2FA Bugcrowd : comment configurer une application d’authentification

Bugcrowd propose deux types de comptes. Les chercheurs utilisent le leur pour rejoindre des programmes et soumettre des résultats. Les clients utilisent Crowdcontrol, où les organisations gèrent leurs programmes. Les deux peuvent utiliser une application d’authentification, mais les réglages et les règles diffèrent.

Pour les chercheurs, l’authentification à deux facteurs (2FA) n’est pas facultative : Bugcrowd la rend obligatoire sur tous les comptes de chercheurs, ce qui couvre aussi tout programme qui exige la 2FA (Bugcrowd). En 2026, Bugcrowd a migré la connexion des chercheurs vers un nouveau service reposant sur Okta : d’anciennes captures d’écran peuvent donc montrer une page qui n’existe plus (Bugcrowd).

Ce guide utilise Authenticator App - Novaz sur iPhone. Toute application d’authentification fonctionne de la même façon.

Comment nous avons vérifié ce guide : les étapes Bugcrowd proviennent de la documentation de Bugcrowd sur docs.bugcrowd.com, y compris les captures d’écran de ces pages, que nous avons consultée le 21 octobre 2026. Nous ne les avons pas testées sur un compte Bugcrowd : un libellé peut donc légèrement différer. Les étapes Novaz ont été vérifiées dans l’app, version 1.0.5.

Comptes de chercheurs : les méthodes disponibles

Depuis la migration vers Okta, la page Security methods (méthodes de sécurité) propose trois types de deuxième étape (Bugcrowd) :

• Okta Verify, l’app d’Okta.
• Security Key or Biometric Authenticator (clé de sécurité ou authentificateur biométrique), par exemple une clé matérielle.
• Google Authenticator. Malgré son nom, Bugcrowd indique que toute app compatible basée sur le temps (TOTP) fonctionne ici : c’est donc l’option à choisir pour Novaz.

Si vous avez configuré la 2FA avant 2026, vous verrez aussi Bugcrowd Legacy OTP (ancien OTP Bugcrowd). Vos codes existants continuent de fonctionner par ce biais, mais vous ne pouvez pas y ajouter de nouveaux appareils. Si vous souhaitez le supprimer, l’assistance Bugcrowd s’en charge (Bugcrowd).

Ajouter une application d’authentification en tant que chercheur

1. Connectez-vous à Bugcrowd. La page de connexion des chercheurs est désormais login.hackers.bugcrowd.com, et l’ancienne adresse identity.bugcrowd.com y redirige (Bugcrowd).
2. Cliquez sur votre photo de profil, puis sur Account settings › Security › Settings › Manage authentication settings (paramètres du compte › sécurité › paramètres › gérer les paramètres d’authentification). La page Security methods s’ouvre sur le service d’authentification (Bugcrowd).
3. À côté de Google Authenticator, cliquez sur Set up (configurer).
4. La documentation de Bugcrowd s’arrête à ce bouton et ne montre pas les écrans suivants. Lorsqu’un code QR apparaît, ouvrez Novaz, touchez +, puis Scanner un QR code, et pointez l’appareil photo vers le code. Si le code QR est sur le même iPhone, faites une capture d’écran et utilisez plutôt Choisir une photo. Consultez scanner un code QR sur le même iPhone.
5. Si l’on vous propose plutôt une clé en texte, touchez +, puis Saisir la clé manuellement dans Novaz, et collez-la dans Clé de configuration. Consultez Qu’est-ce qu’une clé de configuration 2FA ?
6. Saisissez le code à six chiffres de Novaz là où la page le demande.

Bugcrowd suggère d’enregistrer plusieurs méthodes, pour que la perte d’un appareil ne vous bloque pas hors de votre compte.

Comptes clients dans Crowdcontrol

La page de configuration de Crowdcontrol est plus ancienne et décrit toujours l’écran d’origine (Bugcrowd) :

1. Cliquez sur votre photo de profil, puis sur Security (sécurité).
2. À gauche, cliquez sur Two-factor authentication (authentification à deux facteurs).
3. Suivez les trois étapes numérotées de la page. Sous Configure the app (configurer l’app), la capture d’écran montre un code QR sous Scan QR code: (scanner le code QR) et une clé de 16 caractères sous Manually enter the code below into the app: (saisir manuellement le code ci-dessous dans l’app). Le plus simple est de le scanner avec Scanner un QR code dans Novaz.
4. Saisissez le code de Novaz dans 6-digit OTP code (code OTP à six chiffres) et cliquez sur Enable 2FA (activer la 2FA).

