Cas d’usage · équipes tech
La 2FA des comptes d’infrastructure, pour les équipes tech
Compte racine cloud, registrar, DNS, organisation GitHub : rendez les codes 2FA des comptes critiques accessibles à l’astreinte, par le web, l’API ou un agent, avec un journal de chaque accès.
Les comptes les plus sensibles d’une équipe tech sont aussi ceux qu’on utilise le moins : le compte racine du fournisseur cloud, le registrar, le DNS, le propriétaire de l’organisation GitHub. Leur 2FA est souvent configurée une fois, sur le téléphone d’une seule personne, et oubliée jusqu’à l’incident.
Ce qui coince sans coffre partagé
- Un incident à 3 h du matin exige le compte racine, et la graine est sur le téléphone de quelqu’un qui dort.
- Le domaine expire, et le compte du registrar est protégé par le téléphone d’un ancien associé.
- La graine a été collée dans un wiki ou une variable d’environnement « pour dépanner », et personne ne sait plus qui l’a copiée.
Comment Share Auth s’y prend
L’astreinte a le code, pas la graine. Les membres d’astreinte sont lecteurs : ils obtiennent le code courant sans pouvoir copier ce qui le produit. Les graines restent chiffrées dans le coffre.
Chaque accès laisse une trace. Le journal d’accès dit qui a obtenu le code du compte racine, quand et depuis quelle adresse : de quoi reconstituer qui a fait quoi pendant un incident.
Par l’outil qui convient. Le site pour un accès ponctuel, l’API pour un script, le connecteur MCP pour un agent IA, Slack ou Discord pour le canal d’astreinte, limité par les restrictions par canal aux seuls comptes utiles.
Des jetons qui ne servent qu’à ça. Un jeton d’API peut être limité à la lecture des codes, pour une durée de 1 à 90 jours, et révoqué à tout moment.
Pour aller plus loin
Questions fréquentes
Oui, par l’API, avec un jeton limité à la lecture des codes. Il ne peut rien modifier, expire après la durée choisie et chaque code obtenu figure dans le journal d’accès, au nom de la personne à qui appartient le jeton.
Le moins possible. Mais le jour où il faut s’en servir, l’équipe d’astreinte doit pouvoir le faire sans chercher qui a le téléphone. Share Auth rend cet accès possible et le trace, sans multiplier les copies de la graine.
Le connecteur MCP leur donne le code d’un compte, jamais sa graine. Gardez la confirmation humaine activée dans votre client pour chaque code demandé.