Mots de passe à usage unique (OTP)

Un mot de passe à usage unique (OTP) est un code temporaire utilisé pour l'authentification à deux facteurs (2FA). KeePassium peut stocker et générer des mots de passe à usage unique basés sur le temps, le schéma le plus utilisé sur le web moderne.

Stocker les OTP dans votre base de données constitue une méthode sûre, portable et indépendante de tout fournisseur.

Comment fonctionnent les OTP

Cette section présente rapidement le fonctionnement des OTP basés sur le temps.

Lors de la configuration initiale, le service en ligne et l'app cliente (comme KeePassium) échangent un secret. Il s'agit d'une courte séquence de caractères, générée aléatoirement par le serveur et envoyée au client via un code QR. Le serveur comme le client stockent le secret, ce qui achève la configuration initiale.

Au quotidien, chaque fois que vous devez vous connecter au serveur, le serveur et KeePassium exécutent tous deux les étapes suivantes :

• Compter le temps écoulé depuis le 1er janvier 1970. Cependant, au lieu de compter chaque seconde, on considère des intervalles de temps plus longs, par exemple 30 secondes. Autrement dit, on calcule le nombre de demi-minutes écoulées depuis la date de référence (le compteur).
• Ce nombre de demi-minutes est traité par un algorithme cryptographique contrôlé par la valeur du secret.
• Le résultat est raccourci à 6–8 chiffres pour faciliter la saisie.

INFO

L'intervalle de temps, l'algorithme cryptographique et la longueur du code sont des paramètres configurables qui font partie de la configuration OTP. La norme complète est disponible dans la RFC6238.

Enfin, lorsque vous saisissez l'OTP généré dans le formulaire de connexion, le serveur compare votre code avec celui qu'il a généré localement. S'ils correspondent, le serveur a la preuve solide que le client connaît le secret — même s'ils ne l'ont pas échangé pendant la vérification.

Configuration d'un OTP

Il existe deux façons de configurer un OTP dans KeePassium : en scannant un code QR ou en saisissant le secret manuellement.

Avec un code QR

C'est la méthode la plus simple et la plus rapide :

• Ouvrez l'éditeur d'entrée
• Touchez + en haut, puis Mot de passe à usage unique → Scanner le QR code
• Pointez l'appareil photo vers le code QR affiché par le site web cible.
  • Vous pouvez aussi importer le code QR depuis une photo.

La configuration sera enregistrée dans un champ personnalisé nommé otp, sous forme d'URI otpauth (le standard de facto des codes QR 2FA).

Exemple de code QR avec configuration OTP

Avec l'app Appareil photo ou un lien otpauth

Si votre configuration OTP est fournie sous forme d'URL commençant par otpauth://, KeePassium peut également la prendre en charge.

• Ouvrez les réglages de l'appareil → Général → Remplissage auto. et mots de passe
• Remplacez la valeur du champ Configurer les codes dans par KeePassium

Désormais, KeePassium s'ouvrira automatiquement chaque fois que vous toucherez un lien de configuration OTP ou scannerez un code QR OTP avec l'app Appareil photo. L'app vous guidera ensuite pour importer la configuration OTP dans l'entrée appropriée.

Avec une clé secrète

La configuration manuelle avec la clé secrète est utile lorsque vous ne pouvez pas scanner de codes QR.

• Sur le site web, sélectionnez l'option permettant de saisir la clé secrète manuellement
• Copiez la clé secrète dans le presse-papiers
• Dans KeePassium, ouvrez l'éditeur d'entrée, touchez + en haut → Mot de passe à usage unique → Saisie manuelle
• Collez la clé secrète et touchez Fait

TIP

Les espaces et les majuscules n'ont pas d'importance. Abc et a B C représentent le même code.

Pour les OTP Steam

Le service Steam de Valve utilise son propre format TOTP. KeePassium peut également générer des codes TOTP Steam.

Ouvrez l'entrée Steam dans votre base de données et créez deux champs personnalisés :

• TOTP Settings avec la valeur 30;S (30 est l'intervalle de rafraîchissement, et S signifie que les codes TOTP doivent utiliser le format spécifique à Steam)
• TOTP Seed avec la clé secrète (au format Base32)

L'extraction de la clé secrète Steam n'est pas officiellement prise en charge par Valve, mais elle est possible. La procédure dépasse le cadre de ce document.

Utiliser les OTP

Une fois configurés, les codes OTP apparaissent à la fois dans la liste des entrées et dans le visualiseur d'entrée.

OTP dans la liste des entrées

Dans la liste des entrées, les codes OTP sont normalement masqués derrière les boutons . Touchez le bouton pour révéler l'OTP et le copier dans le presse-papiers.

Lorsque l'OTP est sur le point d'expirer, il se met à clignoter en couleur. Il est parfois préférable d'attendre le code suivant pour être sûr qu'il sera accepté par le serveur.

Dans le visualiseur d'entrée, les codes OTP sont affichés directement. La petite ligne sous le code indique le temps restant avant sa mise à jour. Le champ contenant les données de configuration OTP y est masqué. Pour accéder à ce champ, commencez à éditer l'entrée.

OTP dans le visualiseur d'entrée

Compatibilité

Les codes OTP configurés par KeePassium sont compatibles avec KeePassXC et la plupart des apps mobiles. L'inverse est également vrai : les codes configurés dans d'autres apps fonctionneront aussi dans KeePassium.

Une exception notable est KeePass, qui a besoin du plugin KeePassOTP pour comprendre les OTP configurés par d'autres apps.

Dépannage

Le bouton de configuration OTP est absent

Votre fichier de base de données utilise un ancien format qui ne prend pas en charge les champs d'entrée personnalisés. Pour résoudre le problème, convertissez votre base de données au format KDBX.

Les codes OTP générés semblent invalides

• Vérifiez que l'heure système de votre appareil est correcte. Un écart de 30 secondes suffit à rendre les codes générés invalides.
• Vérifiez que la clé secrète saisie ne contient pas de fautes de frappe. Les espaces et les majuscules n'ont pas d'importance.