Compte, équipes et synchronisation

Ce que fait chaque champ, interrupteur et paramètre : 105 éléments sur cette page. C’est le texte derrière le ⓘ à côté de chaque libellé dans les applications : sur ordinateur, survolez-le ou cliquez dessus (ou appuyez sur F1 dans le champ) ; sur le téléphone, touchez-le.

La ligne sous chaque nom donne l’identifiant que le code utilise et indique quand une seule des applications a l’élément.

Compte : se connecter, créer, récupérer

Où: Paramètres › Compte et synchronisation.

URL du serveur

account.serverUrl

L’adresse du serveur de synchronisation Sternway que vous ou votre organisation exploitez. Un compte réside sur un serveur ; l’application fonctionne sans compte, et rien ne quitte alors cet appareil.

• Exemple: https://sternway.example.com
• Attention: Utilisez https://. Le simple http:// envoie vos identifiants de connexion sans protection ; l’application de bureau ne l’accepte que pour un serveur sur ce même ordinateur.
• En savoir plus: Lire la suite (en anglais)

E-mail

account.email

L’adresse e-mail sous laquelle votre compte est enregistré sur ce serveur. C’est votre nom d’utilisateur sur celui-ci.

• Exemple: ada@example.com

Mot de passe

account.password

Le mot de passe de votre compte. Il prouve votre identité au serveur et déverrouille aussi vos données chiffrées sur cet appareil ; le mot de passe lui-même n’est jamais envoyé.

Code d’authentification

account.totp

Le code à 6 chiffres que votre application d’authentification (Google Authenticator, Aegis, 1Password, etc.) affiche actuellement pour Sternway. Demandé uniquement si l’authentification à deux facteurs est activée pour le compte.

• Exemple: 492 817

Nom

account.name

Le nom que vos coéquipiers voient pour vous, par exemple dans la liste des membres d’une équipe. Jusqu’à 256 caractères.

• Exemple: Ada Lovelace

Mot de passe

account.newPassword

Le mot de passe du compte, d’au moins 8 caractères. Il chiffre aussi vos données avant tout envoi, pour que le serveur ne voie jamais vos hôtes ni vos clés.

• Attention: Personne ne peut le réinitialiser pour vous, pas même l’administrateur du serveur. Si vous l’oubliez, seul votre kit de récupération vous permet de revenir.

Confirmer le mot de passe

account.confirmPassword

Saisissez à nouveau le même mot de passe, pour détecter une faute de frappe tant qu’elle peut être corrigée.

Clé de récupération

account.recoveryKey

La clé de 52 caractères de votre kit de récupération, la page que vous avez imprimée ou enregistrée en le créant. Les espaces, tirets et majuscules n’ont pas d’importance.

• Exemple: ABCD-EFGH-JKMN-…
• Attention: La récupération définit un nouveau mot de passe et rend ce kit de récupération inutilisable : créez ensuite un nouveau kit.

Mot de passe de chiffrement

account.ssoEncryptionPassword

L’authentification unique prouve votre identité, mais ne peut pas déverrouiller vos données. Ce mot de passe distinct chiffre et déverrouille vos coffres sur vos appareils et ne les quitte jamais. Au moins 8 caractères lors de sa première définition.

• Attention: Votre organisation ne peut pas le réinitialiser. Conservez un kit de récupération.

Organisation SSO

account.ssoOrganization

Le nom court de l’authentification unique de votre équipe, choisi et communiqué par le propriétaire de l’équipe. Sternway vous redirige vers le fournisseur d’identité de cette équipe (Okta, Entra ID, Google Workspace, Keycloak, etc.). Laissez vide pour utiliser le fournisseur de connexion du serveur lui-même, s’il en a un.

• Exemple: acme
• Attention: Sur un serveur, les noms sont attribués au premier arrivé. Avant l’ouverture du navigateur, Sternway affiche le nom de l’équipe et l’adresse du fournisseur d’identité : ne continuez que si les deux sont les vôtres.
• En savoir plus: Lire la suite (en anglais)

Compte : profil et sécurité

Où: Paramètres › Compte et synchronisation, une fois connecté.

Nom d’affichage

profile.name · Ordinateur uniquement

Le nom que vos coéquipiers voient pour vous. Obligatoire, 256 caractères maximum.

E-mail

profile.email · Ordinateur uniquement

La nouvelle adresse e-mail de votre compte. Vous vous connecterez désormais avec elle.

Mot de passe actuel

account.currentPassword

Le mot de passe actuel de votre compte, pour prouver que c’est bien vous qui faites cette modification.

Nouveau mot de passe

security.newPassword

Le nouveau mot de passe, d’au moins 8 caractères et différent de l’actuel. Vos données restent chiffrées ; leurs clés sont rechiffrées avec le nouveau mot de passe.

• Attention: Changer le mot de passe rend votre kit de récupération inutilisable. Créez-en un nouveau juste après.

