Mots de passe

Cette page explique comment fonctionnent les mots de passe dans Chinaski : les règles qu'ils doivent suivre, comment les changer ou les réinitialiser, comment se comportent l'expiration et le lockout, et comment les administrateurs gèrent les mots de passe des autres utilisateurs.

Exigences de mot de passe

Les mots de passe sont stockés de façon sécurisée et ne sont jamais visibles de quiconque, administrateurs inclus.

Quand vous créez ou changez un mot de passe, il doit satisfaire toutes ces règles :

Au moins 8 caractères de long
Au moins une lettre majuscule
Au moins une lettre minuscule
Au moins un chiffre

Une règle plus stricte s'applique quand le premier mot de passe d'administrateur du site est défini, que ce soit pendant l'écran de configuration navigateur ou depuis la ligne de commande : ce mot de passe doit faire au moins 12 caractères, en plus des règles ci-dessus.

Si votre mot de passe ne satisfait pas ces exigences, le formulaire vous dit exactement quelle règle a échoué.

Changer votre propre mot de passe

Vous pouvez changer votre mot de passe sur votre page de compte.

Entrez votre mot de passe actuel.
Entrez le nouveau mot de passe deux fois pour le confirmer.
Sauvegardez.

Quelques choses se produisent quand le changement réussit :

Toutes vos autres sessions sont déconnectées immédiatement. L'appareil depuis lequel vous l'avez changé reste connecté.
L'horloge d'expiration du mot de passe redémarre depuis le moment du changement.
Si votre mot de passe avait été marqué comme expiré, ce flag est levé.

Si le mot de passe actuel est erroné ou que les nouveaux mots de passe ne correspondent pas, rien n'est changé et une erreur vous est montrée.

Expiration des mots de passe

Un administrateur du site peut exiger que les utilisateurs changent leurs mots de passe périodiquement. Cela est contrôlé par le réglage Password expiry sur l'onglet Settings → Security, mesuré en jours. Il est désactivé par défaut (mis à 0).

Quand l'expiration est activée et que votre mot de passe atteint sa limite d'âge :

La prochaine fois que vous vous connectez, vous verrez « Your password has expired. Please change it now. » et vous serez mené directement sur votre page de compte pour le changer.
Votre page de compte montre aussi un avertissement pendant que votre mot de passe est encore valide mais proche de l'expiration : « Password expires in N day(s). » apparaît quand il reste 7 jours ou moins.

Changer votre mot de passe réinitialise le compte à rebours.

Réinitialiser un mot de passe oublié

Si vous avez oublié votre mot de passe :

Ouvrez la page « Forgot password » et entrez votre nom d'utilisateur ou votre adresse email.
Si le compte existe et a une adresse email enregistrée, un lien de réinitialisation est envoyé à cette adresse.
Ouvrez le lien et définissez un nouveau mot de passe, puis connectez-vous.

Choses utiles à savoir sur les liens de réinitialisation :

Un lien est valide pendant 24 heures.
Un lien ne peut être utilisé qu'une fois. Après une réinitialisation réussie, il cesse de fonctionner.
Demander une nouvelle réinitialisation annule tout lien antérieur pour votre compte.
Après avoir réinitialisé votre mot de passe, vous êtes déconnecté de toutes les sessions : chaque appareil connecté devra se reconnecter.
Le formulaire montre toujours la même confirmation que le compte existe ou non, de sorte qu'il ne peut pas servir à découvrir qui a un compte.

Lockout de compte

Pour se protéger du devin, les tentatives de connexion sont limitées par adresse IP. Les échecs répétés escaladent :

5 tentatives échouées → verrouillé pendant 1 minute
10 tentatives échouées → verrouillé pendant 5 minutes
20 tentatives échouées → verrouillé pendant 30 minutes

Si vous cessez d'essayer pendant environ 10 minutes, le compte des tentatives échouées repart de zéro. Pendant un lockout, même des credentials corrects sont rejetés jusqu'à la fin de l'attente, et la page de connexion vous dit de réessayer plus tard.

Configurer les utilisateurs et les mots de passe en tant qu'administrateur

Les administrateurs gèrent les mots de passe des autres utilisateurs depuis l'écran d'édition de l'utilisateur dans la zone admin :

Entrez un nouveau mot de passe (deux fois) pour définir ou réinitialiser le mot de passe de cet utilisateur. L'utilisateur est déconnecté de toutes ses sessions ensuite, et le changement est enregistré.
Laissez les deux champs de mot de passe vides pour mettre à jour le rôle, l'email ou les détails du profil de l'utilisateur sans toucher à son mot de passe.
Tout mot de passe que vous définissez doit satisfaire les exigences standard listées ci-dessus.

Un garde-fou : si vous êtes le seul administrateur actif, vous ne pouvez pas rétrograder votre propre compte d'admin à editor. Tenter de le faire montre une erreur, car cela verrouillerait tout le monde hors de la gestion des utilisateurs.

Les nouveaux comptes créés via la page d'auto-inscription reçoivent le rôle editor, et les mêmes exigences de mot de passe s'appliquent. Les tentatives d'inscription sont limitées en débit par adresse IP comme la connexion.

Configuration du premier démarrage

Sur un site neuf, le mot de passe du premier administrateur est choisi sur l'écran de configuration, qui requiert le minimum plus strict de 12 caractères plus les règles standard. L'écran de configuration n'est disponible que jusqu'à ce que la configuration soit terminée ; une fois le premier mot de passe défini, il n'est plus disponible.

Si un administrateur perd son mot de passe et qu'aucun autre admin n'est disponible, un opérateur avec un accès en ligne de commande au serveur peut remettre le site en mode de configuration premier démarrage pour qu'un nouveau mot de passe puisse être choisi via le même écran de configuration.

Pages protégées par mot de passe

En plus des comptes utilisateurs, chaque page et chaque post peut recevoir son propre mot de passe dans l'éditeur de contenu. Les visiteurs doivent entrer ce mot de passe pour voir le contenu.

Un point dont il faut être conscient : cette protection est une porte tournée vers le lecteur, pas le retrait du contenu de la page. Le thème que vous utilisez doit supporter explicitement la porte à mot de passe ; sinon, définir un mot de passe sur une page n'aura aucun effet visible, sans avertissement montré ni à vous ni à l'administrateur.