---
locale: "fr"
updated_at: "2026-11-12T14:37:55.414Z"
canonical: "https://www.isdecisions.com/fr/userlock/docs/guides/implementation-mfa/configurer-vos-methodes-mfa"
---

# Configurer vos méthodes MFA

Activez Push, les applications d’authentification, les jetons, les clés FIDO2 et les codes de récupération.

## Fonctionnement des méthodes MFA dans UserLock

Les méthodes MFA sont les moyens par lesquels les utilisateurs confirment leur identité à la connexion :

- Notifications Push
- Applications d’authentification (TOTP)
- Clés USB (HOTP)
- Clés de sécurité FIDO2

Vous les activez dans ⚙ **Paramètres serveur** ▸ **MFA**, sous **Méthodes d’authentification**.

![](https://a.storyblok.com/f/122374/1379x585/2303e16377/param-serveur-mfa-methodes-new.png)

Chaque carte indique le nombre d’utilisateurs enrôlés avec la méthode. Cliquez sur ce nombre pour les afficher. L’interrupteur active ou désactive la méthode.

**Avant d’activer des méthodes, tenez compte des points suivants :**

- Les méthodes MFA sont activées pour l’ensemble du serveur UserLock. Les [stratégies d’accès MFA](/userlock/docs/reference/strategies-acces/mfa) déterminent quand les utilisateurs s’authentifient, pas la méthode qu’ils utilisent.
- Les utilisateurs choisissent parmi les méthodes activées lors de leur enrôlement.
- Au moins une méthode doit rester activée.
- Désactiver une méthode ne supprime pas les enrôlements existants. Les utilisateurs déjà enrôlés peuvent toujours se connecter avec cette méthode, mais les nouveaux utilisateurs ne peuvent plus la choisir.
- Pour faire passer un utilisateur à une autre méthode, réinitialisez sa configuration MFA. L’utilisateur s’enrôle de nouveau à sa prochaine connexion.
- Un utilisateur ne peut pas associer des clés de sécurité FIDO2 aux notifications Push ni aux clés USB (HOTP).

## Activer les notifications Push

#### Prérequis des notifications Push

| Composant | Prérequis |
| --- | --- |
| **Licence** | Licence par abonnement. Avec une licence permanente, l’interrupteur Notifications Push est verrouillé. |
| **Serveur UserLock principal** | Accès HTTPS sortant (TCP 443) vers `push.isdecisions.com` et `idp.isdecisions.com`. |
| **Ordinateurs hors du réseau de l’entreprise** | [UserLock Anywhere](/userlock/docs/reference/modules/userlock-anywhere) configuré, et accès Internet sur l’ordinateur. |
| **Téléphones des utilisateurs** | [Application UserLock Push](/userlock/docs/reference/modules/userlock-push-application) installée. |

##### Activer les notifications Push

1. Dans ⚙ **Paramètres serveur** ▸ **MFA**, activez **Notifications Push**. UserLock se connecte au serveur de notifications Push d’IS Decisions.
2. Attendez le message **La connexion est établie !**, puis fermez la boîte de dialogue.
3. Sélectionnez **Sauvegarder**.

Si l’activation échoue, la boîte de dialogue affiche un code d’erreur. Vérifiez que le serveur principal a accès à Internet, et contactez le support IS Decisions si l’erreur persiste.

## Activer les applications d’authentification (TOTP)

Les utilisateurs peuvent s’enrôler avec n’importe quelle application d’authentification TOTP, comme Google Authenticator ou Microsoft Authenticator, ou avec un jeton programmable Token2.

1. Dans ⚙ **Paramètres serveur** ▸ **MFA**, activez **Application d’authentification (TOTP)**.
2. Sélectionnez **Sauvegarder**.

## Activer les clés USB (HOTP)

Les utilisateurs peuvent enrôler une YubiKey ou une clé HOTP Token2. Ils doivent l’enrôler depuis une session ouverte directement sur l’ordinateur, et non via le Bureau à distance.

1. Dans ⚙ **Paramètres serveur** ▸ **MFA**, activez **Clés USB (HOTP)**.
2. Sélectionnez **Sauvegarder**.

## Activer les clés de sécurité FIDO2

#### Prérequis FIDO2

| Composant | Prérequis |
| --- | --- |
| **Serveur UserLock ** | Version 13.1 ou ultérieure. Activez FIDO2 depuis le serveur principal : les serveurs de sauvegarde reçoivent la configuration FIDO2 de celui-ci. |
| **Agent Station UserLock** | Version 13.1 ou ultérieure, sur les ordinateurs où les utilisateurs se connectent avec une clé. |
| **Clés de sécurité** | Clés FIDO2 (CTAP2), utilisées en USB ou avec un lecteur NFC. |
| **Applications IIS** | Agent IIS et application UserLock IIS MFA, avec une URL publique qui utilise HTTPS et un nom de domaine. |
| **SSO** | Application UserLock IIS MFA, installée avant l’activation de FIDO2. |
| **Bureau à distance et RemoteApp** | Voir [Quels hôtes de session et clients prennent en charge les clés de sécurité ?](/userlock/docs/support/faq/cles-securite-fido2#4b33f93f-9ecc-4d44-8481-54d485e23e83) |

