Pour protéger vos données et la sécurité de notre plateforme, nous renforçons nos mesures de sécurité suite aux cyberattaques récentes contre e-licence. Ces attaques ont montré que les intrusions proviennent souvent de comptes inactifs depuis longtemps. Afin de garantir une protection optimale, nous déployons les mesures suivantes :
Gestion des comptes dirigeants inactifs
- Dès la semaine prochaine, nous procéderons à la suppression des droits d’accès accordés aux gestionnaires (ou consultants) dont les comptes sont inactifs depuis plus d’un an.
- Les comptes actifs pourront réattribuer ces droits si besoin.
- Les comptes désactivés conserveront l’accès à leur espace personnel.
- Cette suppression sera ensuite automatisée et effectuée à chaque changement de saison.
Renouvellement obligatoire des mots de passe
- Tous les utilisateurs devront renouveler leur mot de passe tous les [3/6/12] mois (période à définir).
- Les mots de passe doivent être robustes et uniques, incluant des minuscules, majuscules, chiffres et caractères spéciaux, comme conseillé par la CNIL et déjà mis en œuvre dans e-licence.
- Un système sera prochainement mis en place afin d’empêcher la réutilisation de vos anciens mots de passe.
Protection contre les tentatives d’intrusion
- Un système de blocage automatique a été mis en place.
- Après 5 tentatives de connexion échouées ou en cas de blocage légitime, la page de connexion n’est plus accessible par la personne pendant plusieurs secondes afin de protéger votre compte contre les attaques automatisées.
Alerte e-mail IP inconnue
- Un e-mail d’alerte est envoyé pour toute connexion demandée depuis une adresse IP inconnue.
- La confirmation de la connexion prend en compte la nouvelle adresse IP.
- Le blocage de la connexion dans le cas où elle n’a pas été initiée par la personne recevant la notification, déconnecte automatiquement le compte et impose la réinitialisation du mot de passe.
Double authentification (2FA / MFA)
- Mise en œuvre de la double authentification à l’aide d’un mot de passe à usage unique (OTP), compatible avec Google Authenticator, Microsoft Authenticator ou tout autre Authenticator OTP, ainsi qu’avec l’email.
- Version actuelle : Proposition de double authentification (2FA).
- Version future : Double authentification (2FA) obligatoire avec mise en place d’une période de validité prolongée pour la connexion authentifiée par 2FA afin de minimiser la fréquence des authentifications.
Tests CAPTCHA
- Depuis septembre, nous avons installé plusieurs versions de CAPTCHA.
- La version actuelle se déclenche après un certain nombre d’actions sur une période donnée et suspend automatiquement l’utilisateur selon ces règles :
- 4 CAPTCHA activés en 2 minutes : compte bloqué 2 heures.
- 4 CAPTCHA activés dans les 24 heures : compte bloqué 24 heures.
- 4 CAPTCHA activés dans les 72 heures : compte désactivé.
- Seul Exalto peut réactiver le compte et reçoit une notification à chaque blocage.
Logs (Journalisation)
- Extension de la rétention : Nous avons amélioré notre système de logs pour récupérer jusqu’à 6 mois d’historique (nous évaluons l’impact sur l’espace de stockage).
- Traçabilité : Dans le respect des recommandations CNIL et ANSSII, nous stockons désormais les logs en base de données pour tracer les actions des utilisateurs. L’analyse de ces logs permettra à terme de bloquer automatiquement un utilisateur effectuant plus de X recherches sur des pages spécifiques chaque jour.
Afin de garantir la sécurité de votre compte, nous vous recommandons vivement de :
- Utiliser un mot de passe robuste et unique (différent de vos autres services) => le mot de passe obligatoire dans e-licence depuis janvier 2025 répond aux recommandations CNIL pour créer les mots de passe.
- Vérifier régulièrement l’activité de vos comptes.
- Modifier votre mot de passe dès que vous suspectez une utilisation anormale.
- Si vous disposez d’un accès au portail fédéral (Fédération, Zones, Ligues, Départements, Clubs, Sections), contrôler régulièrement votre compte afin de maintenir vos droits et vérifier qu’ils sont cohérents.
- Rester vigilant face à toute communication inhabituelle (appel, SMS, courriel) se présentant comme émanant de la Fédération.
- Ne jamais communiquer votre mot de passe ;
- Eviter de cliquer sur des liens ou d’ouvrir des pièces jointes inattendues/suspectes.
- Signaler sans délai toute activité suspecte à la fédération
- Pour aller plus loin sur l’hameçonnage (phishing), consulter les recommandations officielles : https://www. cybermalveillance.gouv.fr/ tous-nos-contenus/fiches- reflexes/hameconnage-phishing
Documents à consulter :
