Un utilisateur de Nextcloud accède à la page de connexion, saisit le bon mot de passe, puis se retrouve bloqué car le serveur exige une authentification à deux facteurs qu'il n'a jamais configurée. Ce problème survient généralement lorsqu'un administrateur active l'authentification à deux facteurs (2FA) obligatoire avant d'activer un fournisseur, de tester le processus d'inscription et de préparer les utilisateurs à la récupération. La solution la plus sûre consiste à activer d'abord un fournisseur compatible, à le tester auprès d'un petit groupe d'utilisateurs, puis à imposer la 2FA uniquement pour les comptes concernés.
Les étapes ci-dessous suivent les manuels d'administration et d'utilisation stables de Nextcloud 35 disponibles le 6 octobre 2026. L'interface de Nextcloud et les applications fournisseurs disponibles peuvent varier selon la version du serveur et le déploiement, veuillez donc vérifier la documentation de votre version installée avant de modifier une instance de production.
Nextcloud propose l'authentification à deux facteurs (2FA) comme une fonctionnalité modulable : un administrateur active une ou plusieurs applications de fournisseur, et les utilisateurs configurent un facteur dans leurs paramètres personnels, sauf si l'administrateur l'impose. L'absence de fournisseur disponible, un utilisateur non inscrit ou un authentificateur perdu peuvent empêcher la connexion. Les codes de récupération et une procédure de récupération administrative éprouvée réduisent ce risque.
L'application de l'authentification à deux facteurs (2FA) concerne également les applications connectées à Nextcloud. Dans Nextcloud 35, les applications clientes ne pouvant pas effectuer l'authentification à deux facteurs nécessitent un mot de passe spécifique à l'appareil. Prévoyez la synchronisation des clients de bureau, des applications mobiles et des intégrations avant le déploiement.
Commencez par associer la politique aux groupes Nextcloud. Déterminez si la règle s'applique à tous les utilisateurs, à certains services ou à tous les utilisateurs humains à l'exception d'un petit nombre de comptes de service dûment documentés. Assurez-vous que les comptes concernés appartiennent bien aux groupes ciblés. Évitez les exclusions générales : un compte exclu ne bénéficie pas de la même protection de connexion qu'un compte soumis à la politique.
La logique de groupe de Nextcloud est importante. Si aucun groupe n'est sélectionné, la règle s'applique à tous les utilisateurs, sauf aux membres des groupes exclus. Si vous sélectionnez des groupes, la règle s'applique à leurs membres ; l'appartenance à un groupe sélectionné est prioritaire si l'utilisateur appartient également à un groupe exclu. Consultez la documentation officielle de Nextcloud 35 sur l'authentification à deux facteurs pour vérifier ces règles avant d'enregistrer une politique avec exceptions.
Dans le compte administrateur, ouvrez Applications et vérifiez si un fournisseur comme le fournisseur d'authentification à deux facteurs TOTP est désactivé . Le manuel de Nextcloud 35 indique que TOTP peut être installé mais désactivé par défaut ; il peut également être nécessaire d'activer le fournisseur basé sur les notifications. Le fournisseur de code de sauvegarde intégré est disponible pour la récupération du compte. D'autres applications de fournisseurs peuvent être proposées sur le Nextcloud App Store, mais assurez-vous qu'une application est compatible avec la version de votre serveur avant de l'utiliser.
Pour un test pilote à petite échelle, activez l'authentification TOTP et demandez à un utilisateur test d'ouvrir ses paramètres personnels, de trouver l' option « Authentification à deux facteurs » , de scanner le code QR affiché avec une application d'authentification compatible et de confirmer son inscription. Procédez avec un compte que vous pouvez réinitialiser sans risque. Gardez une session d'administrateur ouverte pendant le test. N'appliquez pas la règle à l'ensemble de l'instance tant qu'un utilisateur normal et un administrateur n'ont pas effectué une nouvelle connexion avec l'authentification à deux facteurs.