Cette page présente la 2FA comme facultative pour les clients. Une autre page, plus récente, indique que l’authentification multifacteur est désormais imposée à toutes les personnes de toutes les organisations qui se connectent avec un nom d’utilisateur et un mot de passe (Bugcrowd). Si votre organisation se connecte via l’authentification unique SAML, c’est votre fournisseur d’identité qui gère la deuxième étape, et Crowdcontrol n’affiche pas de coche 2FA pour vous.

Quand Bugcrowd demande un code

Les deux types de comptes demandent un code à chaque connexion, avec votre nom d’utilisateur et votre mot de passe. Les chercheurs peuvent répondre avec n’importe quelle méthode enregistrée (Bugcrowd).

Codes de secours

Le journal des modifications de Bugcrowd a annoncé des codes de secours 2FA pour les chercheurs en 2020 et pour les clients en 2024 (Bugcrowd). Les pages d’aide actuelles ne les décrivent plus, et la page des chercheurs recommande désormais d’enregistrer plusieurs méthodes pour éviter d’être bloqué. Si vos paramètres proposent encore des codes de secours, conservez-les loin de votre téléphone : ils vous permettent de vous connecter si l’iPhone est perdu et que vous n’avez pas de sauvegarde Novaz. Consultez Codes de secours 2FA.

Si Bugcrowd refuse votre code

Les pages de Bugcrowd ne traitent pas des codes refusés. Vérifiez d’abord l’horloge de l’iPhone : Réglages › Général › Date et heure › Réglage automatique. Novaz vous avertit aussi lorsque l’horloge est décalée de 15 secondes ou plus. Si votre compte de chercheur est verrouillé, Bugcrowd vous envoie par e-mail un lien Unlock account (déverrouiller le compte), et le compte se déverrouille de toute façon tout seul au bout d’une heure (Bugcrowd). D’autres causes sont décrites dans Le code d’authentification ne fonctionne pas ?

Nouveau téléphone ou téléphone perdu

Si vous sauvegardez Novaz avec la sauvegarde iCloud ou un fichier de sauvegarde, vous pouvez restaurer Bugcrowd sur le nouvel iPhone. Sans sauvegarde, un nouveau téléphone implique d’ajouter de nouveau Bugcrowd. Les chercheurs peuvent le faire eux-mêmes tant qu’ils disposent d’une méthode qui fonctionne : sur Security methods, configurez Novaz sur le nouveau téléphone et mettez à jour vos méthodes configurées (Bugcrowd ne détaille pas les étapes) (Bugcrowd). Pour les clients, la page de Bugcrowd indique qu’un téléphone nouveau ou perdu implique d’ouvrir immédiatement un ticket via le Bugcrowd Support Portal (portail d’assistance) (Bugcrowd). Consultez Comment transférer votre application d’authentification sur un nouvel iPhone.

Si vous avez perdu toutes vos méthodes enregistrées, contactez l’assistance Bugcrowd et demandez une réinitialisation de la 2FA (Bugcrowd). Bugcrowd ne précise pas quelle preuve il demande ni combien de temps prend une réinitialisation. Plus d’informations dans Vous avez perdu le téléphone qui contient votre application d’authentification ?

Désactiver la 2FA

Les chercheurs ne le peuvent pas, puisque la 2FA est obligatoire ; ils peuvent seulement changer de méthode. La page de Crowdcontrol indique toujours aux clients de cliquer sur Disable two-factor authentication (désactiver l’authentification à deux facteurs) dans Security › Two-factor authentication, après quoi Bugcrowd les déconnecte (Bugcrowd). Maintenant que la MFA est imposée pour les connexions par mot de passe, ce bouton n’existe peut-être plus. Si vous la désactivez, supprimez l’entrée dans Novaz avec Supprimer le compte.

Aide officielle de Bugcrowd

• Managing 2FA Authenticators
• Two-Factor Authentication Compliance
• Bugcrowd's Authentication Upgrade- What You Need to Know
• Setting up Two-Factor Authentication
• Enforcing Multi-Factor Authentication (MFA) at Organization level
• Customers > MFA Backup Codes
• 2FA Backup Codes in Platform