[Sécurité] Renvoyer un mot de passe crypté [Résolu]

[psychoBob]

Bonjour,

Je suis pris d'une angoisse subite et ô combien tenaillante :

Je crypte les mots de passe de la zone membre que je programme.
Mais si un amnésique veut récupérer son mot de passe, qu'est ce que je vais lui envoyer ? Quand même pas un md5(), je suis pas sadique à ce point là.

Je fais comment ?

[Death83]

Le mieu c'est de lui renvoyé un mail automatiquement avec un lien permettant de l'identifier dans lequel tu lui redemandera un nouveau mot de passe.

C'est la methode la plus courament utilisé. Et la plus sur.

[psychoBob]

Merci pour ta réponse.

Quand tu dis "un lien permettant de l'identifier" c'est quoi au juste ? Il doit y avoir quelle information dans ce lien ?

J'ai un peu de mal avec le processus.

[Death83]

En fait j'ai fait un systeme comme ca sur mon site.

Dans le cadre connection j'ai un lien mot de passe oublié. Si l'utilisateur click dessus je lui demande alors son adresse mail. Je vérifie que l'adresse mail fait bien partie de celle des membres. Si c'est le cas j'envoie un mail avec un lien du type:

.../pertemdp.php?lid=6a30e32e56fce5cf381895dfe6ca7b6f

La clé est généré aléatoirement. En meme temps que le mail est envoyé je stock cette clé dans ma BDD en l'identifiant a l'id de l'utilisateur. Lorsque la personne ira sur le lien. Je récupert la clé et je vais chercher l'id du membre afin de l'identifier.

Si tout ce passe bien, je lui demande un nouveau mot de passe qui ecrasera l'ancien.

Est-ce plus clair?

[psychoBob]

Génial ! Extrêmement clair, merci, ça me parait bien solide comme système.


Tu crées une table spéciale pour le stockage de la clé et de l'id correspondant au mail ?

[Death83]

Oui.

Je viens de regarder en fait je stoque directement la clé et le mail dans la table. L'identification se fait par rapport au mail. Mais ca te fera économiser de l'espace sur ta BDD de passer par une clé primaire.

Apres il faut optimiser le code afin de faire effacer automatiquement les champs dans la table lorsque l'utilisateur a saisi son mot de passe (ou lorsque rien est fait au bout d'une semaine par exemple). Comme ca c'est plus propre.

[psychoBob]

C'est noté, je vais approfondir tout ça mais déjà là je vois bien mieux quoi faire.

Merci à toi Death83.


Je marque résolu, mais si vous avez encore des choses à préciser, n'hésitez pas !