Code d’authentification

twoFactor.code

Le code à 6 chiffres qu’affiche votre application d’authentification après y avoir ajouté le secret ci-dessus. Le saisir prouve que l’application est configurée ; dès lors, la connexion nécessite votre mot de passe et un code.

• Attention: Activer l’authentification à deux facteurs affiche une seule fois dix codes de récupération à usage unique : enregistrez-les. La désactiver nécessite un code actuel et supprime ces codes de récupération.

Nom de la clé d’accès

account.passkeyName

Un nom pour distinguer cette clé d’accès dans la liste, comme l’appareil ou le gestionnaire de mots de passe qui la contient. Jusqu’à 64 caractères. L’ajout de la clé d’accès demande aussi votre mot de passe (et votre code d’authentification si l’authentification à deux facteurs est activée), car une clé d’accès remplace ce code à la connexion.

• Exemple: Portable pro (Windows Hello)
• En savoir plus: Lire la suite (en anglais)

Code

account.emailCode

Le code à six chiffres que votre serveur a envoyé à l’adresse e-mail de votre compte. Le saisir prouve que l’adresse est à vous ; vos coéquipiers la voient alors comme vérifiée. Un code vaut 15 minutes et cinq essais ; demandez-en un nouveau ensuite.

• En savoir plus: Lire la suite (en anglais)

J’ai imprimé ou enregistré mon kit de récupération

recovery.stored

Cochez cette case une fois la clé de récupération en lieu sûr hors de cet appareil. Elle n’est affichée qu’une seule fois, et c’est le seul moyen de revenir si vous oubliez votre mot de passe.

• Attention: Quiconque possède cette clé et connaît votre adresse e-mail peut définir un nouveau mot de passe pour le compte. Rangez-la comme un double de clé de maison, pas dans une note sur cet appareil.

Tapez DELETE pour confirmer

danger.typeDelete · Ordinateur uniquement

Un ralentisseur volontaire : le bouton ne fonctionne qu’une fois le mot DELETE saisi en majuscules.

• Attention: Supprimer un compte le retire du serveur avec ses données synchronisées (restaurable pendant 30 jours). Réinitialiser un compte supprime définitivement tous les coffres et éléments, sans retour possible.

Annuaire de clés publiques

Où: Paramètres › Compte et synchronisation › Annuaire de clés publiques (ordinateur).

Identifiant

keyDirectory.handle · Ordinateur uniquement

Un nom public court sous lequel vos clés publiques SSH sont publiées sur votre serveur Sternway, pour qu’un administrateur de serveur puisse les récupérer sans échange de fichiers de clé par e-mail. De 3 à 32 lettres minuscules, chiffres ou tirets.

• Exemple: ada
• Attention: Quiconque peut joindre le serveur peut lire les clés publiées sous un identifiant, sans se connecter. Les clés publiques peuvent être partagées sans risque, mais l’identifiant révèle quelles clés sont les vôtres.

Mot de passe du compte

keyDirectory.password · Ordinateur uniquement

Le mot de passe de votre compte, nécessaire pour modifier l’identifiant ou les clés publiées.

Clés à publier

keyDirectory.keys · Ordinateur uniquement

Cochez les clés dont la partie publique doit être listée sous votre identifiant. Seule la partie publique est publiée. Si aucune n’est cochée, la publication les retire toutes.

Équipes et coffres

Où: Paramètres › Compte et synchronisation › Équipes, Coffres (ordinateur).

Lien d’invitation

teams.inviteLink

Le lien de l’e-mail d’invitation envoyé par le propriétaire d’une équipe. Le coller fait rejoindre cette équipe avec le compte auquel vous êtes connecté. Une invitation fonctionne une seule fois, pendant 7 jours après son envoi, et uniquement pour le compte dont l’adresse e-mail l’a reçue.

Nom de l’équipe

teams.name

Le nom de l’équipe. Une équipe est un groupe de comptes qui partagent des coffres d’hôtes, de clés et d’extraits. Obligatoire, 256 caractères maximum.

• Exemple: Équipe plateforme

Inviter par e-mail

teams.inviteEmail

L’adresse e-mail de la personne à inviter. Elle reçoit un lien pour rejoindre ; elle a besoin d’un compte sur ce serveur avec cette même adresse e-mail, ou doit en créer un. Le lien fonctionne une seule fois et expire après 7 jours ; invitez-la à nouveau ensuite.

Accès au coffre

teams.memberPermission

Ce que ce membre peut faire dans le coffre : « Modification » lui permet d’en changer le contenu, « Lecture seule » lui permet de le voir et de l’utiliser sans le modifier, « Retirer l’accès » lui retire le coffre. En « Lecture seule », un membre peut se connecter aux hôtes du coffre et lire ses journaux de session, mais ne peut rien y ajouter, modifier, déplacer, renommer ni supprimer, ni y enregistrer un mot de passe ou une clé d’hôte, ni changer sa journalisation.

