Connexion et mots de passe

Décidez comment les gens se connectent : longueur du mot de passe, raccourci sur le réseau domestique et connexion externe. Seul le propriétaire modifie ces paramètres, dans Settings > Sign-in and security (Paramètres > Connexion et sécurité).

Fixer la longueur minimale du mot de passe

1. Ouvrez Settings > Sign-in and security > Passwords (Mots de passe).
2. Saisissez un nombre de 4 à 64. La valeur par défaut est 8.
3. Appuyez sur Save (enregistrer). Vous devriez voir le nouveau nombre rester après un rechargement.

Le minimum s’applique à chaque nouveau mot de passe : le premier propriétaire, les invitations acceptées, les changements dans My account (Mon compte) et holyarrs reset-owner. Les mots de passe existants continuent de fonctionner jusqu’à leur prochain changement. Le mot de passe le plus long fait 1024 caractères.

Attention

HolyArrs ralentit les connexions erronées répétées, mais un mot de passe court reste facile à deviner. Si HolyArrs est joignable depuis l’extérieur de chez vous, utilisez 12 caractères ou plus.

Passer la connexion sur mon réseau local

Les appareils de votre réseau domestique ouvrent HolyArrs en tant que propriétaire, sans mot de passe. Désactivé par défaut.

1. Ouvrez Settings > Sign-in and security > Local network (Réseau local).
2. Listez vos réseaux, un par ligne, 32 au maximum. Utilisez une plage (192.168.1.0/24, fd00::/8) ou une seule adresse (192.168.1.20).
3. Activez l’interrupteur et enregistrez. Vous devriez voir votre propre adresse sur la carte.

L’interrupteur ne peut pas être activé avec une liste vide, ni tant qu’il existe un compte enfant. Créer des clés API, modifier les paramètres de connexion, lire ou remplacer des secrets et restaurer des sauvegardes demandent toujours un mot de passe.

Vérifier d’abord l’adresse

Avec certaines installations, tous les appareils semblent venir d’une seule adresse de passerelle : Docker Desktop, Docker ou Podman en mode rootless, et Kubernetes NodePort. Les plus courantes sont 172.17.0.1, 172.18.0.1 et suivantes, 10.88.0.1, 10.89.x.1, 10.0.2.2 et 192.168.65.x.

Si vous listez l’une d’elles, toute personne qui atteint HolyArrs entre en tant que propriétaire. La carte vous avertit quand une entrée y ressemble. Ouvrez la page depuis un deuxième appareil : si elle affiche la même adresse, désactivez l’interrupteur et supprimez cette entrée.

Derrière un reverse proxy, HolyArrs ne lit l’adresse transmise que si elle vient d’un proxy listé dans HOLYARRS_TRUSTED_PROXIES. Sinon, la carte n’affiche aucune adresse et indique que le proxy n’est pas de confiance.

Authentification unique (SSO)

Un fournisseur OpenID Connect peut connecter les gens. Il apparaît sous forme de bouton sur la page de connexion.

1. Ouvrez Settings > Sign-in and security > Single sign-on (Authentification unique).
2. Saisissez l’émetteur (issuer) du fournisseur et appuyez sur Test (tester). Aucun secret n’est envoyé pour le test.
3. Saisissez l’identifiant client et le secret client. Cochez Public client (client public) si le fournisseur n’utilise pas de secret.
4. Copiez la Callback address (adresse de rappel) et déclarez exactement cette adresse chez le fournisseur.
5. Saisissez votre mot de passe, plus un code à deux facteurs si vous en utilisez un, et appuyez sur Save. Chaque modification le demande.

Liez ensuite votre propre compte : connectez-vous avec votre mot de passe, ouvrez My account, sous Linked sign-ins (connexions liées) appuyez sur Link (lier), confirmez votre mot de passe, puis choisissez Single sign-on.

Astuce

Gardez un mot de passe propriétaire qui fonctionne. Si le fournisseur est en panne, la connexion par mot de passe fonctionne toujours.

Options

Laisser de nouvelles personnes s’inscrire par l’authentification unique

Désactivé par défaut. Une fois activé, toute personne connectée par le fournisseur obtient un compte ; HolyArrs vous demande donc de confirmer. Les nouveaux arrivants entrent comme membres qui peuvent seulement demander. L’authentification unique ne crée jamais de propriétaire ni d’administrateur.

Changer l’émetteur ou l’identifiant client

Vous saisissez le secret à nouveau. Les anciens liens sont supprimés et tous ceux qui utilisaient l’authentification unique sont déconnectés. Ils lient à nouveau leur compte depuis My account. Désactiver l’authentification unique les déconnecte aussi.

Délier une connexion

• La vôtre : My account > Linked sign-ins > Unlink (délier). Il faut une confirmation récente du mot de passe, et c’est refusé si c’est votre seul moyen d’entrer.
• Celle de quelqu’un d’autre : le propriétaire passe par Settings > Users and roles (Utilisateurs et rôles). Si c’est le seul moyen d’entrer de la personne, HolyArrs demande une fois de plus.

