2FA balena : comment configurer une application d’authentification pour balenaCloud

Un compte balenaCloud contrôle des flottes d’appareils connectés : le code qu’ils exécutent, l’accès SSH à ces appareils et les clés API qui permettent de tout modifier. Il mérite donc mieux qu’un simple mot de passe. L’authentification à deux facteurs (2FA) de balena est facultative et repose sur une seule méthode : un code basé sur le temps provenant d’une application d’authentification (TOTP). La documentation ne mentionne aucune option par SMS (balena, balena). Ce guide utilise Authenticator App - Novaz sur iPhone, mais toute application d’authentification fonctionne de la même façon.

Comment nous avons vérifié ce guide : les étapes balena proviennent de la documentation de balena, indiquée ci-dessous, que nous avons consultée le 21 octobre 2026. Pour les blocages de compte, nous avons aussi lu les réponses de l’équipe de balena sur son forum officiel. Nous n’avons rien testé de tout cela sur un compte balenaCloud : un libellé peut donc légèrement différer. Les étapes Novaz ont été vérifiées dans l’app, version 1.0.5.

Activer la 2FA avec une application d’authentification

La documentation de balena sur les comptes décrit ces étapes (balena) :

1. Connectez-vous au tableau de bord balenaCloud. Cliquez sur votre profil en haut à droite et ouvrez la page Preferences (préférences).
2. Ouvrez l’onglet Two-factor Authentication (authentification à deux facteurs) et cliquez sur Enable two-factor authentication (activer l’authentification à deux facteurs).
3. balena affiche un code QR et un champ Pairing code (code d’association). Dans Novaz, touchez +, puis Scanner un QR code, et pointez l’appareil photo vers le code affiché sur votre écran. Si le tableau de bord est ouvert sur le même iPhone, faites une capture d’écran, touchez +, puis Choisir une photo. Consultez scanner un code QR sur le même iPhone.
4. Saisissez le code à six chiffres de Novaz dans Pairing code.
5. balena affiche ensuite vos codes de récupération. Téléchargez-les et conservez-les en lieu sûr, puis cliquez sur OK.

La documentation souligne que la 2FA ne s’active qu’une fois l’association réussie : vous ne pouvez donc pas vous bloquer hors de votre compte en abandonnant à mi-chemin.

La documentation de balena ne mentionne aucune clé texte à saisir au lieu de scanner, et ne précise pas à quelle fréquence les codes changent. Scannez le code QR : il transmet les paramètres du code à votre app. Si vous trouvez malgré tout une clé et la saisissez avec Saisir la clé manuellement, Novaz suppose 6 chiffres toutes les 30 secondes. Consultez Qu’est-ce qu’une clé de configuration 2FA ?

La liste des apps vérifiées par balena cite Google Authenticator, Authy et 1Password. Novaz n’y figure pas, mais elle génère les mêmes codes TOTP standard.

Si vous vous connectez avec SAML

Si vous utilisez l’authentification unique de votre entreprise et obtenez une erreur chaque fois que vous essayez d’activer la 2FA, balena suggère de vous déconnecter, de vous reconnecter et de réessayer aussitôt (balena).

Quand balena demande un code

Après la configuration, balena demande le code de votre app à la connexion suivante, une fois votre nom d’utilisateur et votre mot de passe saisis (balena). La documentation ne mentionne ni appareils mémorisés ni appareils de confiance.

En ligne de commande, balena login accepte votre adresse e-mail, votre mot de passe et un code 2FA, ou vous permet d’autoriser la CLI depuis le tableau de bord, ou encore accepte un jeton de session ou une clé API (balena). Les clés API n’expirent jamais tant qu’elles ne sont pas révoquées et disposent de toutes vos autorisations (balena) : protégez-les comme vos codes de récupération.

Conserver vos codes de récupération

Les codes de récupération sont la seule solution de secours documentée par balena. Ils vous permettent de récupérer l’accès si vous n’avez plus le téléphone et aucune sauvegarde Novaz, ou seulement une sauvegarde antérieure à l’ajout de balena. Conservez-les dans un gestionnaire de mots de passe ou sur papier, loin du téléphone. Plus d’informations dans Codes de secours 2FA.

Si balena refuse votre code

La documentation de balena indique qu’un code cesse de fonctionner une fois le compte à rebours de votre app écoulé : saisissez-le donc tant qu’il est affiché. Si des codes tout juste générés échouent quand même, vérifiez l’horloge de votre iPhone : Réglages › Général › Date et heure › Réglage automatique. Novaz vous avertit lorsque l’horloge est décalée de 15 secondes ou plus. D’autres causes sont décrites dans Le code d’authentification ne fonctionne pas ?

Changer de téléphone

La documentation de balena ne décrit pas le transfert de la 2FA vers un nouveau téléphone. Les seules étapes qu’elle donne consistent à la désactiver puis à la réactiver. Tant que vous avez encore l’ancien téléphone, désactivez la 2FA, puis réactivez-la et scannez le nouveau code QR avec le nouvel iPhone. Si vous avez activé la sauvegarde iCloud de Novaz ou enregistré un fichier de sauvegarde, la restaurer sur le nouvel iPhone est plus simple : les codes continuent de fonctionner. Consultez Comment transférer votre application d’authentification sur un nouvel iPhone.

Si vous perdez votre application d’authentification

Connectez-vous avec l’un de vos codes de récupération. Sans eux, la documentation de balena ne propose aucune solution en libre-service. L’endroit documenté pour obtenir de l’aide est la section d’assistance produit des forums de balena (balena).

Dans une discussion du forum de 2023, des réponses de l’équipe de balena, dont un modérateur du forum identifié comme tel, décrivaient la procédure. Les codes de récupération sont le moyen le plus rapide de prouver que le compte vous appartient. À défaut, balena vérifie que vous détenez la partie privée d’une clé SSH ajoutée à votre compte balenaCloud. Vous signez une chaîne de caractères qu’on vous fournit et envoyez le résultat en privé à un membre de l’équipe de balena, jamais dans un message public. Une fois la signature vérifiée, balena supprime la 2FA pour que vous puissiez vous connecter avec votre seul mot de passe (balena forums). Ces informations proviennent de réponses sur le forum, pas de la documentation, et balena ne précise pas le délai. Si vous utilisez SSH avec vos appareils, conservez cette clé. Plus d’informations dans Vous avez perdu le téléphone qui contient votre application d’authentification ?

Désactiver la 2FA

Retournez dans l’onglet Two-factor Authentication de vos préférences et cliquez sur Disable two-factor authentication (désactiver l’authentification à deux facteurs). balena demande d’abord le mot de passe de votre compte (balena). Si vous vous êtes inscrit avec GitHub ou Google et n’avez jamais défini de mot de passe, vous pouvez en ajouter un dans l’onglet Account details (détails du compte) de la même page.

Aide officielle de balena

• Account management (gestion du compte)
• Security (sécurité)
• Enterprise Single Sign-On (SSO): Introduction (authentification unique d’entreprise : introduction)
• Balena CLI reference (latest) (référence de la CLI balena, dernière version)
• Getting Help (obtenir de l’aide)
• Disable 2FA Reset without recovery codes (discussion sur balenaForums avec des réponses de l’équipe de balena)