• Attention: « Lecture seule » n’est pas un moyen de cacher des secrets à quelqu’un. L’application ne propose pas « Exporter la clé privée » ni « Copier la clé privée » à un membre en lecture seule, mais c’est une règle de l’application, pas du chiffrement : ses appareils reçoivent la clé du coffre, donc son contenu (mots de passe enregistrés, clés privées) peut y être lu, et ses éléments peuvent être copiés dans un coffre lui appartenant.

Membre

teams.accessMember · Ordinateur uniquement

Le membre de l’équipe à qui donner ce coffre. Seuls les membres qui ont rejoint l’équipe et n’ont pas accès au coffre maintenant sont proposés ; invitez d’abord quelqu’un dans l’équipe pour l’ajouter.

Fin de l’accès

teams.accessEnds

Quand l’accès du membre à ce coffre prend fin de lui-même. La fin est signée dans la liste des membres de l’équipe : l’app de chaque membre y met fin à ce moment-là, quoi que dise le serveur, et le serveur refuse le membre à partir de là. Ensuite le coffre a besoin d’une nouvelle clé, comme après un retrait d’accès : renouvelez-la. Choisir à nouveau Peut modifier ou Lecture seule garde la fin ; redonner l’accès sans fin la supprime.

• Par défaut: Jamais : jusqu’à ce que vous retiriez l’accès.
• Attention: La fin empêche les apps du membre d’ouvrir le coffre et de recevoir du nouveau ; ce que ses appareils ont reçu avant a pu être copié, comme pour tout retrait.

Exiger la 2FA

teams.require2fa · Ordinateur uniquement

Les membres doivent avoir activé l’authentification à deux facteurs sur leur compte pour ouvrir les coffres de cette équipe. L’effet est immédiat ; les membres qui ne l’ont pas sont exclus des coffres d’équipe jusqu’à ce qu’ils l’activent.

• Par défaut: Désactivé.

Enregistrer les sessions sur les hôtes de l’équipe

teams.recordSessions · Ordinateur uniquement

L’application de bureau de chaque membre enregistre chaque session vers un hôte des coffres de cette équipe, quels que soient les paramètres de l’hôte ou du membre, et y affiche un badge rouge « Enregistrement ». Les enregistrements restent sur l’appareil de chaque membre ; Sternway n’envoie pas les enregistrements au serveur. L’application mobile n’enregistre pas encore, les sessions sur téléphone ne sont donc pas couvertes.

• Par défaut: Désactivé.
• Attention: Un enregistrement contient tout ce qui s’affiche dans le terminal. Prévenez votre équipe avant d’activer cette option.
• En savoir plus: Lire la suite (en anglais)

Devenir de son compte

teams.removeMode · Ordinateur uniquement

« Convertir en compte individuel » le retire de l’équipe et lui laisse un compte personnel. « Supprimer son compte » supprime le compte du serveur.

• Par défaut: Convertir en compte individuel.
• Attention: Dans les deux cas, les clés de tous les coffres qu’il pouvait ouvrir sont remplacées, et ce qu’il connaissait cesse de fonctionner.

Transférer la propriété

teams.transferTo · Ordinateur uniquement

Le membre qui devient propriétaire de l’équipe une fois qu’il accepte. D’ici là, vous restez propriétaire ; ensuite, vous conservez l’accès en modification aux coffres de l’équipe.

Quitter l’équipe

teams.leave

Retire votre compte de l’équipe. Un membre part immédiatement : les coffres de l’équipe et leurs copies sur vos appareils disparaissent, votre compte et votre propre coffre restent. Le propriétaire part en choisissant un nouveau propriétaire, et le reste jusqu’à ce que ce membre accepte ; un propriétaire seul membre supprime plutôt l’équipe.

• Attention: Ce que vous avez enregistré dans les coffres de l’équipe reste à l’équipe. Copiez d’abord ce dont vous avez besoin dans votre propre coffre.

Nouveau propriétaire

teams.leaveNewOwner

Le membre qui reprend l’équipe. Il est d’abord sollicité : vous restez propriétaire jusqu’à ce qu’il accepte, puis vous quittez l’équipe. D’ici là, vous pouvez annuler, et il peut refuser.

En attente du nouveau propriétaire

teams.pendingTransfer

Vous avez demandé à un membre de reprendre l’équipe. Rien ne change tant qu’il n’accepte pas ; ensuite, l’équipe lui appartient et, si vous avez choisi de partir, vous n’en faites plus partie. « Annuler le transfert » retire la demande.

Reprendre … ?

teams.ownershipOffer

Le propriétaire vous a demandé de devenir propriétaire de l’équipe. Accepter fait de vous le propriétaire : vous gérez ses membres, coffres et paramètres, et vous obtenez l’accès en modification à tous les coffres de l’équipe. Refuser laisse tout en l’état et en informe le propriétaire.

• Attention: Si le propriétaire a choisi de partir, il perd l’accès aux coffres de l’équipe dès que vous acceptez, et les coffres qu’il pouvait ouvrir sont marqués pour un renouvellement de clés.

