Senhas

Esta página explica como as senhas funcionam no Chinaski: as regras que elas devem seguir, como trocá-las ou redefini-las, como expiração e bloqueio se comportam, e como administradores gerenciam senhas de outros usuários.

Requisitos de senha

As senhas são armazenadas com segurança e nunca são visíveis a ninguém, incluindo administradores.

Quando você cria ou muda uma senha, ela deve atender a todas estas regras:

Ao menos 8 caracteres de comprimento
Ao menos uma letra maiúscula
Ao menos uma letra minúscula
Ao menos um dígito

Uma regra mais rígida se aplica quando a senha do primeiro administrador do site é definida, seja na tela de configuração pelo navegador ou pela linha de comando: essa senha deve ter pelo menos 12 caracteres, além das regras acima.

Se a sua senha não atender a esses requisitos, o formulário informa exatamente qual regra falhou.

Alterando sua própria senha

Você pode mudar sua senha na página da sua conta.

Digite sua senha atual.
Digite a nova senha duas vezes para confirmá-la.
Salve.

Algumas coisas acontecem quando a alteração é bem-sucedida:

Todas as suas outras sessões são encerradas imediatamente. O dispositivo em que você fez a alteração continua conectado.
O contador de expiração da senha recomeça a partir do momento da alteração.
Se a sua senha tinha sido marcada como expirada, essa marcação é removida.

Se a senha atual estiver errada ou as novas senhas não coincidirem, nada é alterado e você vê uma mensagem de erro.

Expiração de senha

Um administrador do site pode exigir que os usuários troquem suas senhas periodicamente. Isso é controlado pela configuração Password expiry na aba Settings → Security, medida em dias. Ela vem desativada por padrão (definida como 0).

Quando a expiração está ativada e a sua senha atinge o limite de idade:

Na próxima vez que você entrar, verá "Your password has expired. Please change it now." e será levado diretamente à página da sua conta para trocá-la.
A página da sua conta também mostra um aviso enquanto a senha ainda é válida, mas está perto de expirar: "Password expires in N day(s)." aparece quando restam 7 dias ou menos.

Trocar a senha reinicia a contagem regressiva.

Redefinindo uma senha esquecida

Se você esqueceu sua senha:

Abra a página "Forgot password" e digite seu nome de usuário ou endereço de e-mail.
Se a conta existir e tiver um endereço de e-mail cadastrado, um link de redefinição é enviado a esse endereço.
Abra o link e defina uma nova senha; depois, entre.

Informações úteis sobre links de redefinição:

Um link é válido por 24 horas.
Um link só pode ser usado uma vez. Após uma redefinição bem-sucedida, ele deixa de funcionar.
Solicitar uma nova redefinição cancela qualquer link anterior da sua conta.
Depois que você redefine sua senha, todas as sessões são encerradas: todo dispositivo conectado precisará entrar novamente.
O formulário sempre mostra a mesma confirmação, quer a conta exista ou não, de modo que não pode ser usado para descobrir quem tem uma conta.

Bloqueio de conta

Para proteger contra tentativas de adivinhação, as tentativas de login são limitadas por endereço IP. Falhas repetidas escalam o bloqueio:

5 tentativas malsucedidas: bloqueio de 1 minuto
10 tentativas malsucedidas: bloqueio de 5 minutos
20 tentativas malsucedidas: bloqueio de 30 minutos

Se você parar de tentar por aproximadamente 10 minutos, a contagem de tentativas malsucedidas recomeça. Durante um bloqueio, até credenciais corretas são rejeitadas até o fim da espera, e a página de login orienta você a tentar novamente mais tarde.

Configurando usuários e senhas como administrador

Administradores gerenciam as senhas de outros usuários na tela de edição do usuário, na área de admin:

Digite uma nova senha (duas vezes) para definir ou redefinir a senha desse usuário. Depois disso, o usuário é desconectado de todas as suas sessões e a alteração é registrada.
Deixe os dois campos de senha em branco para atualizar a função, o e-mail ou os dados de perfil do usuário sem mexer na senha.
Qualquer senha que você definir deve atender aos requisitos padrão listados acima.

Uma salvaguarda: se você é o único administrador ativo, não pode rebaixar sua própria conta de admin para editor. Tentar fazer isso exibe um erro, porque deixaria todos sem acesso ao gerenciamento de usuários.

Novas contas criadas pela página de autocadastro recebem a função de editor, e os mesmos requisitos de senha se aplicam. As tentativas de cadastro têm limite de taxa por endereço IP, assim como o login.

Configuração inicial

Em um site novo, a senha do primeiro administrador é escolhida na tela de configuração, que exige o mínimo mais rígido de 12 caracteres além das regras padrão. A tela de configuração só fica disponível até a configuração ser concluída; depois que a primeira senha é definida, ela deixa de estar disponível.

Se um administrador perde sua senha e nenhum outro admin está disponível, um operador com acesso de linha de comando ao servidor pode colocar o site de volta no modo de configuração inicial, para que uma nova senha seja escolhida pela mesma tela de configuração.

Páginas protegidas por senha

Além das contas de usuário, páginas e posts individuais podem receber sua própria senha no editor de conteúdo. Os visitantes precisam digitar essa senha para ver o conteúdo.

Um ponto de atenção: essa proteção é uma barreira voltada ao leitor, não a remoção do conteúdo da página. O tema que você usa precisa oferecer suporte explícito à barreira de senha: se não oferecer, definir uma senha em uma página não terá efeito visível, sem nenhum aviso para você ou para o administrador.