#### Choisir le Relying Party ID

Chaque clé est liée à un Relying Party ID (RP ID) : un nom de domaine que vous choisissez lors de l’activation de FIDO2. Choisissez-le en fonction de l’endroit où les utilisateurs se connectent avec leur clé :

- **Sessions Windows uniquement** : conservez le domaine proposé par UserLock, ou saisissez un autre domaine de votre choix.
- **Applications IIS ou SSO** : utilisez le domaine de l’URL publique de l’application MFA IIS, ou l’un de ses domaines parents. Pour `https://auth.example.com/ulmfa`, utilisez `example.com`.

Le RP ID doit être un nom de domaine contenant au moins un point. Il ne peut pas s’agir d’une adresse IP.

> **⚠️ Important**
>
> Modifier le RP ID par la suite oblige tous les utilisateurs FIDO2 à s’enrôler de nouveau. Si des utilisateurs risquent de se connecter plus tard à des applications IIS ou au SSO, choisissez dès maintenant le domaine de la future URL publique de l’application MFA IIS.

#### Activer FIDO2

1. Allez dans ⚙ **Paramètres serveur** ▸ **MFA**.
2. Si les utilisateurs se connectent à des applications IIS ou au SSO, sous **MFA pour sites Web sur serveurs IIS**, définissez l’**URL publique**.
3. Activez **Clés de sécurité FIDO2**. La boîte de dialogue **Configurer FIDO2** s’ouvre.
4. Dans **Relying Party ID FIDO2**, vérifiez le domaine proposé et modifiez-le si nécessaire.
5. Sélectionnez **Continuer**, puis **Sauvegarder**.

> **Note**
>
> L’activation de FIDO2 supprime l’URL privée de **MFA pour sites Web sur serveurs IIS**, si elle est configurée.

Pour d’autres questions, comme l’exigence du code PIN, la prise en charge du Bureau à distance, la connexion hors ligne ou les clés perdues, voir [FAQ > Clés de sécurité FIDO2](/userlock/docs/support/faq/cles-securite-fido2).

## Autoriser les utilisateurs à enregistrer une méthode de secours

Une méthode de secours permet aux utilisateurs de se connecter lorsque leur méthode principale n’est pas disponible, par exemple lorsqu’ils ont oublié leur téléphone.

Dans ⚙ **Paramètres serveur** ▸ **MFA**, sous **Enrôlement et récupération**, le paramètre **Méthode MFA alternative** propose trois options :

- **Activé** : les utilisateurs peuvent enregistrer une méthode de secours s’ils le souhaitent.
- **Désactivé** : les utilisateurs ne peuvent pas enregistrer de méthode de secours.
- **Forcer** : les utilisateurs doivent enregistrer une méthode de secours pour terminer leur enrôlement.

**Activé** et **Forcer** sont disponibles lorsqu’au moins deux méthodes sont activées, ou lorsque seule la méthode Clés de sécurité FIDO2 est activée, car les utilisateurs peuvent alors enregistrer une seconde clé.

> **Note**
>
> La console refuse de sauvegarder **Forcer** lorsque **Clés de sécurité FIDO2** est activé avec une seule autre méthode, **Notifications Push** ou **Clés USB (HOTP)**.
> Les utilisateurs qui s’enrôlent avec cette autre méthode n’auraient aucune méthode de secours possible, car une clé de sécurité ne peut pas leur servir de méthode de secours.
> Pour pouvoir sauvegarder, activez aussi **Application d’authentification (TOTP)**, ou choisissez **Activé** au lieu de **Forcer**.

## Configurer les codes de récupération

Les codes de récupération sont des codes à usage unique que les utilisateurs saisissent lorsque leur méthode MFA n’est pas disponible. UserLock les génère lors de l’enrôlement et ne les affiche qu’une seule fois.

1. Dans ⚙ **Paramètres serveur** ▸ **MFA**, sous **Enrôlement et récupération**, activez **Codes de récupération**.
2. Dans **Codes par utilisateur**, saisissez un nombre compris entre 4 et 20.
3. Sélectionnez **Sauvegarder**.

Cliquez sur **Voir un exemple** pour afficher les codes tels que les utilisateurs les voient. Les codes ne peuvent pas être affichés de nouveau : si un utilisateur les perd, réinitialisez sa configuration MFA.

> **Note**
>
> Sur un ordinateur qui ne peut pas joindre le serveur UserLock, les codes de récupération restent valides jusqu’à ce que l’ordinateur se reconnecte. UserLock marque alors comme utilisés les codes saisis hors ligne.