots : les formulaires de connexion, d'inscription et de contact utilisent la vérification Cloudflare Turnstile.
- Vérification de l'e-mail : les comptes qui ne vérifient pas leur adresse e-mail ne peuvent plus démarrer de connexions à distance après une courte période d'essai.
- Chiffrement des données stockées : les données du compte, comme les adresses e-mail, les noms, les coordonnées de facturation, les messages des demandes d'assistance et les adresses IP du journal d'audit, sont stockées chiffrées dans la base de données.
Gestion de l'équipe et traçabilité
Les administrateurs peuvent suspendre ou supprimer immédiatement les comptes des employés qui partent, et voir dans le Journal d'audit qui s'est connecté, quand, et à quel appareil. Consultez Ajouter des utilisateurs et des rôles et Rapports de session et d'audit.
Pour régler les options de sécurité de votre client, consultez Paramètres de sécurité du client.