Les utilisateurs doivent générer des codes de secours à usage unique à partir de leurs paramètres d'authentification à deux facteurs et les conserver séparément de leur téléphone ou de la clé de sécurité utilisée pour se connecter. Le guide utilisateur officiel de Nextcloud relatif à l'authentification à deux facteurs explique la configuration du code TOTP, les codes de récupération, les invites de connexion et les mots de passe spécifiques à chaque appareil.
Une fois que le pilote peut se connecter et récupérer son accès, ouvrez les paramètres d'administration > Sécurité et accédez à la section « Authentification à deux facteurs ». Activez l'option d'application. Si seuls certains utilisateurs sont concernés, sélectionnez les groupes choisis à l'étape 1 et vérifiez attentivement la liste des groupes exclus. Si vous souhaitez exiger l'authentification à deux facteurs pour tous les utilisateurs, laissez le champ « Limite de groupes sélectionnés » vide ; n'utilisez les exclusions que pour une raison opérationnelle spécifique et en présence d'une autre mesure de sécurité.
Informez les utilisateurs de la date d'entrée en vigueur de la nouvelle politique, du fournisseur à configurer, de l'emplacement de génération des codes de sauvegarde et de la procédure d'assistance. En cas de déploiement important, effectuez le déploiement par groupes plutôt que de modifier l'ensemble du serveur simultanément. Cela permettra aux administrateurs de détecter les appartenances manquantes aux groupes, les clients non pris en charge et les problèmes spécifiques au fournisseur avant qu'ils n'affectent tous les utilisateurs.
Les administrateurs peuvent également imposer l'authentification à deux facteurs (2FA) avec la commande Nextcloud occ. Exécutez-la depuis le répertoire d'installation de Nextcloud en tant que compte serveur web ; le nom du compte, la commande PHP et le chemin d'installation varient selon l'hôte ou le conteneur. Les exemples suivants utilisent l'utilisateur web Linux standard www-dataprésenté dans le manuel Nextcloud :
sudo -E -u www-data php occ twofactorauth:enforce --onPour exiger l'authentification à deux facteurs pour certains groupes, en excluant éventuellement un groupe de comptes de service, utilisez :
sudo -E -u www-data php occ twofactorauth:enforce --on \
--group=staff --group=admins --exclude=service-accountsRemplacez ces exemples d'identifiants de groupe et le compte du serveur web par les valeurs de votre instance. La commande permet de désactiver l'application des restrictions si un déploiement doit être suspendu.
sudo -E -u www-data php occ twofactorauth:enforce --offUtilisez la documentation Nextcloud occ actuelle pour vérifier la syntaxe de votre déploiement. Pour Docker ou tout autre déploiement géré, exécutez la commande occdans l'environnement applicatif approprié en utilisant l'utilisateur et la commande documentés pour ce déploiement ; n'exécutez pas un exemple au niveau de l'hôte sans précaution.
Si un utilisateur perd son téléphone ou sa clé contenant son facteur d'authentification, ainsi que ses codes de secours, il risque de ne plus pouvoir se connecter. Avant de mettre en œuvre la procédure de récupération, testez-la sur un compte non essentiel. Nextcloud propose des commandes spécifiques au fournisseur occ twofactorauth:disablelorsque twofactorauth:enablecelui-ci les prend en charge ; tous les fournisseurs ne permettent pas les modifications par utilisateur. L' application d'assistance à l'administration de l'authentification à deux facteurs est une autre option de récupération pour les versions compatibles de Nextcloud. Vérifiez sa compatibilité et son état d'installation avant de l'utiliser.
Ne désactivez ni ne supprimez un fournisseur déjà configuré par les utilisateurs sans avoir planifié la transition. Nextcloud peut conserver les associations de fournisseurs après la suppression d'une application, ce qui peut entraîner des erreurs d'authentification. Son manuel d'administration décrit une commande de nettoyage pour les fournisseurs définitivement supprimés ; ce nettoyage est irréversible, ne l'utilisez donc que si vous ne prévoyez pas de réactiver ce fournisseur.
