Nos billets de blog

 

## Qu'est-ce qu'un double facteur d'authentification ?

Un double facteur d'authentification est une méthode de sécurité qui demande à l'utilisateur de saisir un code de vérification donné par une application tierce en plus de son mot de passe.

## Les différents types de double facteur d'authentification

Il existe différents types de double facteur d'authentification :

- **L'authentification via un savoir** : L'utilisateur saisit son mot de passe, répond à une question de sécurité, etc.
- **L'authentification via un possession** : L'utilisateur utilise un jeton physique(clef USB, carte à puce, etc.) ou jeton virtuel, tel qu’un mot de passe à usage unique (OTP) ou un mot de passe à usage unique basé sur le temps(TOTP).
- **L'authentification via une identité** : L'utilisateur renseigne ses données biométriques, par exemple Face ID.
- **L'authentification via le lieu** : L'utilisateur se trouve à un endroit spécifique, par exemple une adresse IP.

Nous avons choisi d'utiliser le TOTP par email et application tierce pour sa simplicité d'installation et d'utilisation.

## Les avantages et inconvénients

Les avantages :

- **Sécuriser** votre compte en ajoutant une couche de protection supplémentaire
- **Proteger** vos données sensitives
- **Eviter** les attaques par force brute

Les inconvénients :

- **Complexifier** l'accès à votre compte. L'utilisation d'un double facteur d'authentification ajoute une friction à la connexion.

## Comment ça fonctionne ?

Le double facteur d'authentification fonctionne en deux étapes :

1. L'utilisateur se connecte à son compte avec son mot de passe
<img src="/images/connexion-avec-mot-de-passe.png" sizes="400px" alt="Connexion avec mot de passe" class="blog-img-h400" />
2. L'application tierce lui envoie un code de vérification
3. L'utilisateur saisit le code de vérification
<img src="/images/saisie-du-code-de-verification.png" sizes="400px" alt="Saisie du code de vérification" class="blog-img-h400" />

4. Toobib vérifie le code de vérification
5. L'utilisateur est connecté

Pour activer le double facteur d'authentification, vous pouvez suivre les étapes suivantes :

1. Allez dans les paramètres de votre compte et cliquez sur "Sécurité"
<img src="/images/parametres-de-securite.png" sizes="400px" alt="Paramètres de sécurité" />
2. Cliquez sur la methode de double facteur d'authentification que vous souhaitez utiliser (TOTP par email ou application tierce)

3. Suivez les instructions pour activer le double facteur d'authentification

## Pourquoi est-ce important pour les professionnel·les de santé ?

En tant que professionnel·le de santé, vous manipulez quotidiennement des données sensibles couvertes par le secret médical. Chaque jour, des tentatives d'accès malveillantes à votre compte peuvent potentiellement avoir lieu afin d'accéder à ces données. 
Une technique courante consiste à utiliser des dictionnaires de mots de passe pour tester vos identifiants. Si votre compte est compromis et que votre mot de passe figure dans ce dictionnaire, la confidentialité, l'intégrité et la disponibilité de vos données sensibles peuvent être compromises. Le double facteur d'authentification empêche l'attaquant de se connecter à votre compte, car vous êtes le seul à pouvoir accéder à ce code de vérification.

## Conclusion

Le double facteur d'authentification est une méthode de sécurité qui demande à l'utilisateur de saisir un code de vérification donné par une application tierce en plus de son mot de passe.

Il permet de sécuriser votre compte en ajoutant une couche de protection supplémentaire, de protéger vos données sensitives et d'éviter de nombreuses attaques.


Le double facteur d'authentification


Lors de votre inscription sur Toobib, vous avez peut-être remarqué la réception d'un second e-mail d'activation, en plus de celui de votre compte Toobib. Il s'agit de **ToobibSecret**, le gestionnaire de mots de passe que nous mettons à votre disposition.

Dans ce billet, nous vous expliquons ce qu'est ToobibSecret, pourquoi nous l'avons intégré à notre écosystème et comment il peut transformer votre quotidien numérique.

## Qu'est-ce qu'un gestionnaire de mots de passe ?

Un gestionnaire de mots de passe est un outil qui stocke et organise l'ensemble de vos identifiants de manière sécurisée, dans un coffre-fort chiffré. Au lieu de mémoriser des dizaines de mots de passe, ou pire, de réutiliser le même partout, vous n'avez besoin de retenir qu'un seul **mot de passe maître** pour accéder à tous les autres.

