Authentification par mot de passe : les mesures de sécurité élémentaires
▻https://www.cnil.fr/fr/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires
« Dans tous les cas, le mot de passe ne doit pas être communiqué à l’utilisateur en clair par courrier électronique. Ces exigences sont des règles minimales. »
N’est-ce pas #SPIP ? :(
@rastapopoulos comme tu le sais, tout existe pour palier au problème, il ne reste plus qu’à l’intégrer dans la core :)
Bah euh je sais j’ai fait plugin pour ça déjà avant ce ticket (que G0uZ utilise maintenant cf les commentaires).
Mais d’une il faudrait que ce soit dans le noyau (Cédric proposait de carrément tout refaire et utiliser en priorité des emails avec des liens, et les mots de passe seulement en option pour celleux qui l’activent dans leur compte => mais c’est un beaucoup plus gros chantier, donc plus long et ça va trainer, et donc ça serait déjà bien de au moins les demander à l’inscription et ne plus les mettre dans les emails, ça c’est rapide et déjà codé).
Et de deux, ya eu un ajout au printemps d’un envoi d’email en clair supplémentaire par les admins, qui n’a pas vraiment été discuté, et qui du coup ajoute un truc pas cool supplémentaire au lieu d’améliorer l’existant. Cf le ticket ▻https://core.spip.net/issues/2250 qui d’ailleurs ne demandait pas à envoyer le mot de passe dans l’email justement.
En même temps, on découvre une nouvelle fonctionnalité qui est apparue « magiquement » dans SPIP 3.2 : « Générer un nouveau mot de passe et l’envoyer par email » (par texte en clair).