Supprimer l’équipe

teams.delete

Supprime l’équipe pour tout le monde : ses coffres avec tous les hôtes, clés et extraits qu’ils contiennent, l’accès de ses membres, les invitations en attente et son journal d’audit. Les appareils de chaque membre suppriment leurs copies des coffres à leur prochaine synchronisation. Seul le propriétaire peut le faire, et seulement après avoir saisi le nom de l’équipe.

• Attention: Cette action est irréversible. Exportez d’abord les hôtes de l’équipe si vous risquez d’en avoir à nouveau besoin.

Numéro de sécurité

teams.safetyNumber

Trente chiffres calculés à partir des clés de chiffrement d’un compte. Le vôtre se trouve dans Compte › Sécurité ; celui de chaque coéquipier, sur sa ligne dans l’équipe. Comparez-les en personne ou par un autre canal de confiance : s’ils correspondent, les clés sont bien celles de cette personne, et le serveur ne peut ni lire ni modifier ce que l’équipe partage. « Marquer comme vérifié » s’en souvient sur cet appareil.

• Attention: Un numéro qui change signifie que les clés du compte ont changé (une réinitialisation du compte, ou quelqu’un au milieu). Sternway suspend ce qui en dépend jusqu’à ce que vous compariez le nouveau numéro.
• En savoir plus: Lire la suite (en anglais)

J’ai comparé ce numéro avec …

teams.restoreCompared

Cochez cette case une fois que vous et la personne avez comparé le numéro de sécurité de cette ligne avec celui de son propre Compte › Sécurité, en personne ou par un autre canal de confiance. « Rétablir » sur la ligne l’ajoute alors à la liste des membres de l’équipe avec ce numéro et partage exactement les coffres affichés. « Tout rétablir » laisse de côté toute personne dont vous n’avez pas marqué le numéro comme vérifié.

• Attention: Un numéro que vous n’avez pas comparé peut être une clé placée par le serveur : qui la détient peut lire les coffres que vous partagez avec elle.
• En savoir plus: Lire la suite (en anglais)

Nom de l’équipe, pour confirmer

teams.deleteName

Saisissez le nom de l’équipe exactement tel qu’il est affiché, avec les mêmes majuscules et espaces. Supprimer l’équipe reste désactivé tant qu’il ne correspond pas.

Mot de passe de la sauvegarde

teams.exportPassword

Le mot de passe qui chiffre le fichier écrit par « Exporter d’abord les hôtes de l’équipe », d’au moins 8 caractères. Le fichier ne contient que les coffres de l’équipe, clés et mots de passe enregistrés compris. Restauré après la disparition de l’équipe, son contenu va dans votre propre coffre.

• Attention: Il est irrécupérable : sans lui, le fichier ne peut pas être ouvert. Quiconque a le fichier et le mot de passe possède toutes les clés des coffres de l’équipe.

Authentification unique (SAML)

teams.saml · Ordinateur uniquement

Permet aux membres de l’équipe de se connecter via le fournisseur d’identité de votre organisation (Okta, Entra ID, Google Workspace, Keycloak et d’autres qui prennent en charge SAML 2.0). Il prouve leur identité ; leur propre mot de passe de chiffrement déverrouille toujours leurs données.

• Par défaut: Non configuré.
• En savoir plus: Lire la suite (en anglais)

Nom de l’organisation SSO

teams.samlOrganization · Ordinateur uniquement

Le nom court que les membres saisissent à « Se connecter avec SSO » pour atteindre le fournisseur d’identité de cette équipe. Unique sur le serveur ; lettres minuscules, chiffres et tirets.

• Exemple: acme
• En savoir plus: Lire la suite (en anglais)

URL des métadonnées de l’IdP

teams.samlMetadataUrl · Ordinateur uniquement

L’emplacement où votre fournisseur d’identité publie ses métadonnées SAML. Sternway (cette application, pas le serveur) les télécharge et renseigne l’ID d’entité, l’URL de connexion et les certificats de signature. Récupérez-les à nouveau après que le fournisseur a renouvelé son certificat.

• Exemple: https://login.example.com/app/sternway/sso/saml/metadata

XML des métadonnées de l’IdP

teams.samlMetadataXml · Ordinateur uniquement

Le document de métadonnées SAML du fournisseur d’identité, collé ou chargé depuis un fichier, lorsqu’il n’a pas d’URL où le récupérer.

ID d’entité de l’IdP

teams.samlEntityId · Ordinateur uniquement

Le nom que se donne le fournisseur d’identité (son Issuer). Chaque connexion qu’il envoie doit porter exactement cette valeur.

• Exemple: https://sts.windows.net/0000…/

URL de connexion de l’IdP

teams.samlSsoUrl · Ordinateur uniquement

L’adresse d’authentification unique du fournisseur d’identité pour la liaison HTTP-Redirect. Les navigateurs des membres y sont redirigés pour se connecter.

• Attention: Doit utiliser https:// (le simple http:// n’est accepté que pour un fournisseur sur la machine même du serveur).

