Se connecter et sécuriser son accès

Votre cabinet dispose d'une adresse de la forme https://thesr.fr/login/<cabinet>/, où <cabinet> est l'identifiant court attribué au cabinet. C'est par cette page que vous vous connectez.

Mettez-la en favori. Si vous ne l'avez plus, le lien Connexion du site thesr.fr mène à la page « Connexion perdue » : indiquez l'adresse e-mail de votre compte, et thesr vous envoie par courriel le lien de la page de votre cabinet. La page de connexion standard de Django est désactivée.

Trois méthodes, choisies par cabinet et non par utilisateur. thesr ne vous demande de mot de passe dans aucune.

Le lien part à l'adresse du compte. Il est valable quinze minutes et ne sert qu'une fois ; pour en obtenir un autre, il suffit de refaire la demande. Si votre compte a une double authentification, le code vous est demandé après le lien, même dans un cabinet qui ne l'impose pas.

Le changement de méthode est une décision d'administration, pas un réglage individuel. Demandez-le à votre administrateur ou à thesr.

Les membres du cabinet se connectent par le fournisseur d'identité du cabinet : Microsoft Entra ID, Google Workspace, ou tout fournisseur OpenID Connect. thesr la met en place à la demande du cabinet, avec son service informatique, qui crée une application pour thesr chez son fournisseur.

• Seules les adresses du cabinet entrent. Une adresse hors des domaines du cabinet est refusée, même si le fournisseur l'accepte.
• Un compte ne se crée pas tout seul, sauf si le cabinet l'a demandé : sinon, un nouveau membre reçoit d'abord une invitation, puis se connecte par le SSO.
• La double authentification relève alors du fournisseur du cabinet, avec ses propres règles.
• Chaque changement de ce réglage est signalé aux administrateurs du cabinet par THESR Guardian.

Il vous faut une application d'authentification sur votre téléphone, et deux minutes.

Si votre cabinet l'impose, thesr vous la fait configurer à la connexion, juste après le lien. Sinon, vous pouvez l'activer vous-même si l'abonnement du cabinet comprend Sécurité+ :

1. Ouvrez Profil, l'icône de personnage en haut à droite.
2. Dans l'onglet Sécurité, cliquez sur Configurer le 2FA.
3. Scannez le QR code avec une application d'authentification, par exemple Google Authenticator, Microsoft Authenticator ou 1Password.
4. Saisissez le code à six chiffres affiché par l'application pour confirmer.

Non. Un appareil que vous choisissez de retenir n'est plus redemandé pendant un nombre de jours fixé par le cabinet, trente par défaut. Le témoin qui l'autorise est signé, propre à votre compte et au navigateur utilisé.

Ne retenez jamais un poste partagé ou un ordinateur de prêt.

Demandez-en un nouveau sur la page de connexion de votre cabinet : un lien ne vaut que quinze minutes et ne sert qu'une fois. Il n'y a pas de mot de passe à réinitialiser, puisque thesr n'en utilise pas.

Si le courriel n'arrive pas au bout de quelques minutes :

1. Regardez dans les courriers indésirables. Le message a pour objet « Lien de connexion ».
2. Vérifiez l'adresse saisie. La page répond « Lien de connexion envoyé ! » que l'adresse soit connue ou non : c'est voulu, pour ne révéler à personne qui a un compte. Une faute de frappe ne produit donc ni message d'erreur ni courriel.
3. Saisissez l'adresse exacte de votre compte. Une autre adresse, même redirigée vers la même boîte, n'est pas reconnue.
4. S'il n'arrive toujours rien, demandez à votre administrateur de vérifier l'adresse enregistrée sur votre compte.

thesr limite les tentatives à deux endroits, pour protéger les comptes contre les essais automatisés.

• Sur la page de connexion du cabinet, cinq demandes de lien pour une même adresse que le cabinet ne connaît pas, depuis le même poste, bloquent cette adresse pendant cinq minutes. Le message affiché est « Trop de tentatives. Veuillez patienter. » Vérifiez l'adresse saisie en attendant.
• Au code à six chiffres, chaque code faux impose une attente un peu plus longue avant le suivant, et un essai trop rapproché affiche « Trop d'essais. Patientez quelques instants avant de réessayer. » Au cinquième code faux, la connexion est abandonnée : demandez un nouveau lien.

Ces blocages se lèvent seuls. Si la page indique en revanche que la connexion au compte est « temporairement fermée par THESR Guardian », réessayez plus tard, ou prévenez votre administrateur : il peut la rouvrir.

Non. thesr surveille l'usage simultané d'un même compte et interrompt le second usage avec le message « Account already in use elsewhere ». Déconnectez-vous du premier poste, ou patientez quelques minutes.

L'icône de sortie, en haut à droite, ferme la session. Sur un poste partagé, fermez également la fenêtre du navigateur.

thesr ferme aussi de lui-même une session restée plusieurs jours sans servir - sept par défaut - et toute session au bout de trente jours : vous vous reconnectez alors, avec votre second facteur.