Comptes et connexion

Créez un compte depuis Démarrer l’essai (/admin/register), dans l’application mobile (nom, e-mail, mot de passe), ou connectez-vous à /admin/login.

E-mail et mot de passe

Il vous faut un e-mail unique. Utilisez Mot de passe oublié sur la page de connexion, ou demandez la réinitialisation depuis l’app. Le lien est envoyé à cet e-mail et ouvre le site pour choisir un nouveau mot de passe.

Connexion sociale

Google, Microsoft et Apple sont sur la page de connexion. Un e-mail social vérifié qui correspond déjà à un compte est lié. Un e-mail social non vérifié ne peut pas se connecter ni être associé depuis le Profil.

Associer un prestataire depuis le Profil est différent. Si cette connexion appartient déjà à un autre compte, WhoTookWhat ne la déplace pas. Vous voyez un avertissement et la tentative est refusée.

• Application mobile : Continuez avec Google, Microsoft ou Apple sur une compilation de développement ou de production (pas Expo Go). Si le compte n’a pas accepté les Conditions d’utilisation, l’app ouvre l’écran Accepter les Conditions d’utilisation. Une nouvelle identité sociale crée un compte lorsque l’e-mail du prestataire est vérifié et que les conditions sont acceptées sur cet écran. Liez un prestataire à un compte existant depuis l’écran Compte, ou depuis le Profil sur le site. L’app n’attache pas d’elle-même un nouveau prestataire à un compte existant.

Conditions d’utilisation

Les nouveaux comptes acceptent les Conditions lors de l’inscription sur le web. Si le compte n’a pas accepté les Conditions d’utilisation dans l’app, l’app ouvre l’écran Accepter les Conditions d’utilisation. L’API mobile exige aussi terms_accepted_at. S’il manque, la connexion renvoie 403 avec code: terms_required — acceptez les conditions dans l’app (POST /auth/terms) avec le même mot de passe ou la preuve sociale. L’inscription et une nouvelle identité sociale utilisent 422 sur terms, puis réessayent avec terms: true.

Authentification à deux facteurs

Activez une application authenticator et des passkeys facultatives depuis votre profil. Il n’y a pas de code SMS ni e-mail. Les codes de récupération s’affichent lorsque vous activez l’authenticator. Conservez-les en lieu sûr ; c’est ainsi que vous revenez si vous perdez l’appareil.

Un Owner d’Organisation peut exiger un authenticator ou une passkey avant que les membres n’utilisent cette Organisation. Les comptes uniquement passkey peuvent se connecter sur le web, et sur le téléphone avec une compilation de développement ou de production.

Si vous n’avez aucun authenticator ni passkey, vous pouvez quand même vous connecter sur le téléphone. La liste des Organisations et les routes locataires renvoient mfa_required_for_organisation jusqu’à l’inscription depuis Compte.

Comptes fermés

Un compte fermé définitivement ne peut pas se connecter. Sur le site, c’est un blocage total. Sur l’API, la connexion renvoie 401 avec le même message générique d’identifiants invalides qu’un mauvais mot de passe (les comptes fermés ne sont donc pas distingués). Le même e-mail ne peut pas démarrer un autre essai.