Certificat de signature

teams.samlCert · Ordinateur uniquement

Le certificat (PEM) avec lequel votre fournisseur d’identité signe les connexions. Une connexion signée avec toute autre clé est refusée.

Second certificat de signature

teams.samlCert2 · Ordinateur uniquement

Le certificat suivant pendant que votre fournisseur d’identité renouvelle sa clé de signature : les deux sont acceptés jusqu’à ce que vous retiriez l’ancien.

• Par défaut: Vide : seul le premier certificat est accepté.

Attribut e-mail

teams.samlEmailAttribute · Ordinateur uniquement

L’attribut SAML qui porte l’adresse e-mail du membre.

• Par défaut: Vide : le NameID si son format est emailAddress, sinon un attribut nommé email ou mail.
• Exemple: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Attribut nom

teams.samlNameAttribute · Ordinateur uniquement

L’attribut SAML qui porte le nom d’affichage du membre, affiché à la création d’un nouveau compte.

• Par défaut: Vide : un attribut nommé displayName ou name, sinon l’adresse e-mail.

Exiger le SSO pour les membres

teams.samlRequire · Ordinateur uniquement

Les membres (pas vous, le propriétaire) ne peuvent alors se connecter à Sternway que via le fournisseur d’identité de cette équipe ; la connexion avec le seul mot de passe ou un autre fournisseur est refusée. Ils saisissent toujours leur mot de passe de chiffrement.

• Par défaut: Désactivé.
• Attention: Vous conservez la connexion par mot de passe, pour pouvoir corriger une configuration défaillante. Un membre qui quitte l’équipe peut à nouveau se connecter avec son mot de passe.

Résumé d’activité

teams.digest · Ordinateur uniquement

Un récapitulatif par e-mail, pour le propriétaire, des changements dans les coffres de l’équipe : qui a modifié quoi et quand, jamais le contenu.

• Par défaut: Désactivé.

Équipe

vaults.team · Ordinateur uniquement

L’équipe à laquelle appartient le nouveau coffre. Ses membres peuvent recevoir l’accès au coffre.

Nom du coffre

vaults.name · Ordinateur uniquement

Le nom du coffre. Un coffre est une collection chiffrée séparément d’hôtes, de clés et d’extraits, qui peut être partagée avec une équipe. Obligatoire, 256 caractères maximum.

• Exemple: Serveurs de production

Règles d’équipe

Où: Paramètres › Compte et synchronisation › Équipes › une équipe › Règles.

Règle

teamAdmin.mode

« Aucune règle » laisse le réglage à chaque membre. « Suggérée » s’applique quand un membre n’a pas de réglage à lui, et il peut utiliser le sien. « Verrouillée » est un plancher : les membres peuvent la rendre plus stricte, jamais plus souple.

• Par défaut: Aucune règle.
• Attention: Assouplir une règle demande de confirmer votre identité, et le propriétaire est prévenu.
• En savoir plus: Lire la suite (en anglais)

Motif

teamAdmin.reason

Pourquoi la règle est fixée ; les membres le voient en texte brut à côté du réglage. 280 caractères au maximum. Le serveur de synchronisation peut le lire.

• En savoir plus: Lire la suite (en anglais)

Exiger l’authentification à deux facteurs

policy.auth.require2fa

Les membres doivent avoir l’authentification à deux facteurs sur leur compte pour utiliser les coffres, modifications et rapports de cette équipe. La connexion et les coffres personnels ne sont jamais bloqués. Appliqué par le serveur.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Exiger une connexion par clé d’accès

policy.auth.requirePasskey

Qui doit s’être connecté avec une clé d’accès pour utiliser les ressources de cette équipe : tout le monde, ou seulement le propriétaire, les administrateurs et les rôles qui signent. Appliqué par le serveur. Incompatible avec « Exiger la connexion SSO ».

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Exiger la connexion SSO

policy.auth.requireSso

Les membres se connectent à cette équipe par l’authentification unique de votre organisation. Seul le propriétaire le modifie.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Version de l’application la plus ancienne autorisée

policy.apps.minVersion

Les applications plus anciennes que cette version ne peuvent pas utiliser les ressources de cette équipe avant leur mise à jour. Les administrateurs ne peuvent la relever que jusqu’à une version déjà signalée par les appareils d’autres membres ; les sessions du propriétaire ne sont jamais bloquées.

