Discussion :

[encoremoi21258]

Bonjour,

Actuellement pour réinitialiser le mot de passe, la page vérifie qu'une connexion sur le compte a déjà été effectuée à partir de l'IP d'où provient la demande et ensuite ça envoie un email à l'adresse email associée au compte avec un lien à cliquer et un mot de passe temporaire. Une fois le lien cliqué ça vérifie avec l'adresse IP et l'identifiant de session si la personne ayant cliqué est celle qui a fait la demande de réinitialisation. Si ça correspond, le mot de passe temporaire est attribué au compte.

Le premier problème est que si la personne a déménagé ou possède une IP dynamique, ça risque de ne pas détecter de connexion précédente sur le compte.
Le deuxième problème est que si la personne consulte ses emails via son téléphone, lors du clique sur le lien l'IP et la session ne sont pas les mêmes.

La solution la plus simple pourrait être de retirer la vérification de l'IP et de la session, mais cela baisse la sécurité du système ...

Avez vous une idée ?

Merci d'avance

[CosmoKnacki]

Dans ce cas là pourquoi ne pas imposer une limite de temps entre la demande de réinitialisation et le clique sur le lien de l'email. De cette manière tu réduis la probabilité que l'IP ait changé, tu t'assure que la personne ne va pas passer entre temps de son ordi à son smartphone. Au delà de ce délai, le lien n'est alors plus valable. Et si par malheur, l'IP a changé, il suffit de le signaler à l'utilisateur pour qu'il recommence la procédure. Ceci dit, je ne suis pas persuadé que la vérification de l'IP apporte grand chose du point de vue sécurité, l'intérêt est surtout d'exploiter la sécurité de l'accès au compte email.

[encoremoi21258]

Bonsoir,

Donc techniquement il n'est pas possible de voir le contenu d'un email envoyé via la fonction mail() de PHP via un outil de "piratage" ?

[badaze]

Un email n'est jamais sûr. Tu ne sais pas par où il transite, tu ne sais pas si le compte qui va le recevoir a été piraté, etc... C'est pour ça qu'il ne faut jamais envoyer son n° de CB via un email par exemple.

Dans ton cas je ne pense pas que l'adresse IP soit à contrôler. Hypothétiquement parlant, je pourrais demander la réinitialisation de n'importe quel compte sur n'importe quel forum si je connais l'adresse email d'un membre. Néanmoins cela ne servira a rien car je ne recevrai pas l'email. Si je suis une personne mal intentionnée et que j'ai usurpé le compte, que tu contrôles ou pas l'IP ne changera rien. J'aurai accès au compte.
Tu peux sécuriser ton système en imposant lors de l'inscription une question secrète qui sera posée lors de la demande de réinitialisation voire envoyer un sms avec un code à rentrer si l'utilisateur a donné son n° de téléphone. Dans le cas d'un lien il faut par contre mettre une date/heure limite de validité.

[encoremoi21258]

Bonsoir,

Désolé pour le temps de réponse. J'ai lu attentivement vos réponses et effectivement contrôler l'IP ne semble pas indispensable. En faite le problème à la base est que le contrôle de l'IP empêche beaucoup de personnes de réinitialiser le mot de passe, alors qu'elles souhaitent simplement accéder à leur propre compte.

Je vais du coup retirer cette vérification d'IP et bien sûr mettre une durée limite de validité du lien de réinitialisation.

Merci pour vos réponses