Introduction

Oublier son mot de passe est chose courante. La méthode pour redonner ce dernier à l’utilisateur n’est pas si triviale que ça.

On peut trouver 3 moyens pour obtenir sur un site son mot de passe oublié, on inscrit son email ou son login et l’une des 3 méthodes est alors utilisée, au choix :

1. réinitialisation par le système du mot de passe automatiquement à une valeur (vu sur Fuzz, étrange : Your password has been reset to “password”. Please login and change your password),
2. l’envoi du passe en clair par mail,
3. la ré-initialisation du mot de passe (pas d’envoi en clair de ce dernier) : envoi d’un lien vers une page Web pour en choisir un nouveau,

En général, on saisit son login ou son email, et le site vous envoie l’information adéquate. Bien entendu, pour les webmails (GMail), on trouve aussi la question secrète (par ex. : quelle était la couleur du cheval blanc d’Henri IV ?), qui se substitue au challenge de modification de récupération du mot de passe, et s’associe à l’envoi sur une email alternative du challenge (lien Web de modification du mot de passe). D’ailleurs, ne faites pas comme moi, assurez-vous que l’email alternative ne se trouve pas sur un ancien compte d’un fournisseur auquel vous n’avez plus accès (noos.fr à titre d’exemple).

En aparté, je souris souvent et reste étonné lorsque je m’aperçois d’une certaine naïveté ou de l’imprudence penseront d’autres, des utilisateurs qui n’hésitent pas à transférer leur mail avec leur login et mot de passe à des collaborateurs voire des personnes externes à leur entreprise. En sachant que leur mot de passe est souvent le même pour toutes les applications qu’ils utilisent, on imagine vite les conséquences de ce comportement (jugé irresponsable ?).

La 1ère solution ne me semble très honnêtement pas appropriée du point de vue de la sécurité, surtout que pour changer son mot de passe une fois connecté, cela se révèle plus du parcours du combattant que de la promenade printanière. La 2ème solution a vécu et semble être trop naïve pour le quidam peu au fait des bases de la sécurité.

More→