• Par défaut: Aucune règle.
• Attention: Un relèvement s’applique aux sessions existantes 24 heures après sa signature ; le rapport liste les appareils qu’il bloquerait.
• En savoir plus: Lire la suite (en anglais)

Exiger le verrouillage de l’application

policy.lock.required

Active le verrouillage de l’application sur l’appareil de chaque membre. Appliqué par l’application de chaque membre.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Verrouiller l’application au plus tard après

policy.lock.maxMinutes

La durée maximale pendant laquelle l’application d’un membre peut rester déverrouillée sans être utilisée, en minutes (1 à 1440). Une durée plus courte choisie par le membre est conservée.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Autoriser les shells locaux

policy.localShell.allowed

Si les membres peuvent ouvrir un shell sur leur propre ordinateur pendant qu’ils utilisent les hôtes de cette équipe. Désactivé est plus strict.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Effacer les secrets copiés au plus tard après

policy.clipboard.maxClearSec

La durée maximale pendant laquelle un mot de passe ou une clé copiés peuvent rester dans le presse-papiers, en secondes (1 à 3600). Une durée plus courte choisie par le membre est conservée.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Se connecter avec des clés uniquement, sans mot de passe

policy.hosts.keysOnly

Les hôtes de l’équipe se connectent uniquement avec des clés : aucun mot de passe n’est enregistré ni envoyé pour eux. Appliqué par l’application de chaque membre.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Clés d’hôte inconnues

policy.ssh.hostKeyPolicy

« Refuser les clés inconnues » ne se connecte jamais à un hôte dont la clé n’est pas encore connue ; « Demander » demande d’abord au membre.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Transfert de l’agent SSH

policy.ssh.agentForwarding

Ce que l’agent SSH transfère aux hôtes de l’équipe, à chaque rebond : rien, seulement la clé de connexion ou toutes les clés. Les valeurs plus strictes l’emportent sur le réglage d’un membre.

• Par défaut: Aucune règle.
• Attention: Un agent transféré permet à quiconque est root sur l’hôte d’utiliser vos clés tant que vous êtes connecté.
• En savoir plus: Lire la suite (en anglais)

Autoriser les anciens algorithmes SSH

policy.ssh.legacyAlgorithms

Si les connexions aux hôtes de l’équipe peuvent utiliser d’anciens algorithmes SSH plus faibles (pour d’anciens appareils). Désactivé est plus strict.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Les redirections de ports n’écoutent que sur cet appareil

policy.forwards.loopbackOnly

Les redirections de ports vers les hôtes de l’équipe n’écoutent que sur l’ordinateur du membre, pas sur son réseau.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Les membres peuvent ajouter des hôtes

policy.hosts.membersMayAdd

Si les membres qui ne signent pas de modifications peuvent ajouter des hôtes aux coffres de l’équipe. Appliqué par le serveur.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Export sans chiffrement

policy.export.plaintext

Si les données de l’équipe peuvent être exportées dans un fichier non chiffré. « Bloqué » autorise toujours les sauvegardes chiffrées, et une clé privée de l’équipe exportée ou copiée avec une phrase secrète ; les clés du propriétaire de l’équipe sortent dans tous les cas. Les hôtes de l’équipe sont exclus du CSV d’inventaire, et les enregistrements de ses hôtes ne sont pas exportés.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Copier ou déplacer des éléments hors de l’équipe

policy.items.copyOut

« Seulement au sein de l’équipe » empêche de copier ou déplacer hôtes, clés et snippets vers un coffre personnel ou celui d’une autre équipe, et d’exporter ou copier les clés privées de l’équipe, même avec une phrase secrète. Copier et déplacer entre les coffres de l’équipe reste possible, et le propriétaire de l’équipe peut toujours exporter les clés.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Assistant IA

policy.ai.mode

Si l’assistant IA peut être utilisé avec les hôtes de l’équipe : désactivé, seulement avec les fournisseurs approuvés ci-dessous, ou avec tout fournisseur.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Fournisseurs d’IA approuvés

policy.ai.approvedProviders

Les adresses (origines https) des fournisseurs d’IA que les membres peuvent utiliser avec les hôtes de l’équipe quand l’assistant est limité aux fournisseurs approuvés. Un fournisseur ne correspond que si son adresse est exactement l’une d’elles.

• Par défaut: Aucun.
• En savoir plus: Lire la suite (en anglais)

Partage de session

policy.share.mode

Si les membres peuvent partager une session vers un hôte de l’équipe : désactivé, lecture seule ou avec contrôle.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Partage de session le plus long

policy.share.maxHours

La durée maximale d’un partage de session, en heures (1 à 168).

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

La synchronisation de dossiers peut inclure les données de l’équipe

policy.folderSync.teamData

Si la synchronisation de dossiers peut écrire les coffres de l’équipe dans un dossier. Désactivé est plus strict.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Accès aux coffres le plus long

policy.grants.maxDays

L’accès le plus long à un coffre de l’équipe que peut donner quiconque sauf le propriétaire, en jours (1 à 3650). Appliqué par le serveur.

• Par défaut: Aucune règle.
• En savoir plus: Lire la suite (en anglais)

Enregistrer les sessions

policy.recording.required

L’application de chaque membre enregistre les sessions vers les hôtes de l’équipe. Seul le propriétaire le modifie.

• Par défaut: Aucune règle.
• Attention: Un enregistrement contient tout ce qui s’affiche dans le terminal. Prévenez votre équipe avant de l’activer.
• En savoir plus: Lire la suite (en anglais)

Conserver les enregistrements au plus

policy.retention.recordingsMaxDays

La durée maximale pendant laquelle l’appareil d’un membre garde les enregistrements des sessions de l’équipe, en jours (1 à 3650). Les administrateurs peuvent seulement l’augmenter ; seul le propriétaire la baisse.

