Inscription et connexion

Inscription publique

Si la fonctionnalité est activée, un formulaire d'inscription est accessible depuis le site public. Tout visiteur peut créer un compte en renseignant son email, son mot de passe et en acceptant les conditions d'utilisation.

Le compte est créé avec le rôle Utilisateur par défaut. Un administrateur peut ensuite élever le rôle si nécessaire.

Confirmation par email

Selon la configuration du site, un email de confirmation peut être envoyé après l'inscription. Le compte n'est alors accessible qu'une fois l'adresse email validée via le lien reçu.

Connexion avec Google

Si la fonctionnalité est activée, un bouton Google permet de se connecter en un clic, sans mot de passe à retenir.

• Si un compte existe déjà avec la même adresse email, il est simplement associé au compte Google : aucun doublon n'est créé et les deux méthodes de connexion restent utilisables.
• Selon la configuration du site, Google peut aussi permettre de créer un nouveau compte. Sinon, il sert uniquement à se connecter à un compte existant.

Mise en place

L'équipe technique accompagne la mise en place de cette option, en configurant le compte de validation Google associé au site.

Connexion

Le formulaire de connexion est accessible depuis la page /secure/login. Il demande l'email et le mot de passe du compte.

Une option "Se souvenir de moi" permet de rester connecté d'une session à l'autre, sans avoir à saisir ses identifiants à chaque visite.

Protection contre les tentatives répétées

Après X tentatives de connexion échouées (selon configuration), l'accès est automatiquement bloqué pendant X minutes (selon configuration). Ce mécanisme protège les comptes contre les attaques par force brute, sans intervention manuelle.

Mot de passe oublié

Un lien "Mot de passe oublié" depuis la page de connexion permet de réinitialiser son accès en trois étapes :

1. Saisie de l'email : l'utilisateur entre l'adresse associée à son compte
2. Réception d'un email : un lien de réinitialisation est envoyé (valable une durée limitée et protégé par un identifiant unique)
3. Choix d'un nouveau mot de passe : le lien ouvre un formulaire pour définir un nouveau mot de passe

Confidentialité

Si l'adresse email n'est associée à aucun compte, le système affiche quand même un message de confirmation — pour ne pas révéler qu'un email est connu ou inconnu (sécurité).

Le lien de réinitialisation ne peut être utilisé qu'une seule fois et expire après un délai. Passé ce délai, il faut effectuer une nouvelle demande.

Déconnexion

La déconnexion s'effectue depuis le menu utilisateur. Après déconnexion, la session est immédiatement invalidée et l'utilisateur est redirigé vers la page d'accueil du site.

Suppression du compte

Conformément au droit à l'effacement (RGPD), tout utilisateur peut supprimer définitivement son compte depuis son espace personnel, onglet "Supprimer mon compte".

• L'action est immédiate et irréversible : le compte et ses données personnelles sont supprimés, l'utilisateur est aussitôt déconnecté.
• Une confirmation par mot de passe est demandée avant la suppression (sauf pour un compte créé uniquement via Google, qui n'a pas de mot de passe local).
• Un email confirme à l'utilisateur que son compte a bien été supprimé.