Délier une connexion déconnecte les appareils qui l’utilisaient. Si l’inscription est ouverte, la même personne peut revenir comme nouveau membre. Désactivez-la pour l’empêcher de revenir.

Si ça ne fonctionne pas

Symptôme : HolyArrs vous redemande votre mot de passe. Cause : les modifications des comptes, des clés et des paramètres demandent une confirmation du mot de passe datant de moins de 10 minutes, plus le deuxième facteur s’il est configuré. La connexion externe et le raccourci du réseau local ne comptent pas. Solution : confirmez avec votre mot de passe. Se déconnecter et fermer la session d’un appareil ne le demandent jamais.

Symptôme : un rappel a échoué avec une erreur courte, et vous restez déconnecté. Cause : l’adresse de rappel chez le fournisseur n’est pas la même que celle de HolyArrs. Solution : copiez à nouveau Callback address et collez-la telle quelle chez le fournisseur.

Symptôme : un compte créé par l’authentification unique ne peut pas définir de mot de passe. Cause : ce n’est pas possible dans cette version. Solution : créez d’abord le propriétaire local, puis liez-lui l’authentification unique.

Symptôme : après vous être déconnecté de HolyArrs, vous êtes resté connecté chez le fournisseur. Cause : HolyArrs ne ferme que sa propre connexion. Solution : sur un appareil partagé, déconnectez-vous aussi chez le fournisseur.

Mot de passe propriétaire perdu ? Voir Sessions et mots de passe.

Pour les experts

Connexion par proxy de confiance

Si un reverse proxy connecte déjà les gens, HolyArrs accepte le nom qu’il transmet. Ça se configure uniquement dans l’environnement. La connexion apparaît sous forme de bouton sur la page de connexion ; une simple visite ne connecte jamais personne à partir des seuls en-têtes.

• Le proxy supprime les en-têtes Remote-User et Remote-Name entrants et définit les siens après la connexion.
• Remote-User : un nom stable, 255 octets au maximum. Remote-Name : nom d’affichage facultatif, 200 octets au maximum.
• Les valeurs répétées, jointes par des virgules ou contenant des caractères de contrôle sont refusées. Les en-têtes de rôle sont ignorés.

Gardez HolyArrs joignable uniquement à travers ce proxy. Faire confiance à l’adresse d’un proxy, c’est faire confiance à chaque nom qu’il envoie. Liez-le à un compte depuis My account > Link trusted proxy sign-in (lier la connexion par proxy de confiance).

Variables d'environnement

Définissez-les avant le démarrage. Les deux méthodes sont désactivées tant qu’on ne les active pas. Une mauvaise configuration empêche HolyArrs de démarrer ; une panne du fournisseur laisse la connexion par mot de passe fonctionner. Dès que HOLYARRS_OIDC_ENABLED est définie, même à false, c’est l’environnement qui gère l’authentification unique et Settings ne fait que l’afficher.

Variable	Ce que ça fait	Par défaut
HOLYARRS_OIDC_ENABLED	Active l’authentification unique	false
HOLYARRS_OIDC_ISSUER	Émetteur HTTPS exact du fournisseur	aucune
HOLYARRS_OIDC_CLIENT_ID	Identifiant client déclaré	aucune
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fichier contenant le secret client, 4096 octets au maximum. À omettre pour un client public	aucune
HOLYARRS_OIDC_REDIRECT_URL	Adresse de rappel HTTPS exacte : votre adresse, l’URL de base s’il y en a une, puis /api/v1/auth/oidc/callback	aucune
HOLYARRS_OIDC_ALLOW_JOIN	Les nouvelles personnes entrent comme membres qui peuvent seulement demander	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Autorise un fournisseur sur votre réseau privé	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Autorise le HTTP simple en boucle locale, pour les tests	false
HOLYARRS_FORWARD_AUTH_ENABLED	Active la connexion par proxy de confiance	false
HOLYARRS_FORWARD_AUTH_ISSUER	Nom HTTPS stable pour ce proxy. Une nouvelle valeur compte comme une nouvelle origine	aucune
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Adresses ou plages de proxy, séparées par des virgules. Obligatoire. Une plage couvrant toutes les adresses est refusée	aucune
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Les nouveaux noms transmis par le proxy entrent comme membres qui peuvent seulement demander	false

Les deux paramètres ALLOW_LOCAL_NETWORK et ALLOW_LOOPBACK_HTTP s’appliquent aussi à l’authentification unique configurée dans Settings.

Comment fonctionne l'authentification unique

• Le fournisseur doit prendre en charge la connexion par code d’autorisation avec PKCE S256 et des jetons RS256, avec tous les points d’accès sur l’origine de l’émetteur.
• Les comptes sont reconnus par l’identifiant de compte propre au fournisseur, jamais par l’e-mail.
• Les rôles et les groupes du fournisseur ne sont pas utilisés.
• Le secret client est stocké chiffré et n’est plus jamais affiché. Laissez le champ vide pour le conserver.

Voir aussi

• Utilisateurs et rôles
• Sessions et mots de passe
• Comptes enfant
• URL de base et reverse proxy