• Par défaut: Aucune règle.
• Attention: Une valeur plus basse supprime les enregistrements plus anciens.
• En savoir plus: Lire la suite (en anglais)

Conserver les journaux de session sur le serveur pendant

policy.retention.sessionLogsMaxDays

Combien de temps le serveur garde les journaux de session de l’équipe, en jours (1 à 3650). Les administrateurs peuvent seulement l’augmenter ; seul le propriétaire l’ajoute, la baisse ou la retire.

• Par défaut: Aucune règle.
• Attention: Une valeur plus basse supprime les journaux plus anciens.
• En savoir plus: Lire la suite (en anglais)

Conserver le journal d’audit pendant

policy.audit.retentionDays

Combien de temps le serveur garde le journal d’audit de l’équipe, en jours : 0 le garde pour toujours, sinon au moins 30. Les administrateurs peuvent seulement l’augmenter ; seul le propriétaire l’ajoute, la baisse ou la retire.

• Par défaut: Aucune règle.
• Attention: Une valeur plus basse supprime les événements d’audit plus anciens.
• En savoir plus: Lire la suite (en anglais)

Rôles d’équipe, gouvernance, mise à niveau et restauration

Où: Paramètres › Compte et synchronisation › Équipes › une équipe.

Rôle

teamAdmin.role

Ce que ce membre peut faire dans l’équipe : membre, administrateur ou rôle personnalisé. Un rôle qui signe des modifications ne va qu’à un membre dont vous avez vérifié le numéro de sécurité.

• Par défaut: Membre.
• En savoir plus: Lire la suite (en anglais)

Nom du rôle

teamAdmin.roleName

Le nom du rôle, affiché sur les lignes des membres. 280 caractères au maximum. Le serveur de synchronisation peut le lire.

• En savoir plus: Lire la suite (en anglais)

Autorisations

teamAdmin.perms

Ce que peuvent faire les titulaires du rôle. Inviter, retirer, créer, partager, renouveler, supprimer et gérer les règles signent des modifications de l’équipe ; voir les rapports et exporter le journal d’audit, non.

• En savoir plus: Lire la suite (en anglais)

Les administrateurs peuvent supprimer des coffres

teamAdmin.adminsMayDeleteVaults

Permet aux administrateurs ayant l’accès en modification à un coffre de le supprimer. Vous pouvez restaurer un coffre supprimé pendant 30 jours.

• Par défaut: Désactivé.
• En savoir plus: Lire la suite (en anglais)

Supprimer un coffre demande votre approbation

teamAdmin.deleteApproval

La suppression par un administrateur vous est envoyée comme proposition au lieu d’avoir lieu tout de suite.

• Par défaut: Désactivé.
• En savoir plus: Lire la suite (en anglais)

Assouplir une règle demande votre approbation

teamAdmin.relaxApproval

L’assouplissement d’une règle par un administrateur vous est envoyé comme proposition au lieu d’avoir lieu tout de suite.

• Par défaut: Désactivé.
• En savoir plus: Lire la suite (en anglais)

Délai avant qu’un assouplissement prenne effet

teamAdmin.relaxDelay

Combien de temps le réglage le plus strict reste en place après qu’un administrateur assouplit une règle, pour que vous puissiez l’annuler : aucun, 15 minutes, 1 heure, 4 heures ou 24 heures.

• Par défaut: Aucun délai.
• En savoir plus: Lire la suite (en anglais)

Fermer les versions perdues

teamAdmin.closeLost

Les anciennes clés de coffre que cet appareil n’a jamais eues ne peuvent pas entrer dans la nouvelle liste de membres. Les fermer garde lisibles les éléments écrits sous elles là où la clé est détenue, et plus rien n’est écrit sous elles.

• En savoir plus: Lire la suite (en anglais)

Qui signe les modifications

teamAdmin.signing

Propriétaire et administrateurs : les administrateurs et les rôles que vous accordez signent les modifications dans le cadre des règles. Vous seul : vous signez chaque modification, et les administrateurs peuvent proposer.

• Par défaut: Propriétaire et administrateurs.
• En savoir plus: Lire la suite (en anglais)

Appliquer la politique de … à mes propres hôtes et clés sur cet appareil

teamAdmin.personalOptIn

La politique de l’équipe couvre ses propres coffres. Activée, elle couvre aussi vos hôtes, clés et réglages personnels sur cet appareil : ses valeurs verrouillées y sont aussi un minimum. Cela s’applique à cet appareil seulement, et vous seul pouvez le modifier.

• Par défaut: Désactivée.
• En savoir plus: Lire la suite (en anglais)

Nom du nouveau coffre

teamAdmin.restoreName

Le nom du coffre créé à partir de la copie de cet appareil. Il reçoit de nouvelles clés ; les membres n’y ont accès que lorsque vous le leur donnez.