Pour les clients de bureau et mobiles qui ne peuvent pas répondre à une invite d'authentification à deux facteurs (2FA) interactive, demandez aux utilisateurs de créer un mot de passe d'application dans les paramètres de leur compte Nextcloud et de mettre à jour leurs identifiants. La documentation de Nextcloud 35 indique que les mots de passe d'application sont obligatoires pour les comptes avec la 2FA activée. Un simple test de connexion via navigateur ne permet pas de confirmer que les clients de synchronisation et les intégrations fonctionnent toujours.
Effectuez un test avec un utilisateur pilote dans une fenêtre de navigation privée ou après vous être déconnecté. Saisissez votre nom d'utilisateur et votre mot de passe habituels, puis vérifiez que Nextcloud demande bien l'authentification à deux facteurs configurée et accepte un code valide. Testez un code de secours une seule fois si votre procédure de récupération le permet, en gardant à l'esprit que ces codes sont à usage unique. Ensuite, testez les applications clientes et les intégrations essentielles à votre organisation.
Pour un compte spécifique, exécutez la commande status depuis le répertoire Nextcloud :
sudo -E -u www-data php occ twofactorauth:state usernameVérifiez que le compte est bien couvert par la politique d'application prévue et que le fournisseur choisi est actif. Si l'utilisation de l'authentification à deux facteurs (2FA) n'est pas requise pour un utilisateur sélectionné, examinez les groupes d'appartenance et les exclusions avant de modifier la règle globale. La configuration est terminée lorsque les utilisateurs concernés sont soumis à une authentification à la connexion, que les comptes exclus sont limités aux exceptions documentées, que la récupération a été testée et que les clients compatibles peuvent se reconnecter avec leurs mots de passe d'application.
Comparez 10 outils de balayage ping pour une découverte rapide du réseau local, une analyse multiplateforme et la gestion des adresses IP. Découvrez ce qu'un balayage peut – et ne peut pas – vous révéler.
Comparez six outils de gestion de réseau pour la surveillance des performances, notamment la couverture SNMP, la cartographie, les alertes, les modèles de déploiement et les compromis en matière de coûts.
Comparez sept moniteurs de ping gratuits et open source, allant des suites réseau complètes aux sondes de latence ciblées, et choisissez celui qui convient le mieux à vos besoins en matière de disponibilité, de perte de paquets et d'historique.
Comparez les meilleurs analyseurs Wi-Fi pour Windows, iPhone et Android, incluant des outils pour la congestion des canaux, la couverture du signal, les cartes thermiques et le dépannage réseau.
Découvrez ce que signifie la QoS dans le domaine des réseaux, comment les marquages DSCP et les files d'attente de trafic priorisent la voix, la vidéo et les applications professionnelles, et ce que la QoS ne peut pas corriger.
Comparez les logiciels serveurs SFTP fiables pour Windows et Linux, notamment OpenSSH, Bitvise, SolarWinds et SFTPGo. Trouvez la solution idéale pour vos besoins en matière de sécurité et de transfert de fichiers.
Comparez sept outils de gestion d'adresses IP pour la découverte de sous-réseaux, la coordination DNS et DHCP, l'inventaire réseau et l'IPAM open source.
Mettez en place une surveillance réseau pratique avec une couverture claire des périphériques, des indicateurs de performance utiles, des alertes exploitables et une comparaison de SolarWinds NPM, PRTG et OpManager.
Comparez les outils d'analyse réseau pour la découverte rapide des périphériques, les analyses IP multiplateformes et la gestion des identités et des accès IP (IPAM) d'entreprise, avec des conseils pour adapter chaque option à votre réseau.
Utilisez l'option --traceroute de Nmap pour associer les sauts à un hôte autorisé, comprendre les résultats des sauts et du RTT, et résoudre les problèmes de réponses manquantes sans sur-analyse.