Concrètement, un gestionnaire de mots de passe permet de :

- **Générer** des mots de passe robustes et uniques pour chaque service
- **Stocker** vos identifiants de manière chiffrée
- **Remplir automatiquement** vos formulaires de connexion
- **Partager** des accès de manière sécurisée avec vos collaborateur·rice·s
- **Synchroniser** vos mots de passe sur tous vos appareils

## Pourquoi est-ce important pour les professionnel·les de santé ?

En tant que professionnel·le de santé, vous manipulez quotidiennement des données sensibles couvertes par le secret médical. Vous utilisez également de nombreux services numériques : dossier patient informatisé, messagerie sécurisée, logiciel de cabinet, portails institutionnels...

Chaque service nécessite un mot de passe. La tentation est grande de simplifier : un mot de passe court, facile à retenir, réutilisé sur plusieurs plateformes. C'est précisément ce type de pratique qui expose vos comptes et les données de vos patient·es à des risques majeurs.

**Un seul mot de passe compromis peut ouvrir la porte à l'ensemble de vos services.**

Un gestionnaire de mots de passe élimine ce risque en vous permettant d'utiliser un mot de passe unique et complexe pour chaque service, sans effort de mémorisation.

## Pourquoi Vaultwarden ?

ToobibSecret repose sur [Vaultwarden](https://github.com/dani-garcia/vaultwarden), une implémentation libre et légère du serveur Bitwarden, l'un des gestionnaires de mots de passe les plus reconnus.

Nous avons fait ce choix pour plusieurs raisons :

- **Libre et open-source** : le code source est auditable par tou·tes, en cohérence avec les valeurs de Toobib
- **Auto-hébergé sur des serveurs HDS** : vos mots de passe sont stockés sur nos serveurs certifiés Hébergeur de Données de Santé, en France
- **Compatible avec l'écosystème Bitwarden** : vous bénéficiez des extensions navigateur, des applications mobiles et de bureau déjà existant·es
- **Léger et performant** : Vaultwarden est optimisé pour fonctionner efficacement, même avec des ressources modestes

### Avantages

- **Sécurité renforcée** : chiffrement de bout en bout, vos données ne sont lisibles que par vous seul·e
- **Souveraineté des données** : aucune dépendance à un service cloud américain, vos données restent hébergées en France sur des serveurs de santé
- **Multiplateformes** : compatible avec les clients Bitwarden disponibles sur toutes les plateformes (Windows, macOS, Linux, Android, iOS)
- **Partage sécurisé** : possibilité de partager des identifiants au sein d'une organisation, utile pour les cabinets de groupe

### Limites à connaître

- **Un mot de passe maître à retenir** : c'est la clé de voûte du système. S'il est perdu, l'accès au coffre est définitivement compromis
- **Dépendance au service** : si le serveur est temporairement indisponible, l'accès aux mots de passe non synchronisés localement peut être interrompu (les clients Bitwarden conservent cependant un cache local chiffré)


## Pourquoi ToobibSecret est séparé de la connexion Toobib ?

Vous vous demandez peut-être pourquoi ToobibSecret n'est pas directement intégré au système d'authentification unique (SSO) de Toobib, géré par Keycloak.

C'est un choix délibéré, motivé par deux raisons :

#### 1. Éviter la double saisie de mot de passe

Si ToobibSecret était derrière le SSO Keycloak, vous devriez saisir un premier mot de passe pour vous connecter à Keycloak, puis un second pour déverrouiller votre coffre-fort. Deux mots de passe à retenir et à saisir à chaque connexion : une friction inutile.

En séparant les deux, **votre mot de passe maître ToobibSecret est le seul dont vous avez besoin**. Il déverrouille votre coffre-fort, dans lequel vous pouvez stocker votre mot de passe Toobib (et tous les autres).

#### 2. Faire du gestionnaire le point central de votre vie numérique

Un gestionnaire de mots de passe n'a de sens que s'il est **le premier outil que vous ouvrez** et le gardien·ne de tous vos accès — y compris celui de Toobib. En le plaçant en amont du SSO, nous faisons de ToobibSecret le véritable centre de votre hygiène numérique.

