GitHub demande aux comptes d’activer la 2FA

L’avis de GitHub demande aux comptes concernés d’enrôler l’authentification à deux facteurs. Les règles sont dans la documentation GitHub. Voici comment lier Google Authenticator.

Quand un compte est invité à enrôler l’authentification à deux facteurs, GitHub affiche cet avis. Les phrases sont celles de GitHub. Le lien d’enrôlement s’ouvre une fois connecté.

Click here to enroll in 2FA.
Making the software supply chain more secure is a team effort, and we can't do it without you. Your enrollment in 2FA is an impactful step in keeping the world's software secure. If you want to learn more about this change, please take a look at our documentation about the program.
To see this and other security events for your account, visit your account security audit log.

Ce que le programme exige

La documentation de GitHub dit que, depuis mars 2023, les comptes qui contribuent du code sur GitHub.com peuvent être tenus d’activer la 2FA. Les actions concernées comprennent publier une app ou une Action, créer une release, contribuer à des dépôts de haute importance et les administrer, être propriétaire d’une organisation, publier un paquet, ou administrer une entreprise. Si vous n’avez pas été notifié, GitHub dit que vous n’étiez pas dans un groupe obligatoire. Les critères peuvent changer. La page est About mandatory two-factor authentication.

L’avis ouvre 45 jours d’enrôlement, puis 7 jours de grâce. Quand les deux sont passés, GitHub.com reste fermé jusqu’à ce que la 2FA soit active. Les personal access tokens et les jetons OAuth déjà émis continuent de fonctionner. Un compte verrouillé ne peut pas autoriser une nouvelle app ni créer un nouveau personal access token tant que la 2FA n’est pas active. GitHub recommande une application d’authentification temporelle comme méthode principale, et une passkey ou une clé de sécurité en secours. Le SMS est la méthode que GitHub demande de ne pas préférer. Une application d’authentification n’exige pas de donner un numéro de téléphone à GitHub. GitHub Enterprise Managed Users et GitHub Enterprise Server sont hors de ce programme.

Ce que cela change pour une boutique que vous déployez

FatLeon Commerce tourne dans un compte AWS que vous contrôlez. Une connexion GitHub ne fait pas partie de ce déploiement. Amplify Hosting et la boutique continuent si GitHub verrouille la session du navigateur. Ce que GitHub détient, c’est le git privé, si le source y est gardé. La licence permet un git privé. Elle ne permet pas un dépôt public qui expose le source à des personnes sans licence. Voir Conditions d'utilisation et ce que vous faites tourner sur AWS Amplify.

Lier Google Authenticator

GitHub accepte toute application qui parle TOTP, le mot de passe à usage unique basé sur le temps du RFC 6238. Google Authenticator en est une. Les étapes suivent le guide de configuration de GitHub. Les dessins sont les nôtres. Ce ne sont pas des captures, et le motif QR n’est pas un secret. Ne scannez que le code que GitHub affiche sur votre propre écran. N’envoyez pas ce code, ni la setup key, par chat ou par e-mail.

Chemin dans les réglages : Password and authentication, puis Enable two-factor authentication — Photo de profil, Settings, Password and authentication, puis Enable two-factor authentication. Le lien d’enrôlement ouvre le même parcours.

Installez Google Authenticator depuis l’App Store ou Google Play. Ouvrez-la une fois pour que l’autorisation de la caméra puisse être donnée.
Sur GitHub, connecté, ouvrez la page d’enrôlement. Ou cliquez sur votre photo de profil, puis sur Settings. Dans la section Access de la barre latérale, cliquez sur Password and authentication. Sous Two-factor authentication, cliquez sur Enable two-factor authentication.
Quand GitHub affiche un QR code, restez sur cette méthode.

Application d’authentification après le scan, avec un code à six chiffres d’exemple pour GitHub — Dans Google Authenticator, touchez +, puis Scan a QR code. La nouvelle ligne est GitHub. Les six chiffres changent environ toutes les 30 secondes. 482193 sur le dessin est un exemple.

Dans Google Authenticator, touchez +, puis Scan a QR code, et pointez la caméra vers le QR code de la page GitHub. Si la caméra ne le lit pas, cliquez sur setup key sur GitHub. Dans l’application, choisissez Enter a setup key. Nommez le compte GitHub, laissez le type sur time based, et collez le secret.
L’application affiche six chiffres. Sur GitHub, saisissez-les sous Verify the code from the app avant que le code ne change. S’il est refusé, attendez le suivant. Réglez l’horloge du téléphone sur automatique.

Champ de six chiffres et téléchargement des codes de récupération — Saisissez le code en cours, téléchargez les codes de récupération, puis confirmez que vous les avez enregistrés. Cette confirmation active la 2FA.

Sous Save your recovery codes, téléchargez les codes et placez-les quelque part qui n’est ni le téléphone ni le compte GitHub. Cliquez ensuite sur I have saved my recovery codes. Le guide de GitHub dit que ce clic active la 2FA.
GitHub ouvre alors un contrôle de 28 jours. Connectez-vous une fois avec l’application pendant ces 28 jours. Une passkey ou une clé de sécurité peut être ajoutée ensuite. Le guide de GitHub les traite comme des secours, et une application TOTP ou le SMS doit être configuré d’abord.

Les connexions et les autres événements de sécurité sont sur le journal de sécurité du compte. Si le téléphone est perdu, partez de la page de GitHub, Recovering your account if you lose your 2FA credentials.