GitLab rend l'authentification multifacteur obligatoire sur GitLab.com

Pour renforcer la sécurité de tous les comptes utilisateurs sur GitLab.com, GitLab rend l'authentification multifacteur (MFA) obligatoire pour tous les utilisateurs et points de terminaison API qui se connectent à l'aide d'un nom d'utilisateur et d'un mot de passe.

Pourquoi cette mesure a-t-elle été prise ?

Cette mesure fait partie intégrante de notre engagement envers les principes Secure by Design. L'authentification multifacteur offre une protection essentielle contre les attaques par « credential stuffing » (bourrage d’identifiant) et les tentatives de prise de contrôle de compte, qui restent des menaces persistantes dans le secteur du développement logiciel.

Informations clés à connaître

Qu'est-ce qui change ?

GitLab rend l'authentification multifacteur obligatoire pour les utilisateurs qui s'authentifient avec un nom d'utilisateur et un mot de passe. Cette mesure ajoute une deuxième couche de sécurité essentielle au-delà du simple mot de passe.

Cette mesure s'applique-t-elle à mon compte ?

1. Oui, elle s'applique si : vous vous connectez à GitLab.com avec un nom d'utilisateur et un mot de passe, ou si vous utilisez un mot de passe pour vous authentifier auprès de l'API.
2. Non, elle ne s'applique pas si : vous utilisez exclusivement une connexion via un réseau social (comme Google) ou une authentification unique (SSO) pour accéder à la plateforme. (Veuillez noter que si vous utilisez une authentification unique, mais que vous disposez également d'un mot de passe pour une connexion directe, vous aurez toujours besoin de l'authentification multifacteur pour toute connexion basée sur un mot de passe sans SSO.)

Quel est le calendrier de déploiement ?

1. La mise en œuvre se fera par étapes au cours des prochains mois afin de minimiser les interruptions inattendues et les pertes de productivité pour les utilisateurs, ainsi que de prévenir les blocages de compte. Des groupes d'utilisateurs seront invités à activer l'authentification multifacteur : chaque groupe sera sélectionné en fonction des actions qu'il a entreprises ou du code auquel il a contribué. Vous serez notifié de la manière suivante :
   • ✉️ Notification par e-mail : avant la phase qui vous concerne
   • 🔔 Rappels réguliers dans le produit : 14 jours auparavant
   • ⏱️ Après une période spécifique (qui sera communiquée par e-mail) : accès à GitLab bloqué jusqu'à ce que vous activiez l'authentification multifacteur

Quelle action dois-je entreprendre ?

1. Si vous vous connectez à GitLab.com avec un nom d'utilisateur et un mot de passe :
   • Nous vous recommandons vivement de configurer de manière proactive l'une des méthodes d'authentification multifacteur disponibles dès aujourd'hui (clés d'accès, application d'authentification, appareil WebAuthn, vérification par e-mail) afin de garantir la transition la plus sécurisée et la plus fluide possible :
   • Accédez à vos Paramètres utilisateur sur GitLab.com.
   • Sélectionnez la section Compte.
   • Activez l'authentification à deux facteurs et configurez la méthode de votre choix (par exemple, une application d'authentification ou un appareil WebAuthn).
   • Enregistrez de manière sécurisée vos codes de récupération pour vous assurer de pouvoir configurer à nouveau votre accès si nécessaire.
2. Si vous utilisez un mot de passe pour vous authentifier auprès de l'API :
   • Nous vous recommandons vivement de passer de manière proactive à un jeton d'accès personnel (PAT). Consultez notre documentation pour en savoir plus.

FAQ

Que se passe-t-il si je n'active pas l'authentification multifacteur avant la date limite ?

• Vous serez tenu de configurer l'authentification multifacteur avant de pouvoir vous connecter.

Cela affecte-t-il les pipelines CI/CD ou l'automatisation ?

• Oui, sauf si vous utilisez des jetons d'accès personnels (PAT) ou des jetons de déploiement à la place des mots de passe.

J'utilise l’authentification unique (SSO) mais je me connecte parfois directement, ai-je besoin de l'authentification multifacteur ?

• Oui, l'authentification multifacteur est requise pour toute authentification basée sur un mot de passe, y compris les scénarios de secours.

Un calendrier spécifique et d'autres ressources seront communiqués à l'approche des dates de déploiement. Nous vous remercions d'avance pour votre coopération.