Les codes 2FA de l’équipe dans Slack

Dans beaucoup d’équipes, la demande de code arrive déjà dans Slack : « quelqu’un a le code GitHub ? ». Avec l’intégration Share Auth, la réponse ne dépend plus de la personne qui détient le téléphone.

Ce que fait la commande

• /otp github renvoie le code courant du compte, le temps qu’il lui reste et le code suivant, avec un bouton pour en obtenir un nouveau.
• /otp-list affiche les comptes disponibles dans ce canal, chacun avec son bouton : pas besoin de retenir les noms.
• /help rappelle les commandes.

Le nom n’a pas besoin d’être exact. /otp github prod retrouve « GitHub Production » à partir de mots du nom, de l’émetteur ou de la description, et si plusieurs comptes correspondent, Slack vous propose les candidats.

Les réponses sont éphémères : seul celui qui a tapé la commande les voit.

Qui peut obtenir quoi

Une intégration ouvre l’accès à tout l’espace de travail Slack connecté. Slack prouve de quel espace vient la commande, pas quel compte Share Auth la lance : les rôles de l’équipe ne s’appliquent donc pas ici. Trois garde-fous les remplacent :

• les restrictions par canal, qui lient chaque canal aux seuls secrets qu’il peut obtenir : #finance voit Stripe, #ops voit AWS ;
• le journal d’accès, où chaque code communiqué figure avec le nom transmis par Slack et l’heure, le canal étant noté dans l’activité de l’intégration ;
• une limite de commandes par personne, contre les rafales.

Seul le propriétaire de l’équipe peut créer, modifier ou désactiver l’intégration. Chaque appel est vérifié par la signature Slack : une requête qui ne vient pas de votre espace de travail est refusée.

Mettre en place l’intégration

1. Dans Share Auth, ouvrez Intégrations et choisissez Slack dans Connexion en un clic.
2. Slack vous demande d’autoriser l’application Share Auth dans votre espace de travail. L’intégration est créée aussitôt, sans identifiant à recopier.
3. Facultatif : activez les restrictions par canal et liez les secrets.

Vous préférez votre propre application Slack ? La configuration manuelle reste possible : la page indique où trouver le jeton du bot et le secret de signature, et fournit l’URL de webhook à coller dans votre application, pour les commandes et pour les boutons.

La page de l’intégration affiche ensuite son activité récente, commandes refusées comprises.