Contrôle des mots de passe

Dans le cadre des préconisations liés à l'implémentation du RGPD, des contrôles renforcés des mots de passe sont maintenant proposés en option.

Durée de validité

Si une durée est précisée, lorsque qu'un internaute se connecte, une vérification est faite que son mot de passe n'est pas expiré. Si tel est le cas (ie : le délai depuis la date de dernière mise à jour est dépassé), il doit contacter l'administrateur ou bien utiliser "mot de passe oublié" si l'option "envoyer un jeton temporaire" est sélectionnée (cf ci-dessous).

Sur le portail, si la date de fin de validité approche, un message le previent (attention : vérifier que le composant est bien en place dans le composeur de menu).

Contenu des mots de passe

Lorsqu'un utilisateur (via le poste Kentika et via l'interface web) choisit un mot de passe. Kentika vérifie le niveau de sécurité de ce dernier par rapport aux règles définies par l'administrateur.

Si l'option "une majuscule" est cochée, le mot de passe doit contenir au moins un caractère contenu entre A et Z.

Si l'option "une minuscule" est cochée, le mot de passe doit contenir au moins un caractère contenu entre a et z.

Si l'option "un numérique" est cochée, le mot de passe doit contenir au moins un caractère contenu entre 0 et 9.

Si l'option "un caractère spécial" est cochée, le mot de passe doit contenir au moins un caractère n'appartenant pas à l'une des trois catégories ci-dessus.

La longueur minimale peut être spécifiée.

Ces règles n'ont pas d'effet rétroactif sur les mots de passe déjà enregistrés : elles ne sont appliquée que lors du changement de mot de passe. Si au moins une de ces règles est définie, Kentika fait la différence entre les majuscules et les minuscules lors de l'identification.

Compte temporisé

Lorsqu'une tentative d'identification échoue (adresse email ou identifiant correct mais mot de passe incorrect), Kentika l'enregistre et après un certain nombre de tentatives (nombre fixé par l'administrateur), le compte est temporisé. L'utilisateur ne pourra effectuer une nouvelle tentative que 5 minutes après sa dernière tentative.

Compte désactivé

Si un utilisateur voit son compte désactivé (informations à mettre à jour dans les données de gestion), il ne peut plus se connecter au portail et ne recevra plus la DSI ni les produits presse. Il ne pourra non plus obtenir de jeton d'identification.

Mot de passe oublié

Deux modes sont proposés. Le mode classique (faible niveau de sécurité) : l'utilisateur reçoit ses identifiant et mot de passe dans un email. Le mode renforcé (option : envoyer un jeton temporaire) : un email est adressé avec un lien contenant un jeton (exemple : http://(serveur)/EnterProfil.htm?act=initpw&token=469026470026439023482536481408477566). En cliquant sur ce lien, l'utilisateur a accès à la modification de son mot de passe actuel. S'il ne l'utilise pas, son mot de passe n'est pas modifié. Le jeton ne permet de modifier son mot de passe qu'une seul fois. A minuit, tous les jetons sont invalidés.