Discussion :

[Marc31]

Bonjour à tous,

J'aimerais mettre sur mon site, dans la partie connexion, un hyperlien pour gérer les mots de passes oubliés.

Je souhaites que lorsqu'il clique sur l'hyperlien cela ouvre une fenêtre qui demande le nouveau mot de passe.

Mais je veux sécurisé la chose et je ne vois pas comment faire...

Bonne journée.

[Invité]

Bonjour,

as-tu fait une recherche avant de poster ?
Tu n'es certainement pas le premier à te poser la question...


Conseil : regarde aussi sur d'autres site comment s'est géré.

Généralement :

• on demande l'email ou login (de celui qui a "perdu son mot de passe")
• on envoie un mail de confirmation à l'adresse email fournie (ou enregistrée pour ce login), avec un lien vers un formulaire pour pouvoir modifier son email
• le lien inclus généralement un paramètre (ou token) unique (aussi enregistré en BDD), qui permettra d'identifier l'utilisateur

[Marc31]

Merci pour l'aide et non je reconnais que j'ai pas vraiment fais de recherche par manque de temps....

Généralement :

ça je voit comment faire - on demande l'email ou login (de celui qui a "perdu son mot de passe")
ça je voit comment faire - on envoie un mail de confirmation à l'adresse email fournie (ou enregistrée pour ce login), avec un lien vers un formulaire pour pouvoir modifier son email
Mais là j'ai un peu de mal - le lien inclus généralement un paramètre (ou token) unique (aussi enregistré en BDD), qui permettra d'identifier l'utilisateur

[grunk]

Dans ta base utilisateur tu rajoute un champs "token" et un champs "date_token" qui sont par défaut vide.
Au moment ou tu créer le mail à envoyer tu peuple ces 2 champs avec un numéro/chaine aléatoire pour le token et la date de création pour date_token.

Le lien que tu inclus dans le mail sera du type

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$link = 'http://monsite.com/restorepassword.php?token='.$token;

De cette manière tu vérifie que l'utilisateur qui veux changer son mot de passe (donc qui te fourni son login et/ou email) est bien celui qui à recu l'émail.
La date de token permet de s'assurer que l'opération n'est pas effectue trop longtemps après la demande.

Une fois le nouveau mot de passe générer tu vide les deux champs dans ta base.