• En savoir plus: Lire la suite (en anglais)

Synchroniser via un dossier

Où: Paramètres › Compte et synchronisation › Synchroniser via un dossier, sans être connecté (ordinateur et Android).

Dossier

folderSync.folder

Un dossier qu’un outil de synchronisation que vous utilisez déjà transporte vers vos autres appareils : Dropbox, OneDrive, Google Drive pour ordinateur, iCloud Drive, Syncthing ou un partage réseau. Sternway y crée un dossier « Sternway Sync » et n’y écrit que des fichiers chiffrés. Chaque appareil synchronisé pointe vers le même dossier.

• Exemple: ~/Dropbox
• Attention: Utilisez un dossier que vous seul pouvez ouvrir. Quiconque a les fichiers et votre phrase secrète de synchronisation peut lire vos hôtes et vos clés.
• En savoir plus: Lire la suite (en anglais)

Phrase secrète de synchronisation

folderSync.passphrase

Chiffre tout ce que Sternway écrit dans le dossier. Le premier appareil la définit ; chaque autre appareil la demande une fois, quand vous y activez la synchronisation par dossier. Au moins 12 caractères ; quelques mots sans rapport entre eux sont faciles à taper et difficiles à deviner.

• Attention: Personne ne peut la récupérer pour vous. Les appareils déjà synchronisés continuent de fonctionner sans elle, mais un nouvel appareil ne peut pas rejoindre la synchronisation : conservez-la dans votre gestionnaire de mots de passe.
• En savoir plus: Lire la suite (en anglais)

Confirmer la phrase secrète de synchronisation

folderSync.confirmPassphrase

Saisissez à nouveau la même phrase secrète, pour détecter une faute de frappe.

Désactiver

folderSync.turnOff · Ordinateur uniquement

Cet appareil cesse de lire et d’écrire dans le dossier. Vos hôtes, clés et paramètres restent ici tels quels, et le dossier conserve ses fichiers pour vos autres appareils.

Verrouillage de l’application

Où: Paramètres › Sécurité › Verrouillage de l’application ; l’écran de verrouillage.

Code PIN ou phrase secrète actuel

appLock.current

Le code qui déverrouille actuellement l’application, nécessaire pour le modifier ou désactiver le verrouillage.

Nouveau code PIN ou phrase secrète

appLock.new

Le code que vous saisirez pour ouvrir l’application, d’au moins 4 caractères (sur un ordinateur sans trousseau système, où c’est aussi la phrase secrète qui chiffre les données : au moins 8, et pas uniquement des chiffres). L’application démarre alors verrouillée et se reverrouille après une période d’inactivité. Le verrouillage masque l’application ; vos sessions continuent de tourner.

• Attention: Il n’y a pas de « code PIN oublié » : seul un hachage salé est stocké (plus, sur un téléphone avec le déverrouillage par empreinte ou visage activé, le code PIN lui-même dans le stockage sécurisé du téléphone). Trop d’essais erronés font attendre l’application de plus en plus longtemps entre les tentatives.

Confirmer

appLock.confirm

Saisissez à nouveau le même code, pour détecter une faute de frappe avant de vous retrouver bloqué.

Déverrouiller par empreinte ou visage

appLock.biometric · Téléphone uniquement

Ouvrir l’application avec la vérification par empreinte ou visage du téléphone au lieu de saisir le code PIN. Saisissez d’abord votre code PIN actuel ci-dessus, puis activez cette option.

• Par défaut: Désactivé.
• Attention: Pour que cela fonctionne, le code PIN est conservé dans le stockage sécurisé du téléphone (trousseau iOS, Android Keystore) et lu par l’application après une vérification biométrique réussie. Désactiver cette option, ou le verrouillage, le supprime.

Code PIN

lock.code

Le code choisi pour le verrouillage de l’application. Les sessions continuent de tourner pendant que l’application est verrouillée.

• Attention: Après 5 essais erronés, l’application vous fait patienter, 30 secondes d’abord, puis deux fois plus à chaque fois.

Nouvelle phrase secrète

lock.createPassphrase · Ordinateur uniquement

Tout ce que Sternway enregistre sur cet ordinateur est chiffré avec une clé aléatoire, normalement conservée par le trousseau du système (trousseau macOS, Windows DPAPI, le trousseau Linux). Cet ordinateur n’en a aucun auquel l’application se fie : pas de trousseau, ou seulement le stockage « basic » non protégé. La clé est donc chiffrée avec une phrase secrète de votre choix, jamais stockée sans protection. Au moins 8 caractères, et pas uniquement des chiffres. Vous la saisissez à chaque démarrage de l’application ; elle sert aussi de verrouillage de l’application, et peut être modifiée mais pas désactivée.

• Attention: Elle est irrécupérable. Sans elle, les données de cet appareil ne peuvent pas être ouvertes.

Confirmer la phrase secrète

lock.confirmPassphrase · Ordinateur uniquement

Saisissez à nouveau la même phrase secrète, pour détecter une faute de frappe.