La messagerie du CHU de Montpellier repose sur une authentification multifacteur (MFA) couplée à un réseau interne segmenté par site. Pour un agent qui se connecte pour la première fois, la combinaison de ces deux contraintes crée un parcours où chaque étape mal anticipée peut verrouiller le compte avant même d’avoir lu un seul mail.
Première connexion messagerie CHU Montpellier : MFA, réseau interne et poste partagé
Le piège le plus fréquent lors de la première connexion tient à l’ordre des opérations. L’enrôlement MFA doit impérativement se faire depuis le réseau interne du CHU. Tenter d’activer le code à usage unique depuis un Wi-Fi invité, depuis son domicile ou via un partage de connexion mobile bloque la procédure sans message d’erreur explicite.
Concrètement, l’agent doit se trouver physiquement dans un service du CHU, connecté au réseau filaire ou au Wi-Fi professionnel, pour lancer l’association entre son compte et l’application de type Microsoft Authenticator. Une fois cet enrôlement validé sur le réseau interne, les connexions ultérieures depuis l’extérieur deviennent possibles.
Sur un poste partagé (salle de soins, bureau de garde), la situation se complique. L’agent précédent peut avoir laissé une session ouverte, ou le navigateur peut proposer d’enregistrer automatiquement les identifiants. Accepter cette proposition sur un poste collectif revient à donner accès à sa boîte à quiconque utilise la machine ensuite.
- Vérifier que la session précédente est bien fermée avant de saisir ses identifiants, y compris dans les onglets en arrière-plan
- Refuser systématiquement l’enregistrement du mot de passe proposé par le navigateur sur tout poste qui n’est pas personnel
- Utiliser la navigation privée si le poste le permet, ce qui évite le stockage local des cookies de session
- Ne jamais scanner le QR code d’enrôlement MFA sur le téléphone d’un collègue, même temporairement
Accès messagerie CHU : comparatif réseau interne, accès distant et poste partagé
Les conditions de connexion varient selon l’endroit et le terminal utilisé. Le tableau ci-dessous synthétise les différences concrètes entre les trois situations les plus courantes pour un agent du CHU de Montpellier.
| Critère | Réseau interne (poste fixe du service) | Accès distant (domicile) | Poste partagé (garde, autre site) |
|---|---|---|---|
| Enrôlement MFA initial | Possible et recommandé | Bloqué si pas encore enrôlé | Possible mais risque de session résiduelle |
| Authentification | Identifiant + mot de passe + code MFA | Identifiant + mot de passe + code MFA | Identifiant + mot de passe + code MFA |
| Enregistrement du mot de passe par le navigateur | Acceptable si poste personnel | Acceptable si terminal personnel verrouillé | À refuser systématiquement |
| Risque principal | Faible | Phishing via URL non officielle | Session non fermée par l’utilisateur précédent |
| Navigation privée recommandée | Non | Non | Oui |
Le niveau d’authentification reste identique dans les trois cas : identifiant, mot de passe et code MFA. Ce qui change, c’est le niveau de risque lié au terminal. Un poste personnel à domicile avec verrouillage biométrique présente moins de danger qu’un ordinateur de salle de repos où plusieurs agents se relaient en quelques heures.
URL officielle et phishing : sécuriser l’accès distant à l’espace agent
L’accès distant à la messagerie du CHU de Montpellier passe par le portail extranet accessible depuis le site officiel (chu-montpellier.fr, rubrique « Accès agent CHU »). Passer systématiquement par l’URL officielle réduit le risque de phishing de manière significative par rapport à un lien reçu par SMS ou par mail.
Les campagnes de phishing ciblant les établissements hospitaliers reproduisent souvent la charte graphique du portail d’authentification. L’agent qui clique sur un lien frauduleux arrive sur une page visuellement identique, saisit ses identifiants, puis reçoit un message d’erreur. Le mot de passe est alors compromis.
Bonnes pratiques pour l’accès depuis un terminal mobile
Les recommandations terrain pour sécuriser la messagerie CHU depuis un smartphone ou une tablette dépassent le simple mot de passe. Un verrouillage biométrique ou par code sur le terminal est un prérequis avant toute configuration de l’application d’authentification.
- Enregistrer l’URL officielle du portail extranet en favori pour éviter de la retaper (et de tomber sur un résultat sponsorisé frauduleux)
- Désactiver le remplissage automatique des mots de passe dans le navigateur mobile si le téléphone est partagé avec un proche
- Maintenir l’application Microsoft Authenticator (ou équivalent) à jour pour garantir la compatibilité avec le système MFA du CHU
Déblocage de compte messagerie CHU Montpellier : la procédure quand rien ne fonctionne
Un blocage de compte survient le plus souvent après plusieurs tentatives de connexion avec un mot de passe erroné, ou lorsque l’enrôlement MFA a été interrompu en cours de route. Dans ce cas, le service informatique du CHU reste le seul interlocuteur habilité à réinitialiser l’accès.
Avant de contacter le support, il est utile de noter le message d’erreur exact affiché par le portail. La différence entre « identifiant inconnu », « mot de passe expiré » et « second facteur non reconnu » oriente le technicien vers des actions distinctes. Un agent qui signale simplement « ça ne marche pas » allonge le temps de résolution.
Mot de passe expiré ou MFA désynchronisé
Un mot de passe peut expirer après une durée définie par la politique de sécurité de l’établissement. Le portail affiche alors un message spécifique invitant au renouvellement. En revanche, un MFA désynchronisé (changement de téléphone, réinstallation de l’application) nécessite un nouvel enrôlement, qui devra à nouveau être réalisé depuis le réseau interne du CHU.
L’agent qui change de smartphone doit anticiper cette étape avant de supprimer l’application d’authentification de l’ancien appareil. Supprimer d’abord, puis tenter de se connecter depuis chez soi, garantit un blocage complet.
Messagerie professionnelle et extranet agent : deux accès distincts au CHU de Montpellier
La messagerie et l’extranet agent du CHU de Montpellier partagent le même portail d’entrée, mais correspondent à des services différents. La messagerie donne accès aux mails professionnels. L’extranet regroupe d’autres outils : portail RH, gestion du temps de travail via Chronos, téléchargement de documents administratifs.
Un identifiant unique donne accès aux deux espaces, ce qui simplifie la connexion mais signifie aussi qu’un compte compromis expose l’ensemble des données professionnelles de l’agent, pas seulement ses mails.
Cette architecture explique pourquoi le CHU impose le MFA : la messagerie seule justifierait déjà une protection renforcée, mais l’accès simultané aux fiches de paie, plannings et données RH rend la double authentification d’autant plus cohérente. Un agent qui trouve la procédure contraignante gagne à considérer ce qu’un accès non autorisé permettrait de consulter au-delà de sa boîte de réception.
