Financements

EDOF : la double authentification par code de sécurité, mode d'emploi

Par Jérémie Chiari · Publié le 8 septembre 2026 · 7 min de lecture

Depuis le 3 septembre 2026, la connexion à EDOF passe par une double authentification : après l'identifiant et le mot de passe, la plateforme envoie un code de sécurité à usage unique sur l'adresse e-mail du compte, valable 30 minutes. Chaque utilisateur doit disposer de son propre compte, rattaché à une adresse professionnelle nominative et non générique.

Relu par Axel Joseph Auguste, cofondateur de LIDEO, spécialiste réglementaire et sécurité — profil

Ce qui change à la connexion EDOF

Depuis le 3 septembre 2026, ouvrir EDOF ne se résume plus à saisir un identifiant et un mot de passe. La plateforme envoie ensuite un code de sécurité à usage unique sur l'adresse e-mail rattachée au compte. Ce code est valable 30 minutes. Sans lui, la session ne s'ouvre pas.

Deux autres exigences accompagnent ce dispositif, et ce sont elles qui posent le plus de problèmes en pratique : chaque utilisateur doit avoir son propre compte, et l'adresse e-mail de ce compte doit être une adresse professionnelle nominative, pas une boîte générique.

Le message de fond est simple : l'accès à EDOF devient personnel. Ce n'est plus l'organisme qui se connecte, c'est une personne identifiée.

D'où vient ce changement

La Caisse des Dépôts, qui opère Mon Compte Formation et l'espace des organismes de formation, a annoncé le renforcement des accès le 21 juillet 2026, pour une application au 3 septembre 2026. Six semaines de préavis, ce qui laisse penser que le sujet était considéré comme urgent.

La raison n'est pas mystérieuse. EDOF est la porte d'entrée vers des fonds publics : c'est là que se publient les offres visibles sur Mon Compte Formation, que se gèrent les dossiers d'inscription et que se déclenchent les paiements. Un accès compromis, c'est un catalogue qu'un tiers peut modifier et des dossiers qu'il peut manipuler. La double authentification par code à usage unique est la réponse standard à ce risque : même si un mot de passe fuite, il ne suffit plus.

L'exigence d'un compte nominatif par utilisateur relève de la même logique. Tant qu'un compte circule entre plusieurs mains, on ne sait plus qui a publié quoi, ni qui a validé quel dossier. Un compte par personne, c'est une trace exploitable en cas de contrôle comme en cas d'incident.

Ce que la plateforme exige concrètement

Un compte par personne, pas par organisme

Si votre assistante, votre responsable pédagogique et vous-même utilisiez le même identifiant, cette organisation ne tient plus. Le code de sécurité part sur une seule adresse : celle du compte. Les deux autres personnes se retrouvent à attendre qu'on leur transfère un code qui expire dans 30 minutes.

La bonne organisation consiste à recenser qui a réellement besoin d'entrer dans EDOF, puis à ouvrir un compte pour chacune de ces personnes. Pas plus : un accès à un outil de paiement public n'est pas un droit d'usage à distribuer largement.

Une adresse professionnelle nominative

Les adresses génériques — contact@, formation@, admin@, ou une adresse personnelle en gmail.com — ne conviennent pas comme adresse de compte. Il faut une adresse au nom de la personne, sur le domaine de l'organisme, du type prenom.nom@votredomaine.fr.

Cela suppose parfois de créer des adresses qui n'existaient pas. C'est une demi-journée de travail avec votre hébergeur de messagerie, à faire avant de constater le blocage un vendredi soir de fin de session.

Un code à usage unique, valable 30 minutes

Le code arrive par e-mail après la saisie du mot de passe. Trois conséquences pratiques :

• La personne qui se connecte doit avoir accès à sa messagerie au moment de la connexion. Une adresse relevée une fois par jour ne fonctionne pas.
• Le filtrage anti-spam devient un point de défaillance. Un message d'authentification classé en indésirable, et l'utilisateur croit à une panne de la plateforme.
• Une connexion depuis un téléphone suppose que la boîte professionnelle y soit configurée.

Un travail de préparation côté messagerie

Demandez à votre informatique — ou à votre prestataire de messagerie — d'autoriser explicitement les envois de la plateforme, et vérifiez que les règles de tri automatique ne déplacent pas ces messages dans un dossier secondaire. C'est la cause la plus banale des tickets de support, et la plus facile à traiter en amont.

Ce qui ne change pas

Ce renforcement porte sur l'accès à la plateforme, pas sur les conditions de fond du référencement. Restent identiques :

• Les conditions pour être référencé sur EDOF : déclaration d'activité à jour, certification Qualiopi sur les actions concernées, éligibilité de vos formations au CPF.
• Le contenu attendu de vos fiches d'offres et la responsabilité de l'organisme sur ce qu'il publie.
• Le circuit des dossiers d'inscription et de facturation.
• Les obligations liées à votre certification Qualiopi et aux contrôles qui peuvent en découler.

Autrement dit : si votre offre n'est pas éligible au CPF, une connexion mieux sécurisée n'y changera rien. C'est un sujet distinct, que nous traitons dans notre accompagnement au référencement CPF.

Que faire selon votre situation

Un point d'organisation qui vaut pour tous : désignez en interne une personne responsable des accès EDOF. Elle tient la liste des comptes ouverts, la met à jour aux arrivées et aux départs, et sait quoi faire quand un code n'arrive pas. Sans cela, la connexion redevient un problème collectif à chaque incident.

Les erreurs fréquentes

Attendre le blocage pour agir. Le jour où vous découvrez que l'adresse du compte est une boîte que plus personne ne relève, vous avez généralement un dossier urgent à traiter. Vérifiez maintenant, à froid.

Se transférer les codes entre collègues. Techniquement, cela peut fonctionner une fois. Mais c'est exactement l'usage que le dispositif cherche à supprimer, et cela vous laisse sans trace de qui a fait quoi. Ouvrez les comptes nécessaires.

Laisser un accès actif après un départ. Un ancien salarié qui conserve un compte EDOF actif est un risque évident sur un outil relié à des fonds publics. Le retrait d'accès fait partie de la procédure de sortie, au même titre que la restitution du matériel.

Confondre boîte de contact et boîte d'authentification. Votre adresse contact@ garde toute son utilité pour les échanges avec les stagiaires. Elle n'a simplement pas vocation à porter un compte utilisateur.

Croire que le sujet est purement technique. Décider qui accède à EDOF, c'est décider qui engage l'organisme sur des dossiers financés. C'est une question de gouvernance, à trancher par la direction — au même titre que les autres décisions de trésorerie et de financement, dont nous parlons par exemple à propos de la fin de la subrogation OPCO.

En résumé

Depuis le 3 septembre 2026, se connecter à EDOF suppose un code de sécurité à usage unique reçu par e-mail et valable 30 minutes, sur un compte nominatif rattaché à une adresse professionnelle personnelle. Les organismes qui partageaient un identifiant ou utilisaient une adresse générique doivent réorganiser leurs accès avant de se retrouver bloqués sur un dossier urgent. Le fond du référencement CPF, lui, ne bouge pas : ce sont vos conditions d'accès qui se resserrent, pas vos obligations de contenu — et si le sujet de votre éligibilité reste ouvert, nous pouvons en parler.

Sources

1. Caisse des Dépôts — Sécurisez vos accès à la plateforme EDOF
2. Mon Compte Formation — espace des organismes de formation
3. France compétences

Partager : LinkedIn · WhatsApp · E-mail