Le flux est simple :

1. Vous ouvrez ToobibSecret (avec votre mot de passe maître)
2. Vous accédez à Toobib et à tous vos autres services grâce au remplissage automatique
3. Vous n'avez plus qu'un seul mot de passe à retenir


## Activer ToobibSecret

Lors de la création de votre compte Toobib, un compte ToobibSecret est automatiquement créé pour vous. Vous recevez alors **Un e-mail d'activation ToobibSecret** : pour initialiser votre coffre-fort de mots de passe.

![ToobibSecret, gestionnaire de mots de passe](/images/toobibsecret_email_join.png)

Il vous suffit de cliquer sur le lien contenu dans l'e-mail pour définir votre mot de passe maître et commencer à utiliser ToobibSecret.

En cas de difficultés, ou pour votre première connexion, vous pouvez vous rendre sur notre centre d'aide <a href="https://aide.toobib.org" target="_blank" rel="noopener noreferrer">aide.toobib.org</a>.


## Conclusion

Avec ToobibSecret, nous souhaitons offrir aux professionnel·les de santé un outil simple, sécurisé et respectueux de leurs données pour reprendre le contrôle de leur vie numérique. C'est une brique essentielle de l'écosystème Toobib, au service d'une santé connectée, éthique et souveraine.

La sécurité de vos patient·es commence par la vôtre. Activez ToobibSecret dès aujourd'hui.

---

*Vous avez des questions sur ToobibSecret ? Contactez-nous à [contact@toobib.org](mailto:contact@toobib.org) ou rejoignez la discussion sur notre [forum Matrix](https://matrix.to/#/#toobib:matrix.interhop.org).*


ToobibSecret : votre coffre-fort numérique

Toobib a accueilli de nouveaux stagiaires



## Toobib.org

[Toobib.org](https://toobib.org) est une plateforme web (site internet) sur laquelle les patient.e.s pourront chercher les professionnel.le.s de santé inscrit.e.s.

A partir de ce point d'accès central les professionnel.le.s de santé PS pourront s'inscrire aux services numériques disponibles (visio, dossier patient...) sur un des serveurs certifiés pour la santé (HDS) du réseau. Ceci participe à la décentralisation du stockage des données de santé et à l'autonomie des acteurs du réseau de soin.

Toobib.org est donc un équivalent dédié à la santé du site web [entraide.chatons.org](http://entraide.chatons.org).


## Porteur du projet

Ce projet est porté par l'association éponyme : [Toobib.org](https://toobib.org). 
Voici [un lien vers les membres](https://toobib.org/contact) de cette belle asssociation.

## Maquette

Avec cette maquette nous souhaitons vous montrer la future version du site web Toobib.org.
Voici l'url pour y avoir accès : [toobib.org/maquette](https://toobib.org/maquette).

![](https://pad.interhop.org/uploads/f471f8c7-9d3c-4302-b08e-b8bdc48e7070.png)

Merci particulièrement à Cyril VERNEUIL et Quentin PARROT pour leur travail réalisé cet été.

Le code du site web sera opensource en licence copy-left[^git].

Ce site présentera 
- l'association Toobib.
- les fonctionnalités du site internet Toobib.org permettant 
  - coté patient.e : la recherche de professionnel.le.s de santé 
  - coté soignant.e : l'inscription des professionnel.le.s de santé à la plateforme.

Nous souhaitons utiliser la police de caractère luciole[^luciole], spécifiquement conçu pour les malvoyant.e.s

## Communauté

Soignant.e.s ou patient.e.s nous serions ravis d'avoir vos retours.
Vous pouvez écrire à l'équipe de Toobib à contact@toobib.org ou discuter sur le forum matrix dédié à Toobib : [https://matrix.to/#/#toobib:matrix.interhop.org](https://matrix.to/#/#toobib:matrix.interhop.org).

[^luciole]: [https://www.luciole-vision.com/](https://www.luciole-vision.com/)

[^git]: [framagit.org/interhop/toobib](https://framagit.org/toobib/)




Nos billets de blog

Le double facteur d'authentification

ToobibSecret : votre coffre-fort numérique

Toobib a accueilli de nouveaux stagiaires

Maquette de toobib.org