Bonne pratique modification identifiant / mot de passe

[emualliug]

Bonjour à tous,

Quelles seraient les bonnes pratiques en matière de modification de l'identifiant et du mot de passe (hors multi facteurs d'identification) ?

Pour l'heure, j'ai un mécanisme simple de création de compte et de confirmation du courriel. En cas de demande de réinitialisation du mot de passe, un mail est envoyé avec un lien de réinitialisation, rien que de très classique. Lors d'un changement du mot de passe (après une réinitialisation ou modification simple), j'envoie un courriel au compte pour signaler le changement du mot de passe (histoire que le titulaire puisse réagir si ce n'est pas son fait).

Je suis plus hésitant sur la modification de l'identifiant qui sert d'adresse de courriel.

Une personne mal intentionnée pourrait modifier l'identifiant, avant de modifier le mot de passe, pour ne pas que le titulaire soit averti du changement du mot de passe.

Faudrait-il envoyer un mail au premier compte en cas de changement de courriel ?

Faut-il vérifier la nouvelle adresse de courriel ?

Pensez-vous à d'autres bonnes pratiques ?

 

[kartyr]

Faudrait-il envoyer un mail au premier compte en cas de changement de courriel ?

Oui.

Tout comme pour le changement de mot de passe, l'opération de changement d’e-mail devrait passer par un lien de validation envoyé à l’adresse e-mail actuelle.

Faut-il vérifier la nouvelle adresse de courriel ?

Oui, toujours. Idem, un lien de validation de l'opération. Déjà, ça permet de s'assure qu'il n'y a pas d'erreur lors de la saisie de la nouvelle adresse e-mail. Et que la personne a effectivement accès à cette adresse. C'est important, sinon quelqu'un pourrait mettre l'adresse e-mail de quelqu'un d'autre. (bien entendu en cas de boite mail piratée, c'est ce qui se passe).

Pensez-vous à d'autres bonnes pratiques ?

Alors, je pense qu'il ne faut pas hésiter à verser dans la paranoïa.

Je pense:

• envoyer un e-mail à l'adresse actuelle, avec un lien pour valider l'opération (1)
• envoyer un e-mail à la nouvelle adresse, avec un autre lien pour valider l’opération (2)
• si (1) et (2) sont tous les deux validés, alors on effectue la modification de l'adresse e-mail.

Maintenant, il y a le cas où l'utilisateur n'a plus accès à l'adresse e-mail enregistrée dans ton système. Ça peut arriver pour diverses raisons qui peuvent être légitimes.

Dans ce cas là, tu peux lui demander de te contacter, et à toi de juger si ça semble légitime ou une tentative frauduleuse, et tu la changes toi même à la main.

Pour ma part, je ne permets pas cela. Si quelqu'un n'a plus accès à l'adresse e-mail qu'il a utilisé précédemment, je lui dis qu'il doit créer un nouveau compte.

Tu peux aussi créer un système de question secrète pour rajouter une couche de sécurité.

Une bonne pratique peut également d'envoyer un message à chaque fois que l'utilisateur se connecte, avec l'adresse IP et le système d'exploitation. Cela peut permettre à l'utilisateur (averti) de savoir si quelqu'un d'autre se connecte à son compte.

C'est aussi une bonne idée de conserver les adresses IP de connexion et lors de modification des informations relatives au compte. Ça peut te permettre de détecter un soucis. (penser à bien informer les utilisateurs, en rapport avec la RGPD, puisqu'il est considéré que l'IP est une donnée personnelle).

 

[emualliug]

Merci pour ton retour, je prends note pour la validation du nouvel email. Ça complique un peu le processus, mais ça me semble raisonnable par rapport au gain.

il y a le cas où l'utilisateur n'a plus accès à l'adresse e-mail enregistrée dans ton système.

Voilà. Le changement de courriel est bien souvent modifié par la perte de l'accès à la boite mail initiale.

J'entends ton point de vue (inviter l'utilisateur à créer un nouveau compte et assumer la perte de données lié à la perte d'accès), mais je ne fais pas la même approche. La perte d'accès à un mail me paraît plus courante que le piratage par substitution de login.

Une bonne pratique peut également d'envoyer un message à chaque fois que l'utilisateur se connecte, avec l'adresse IP et le système d'exploitation.

C'est ce que fait OVH, et honnêtement, ça me saoule. Je ne le fais que pour les opérations "sensibles" (réinitialisation ou modification du mot de passe). Par contre l'utilisateur a accès, depuis son compte, aux dernières connexions.

C'est aussi une bonne idée de conserver les adresses IP de connexion et lors de modification des informations relatives au compte.

Oui, naturellement.