Règle n° 26 - Aucune information n’est exposée sur l’existence d’un compte utilisateur.
De très nombreux services en ligne utilisent des identifiants personnels pour la connexion. Cela peut être des pseudonymes, des noms et le plus fréquemment des adresses e-mail. Des personnes mal intentionnées peuvent tenter de se connecter avec certains identifiants prévisibles, et exploiter la réponse pour déterminer l’existence d’un compte. Une fois vérifié qu’un compte existe, il devient possible de tenter de se connecter avec différents mots de passe ou via une attaque par force brute. Pour éviter cela, il faut éviter de révéler qu’un identifiant est associé à un compte.
Objectif
- prévenir les tentatives d’usurpation de comptes ou d’identité,
- améliorer la sécurité des utilisateurs et utilisatrices.
Solution technique
En réponse à une tentative de création de compte, de connexion (ou une série de tentatives), ou à une demande de renvoi du mot de passe, ne pas afficher de messages du type :
- « Cet e-mail est déjà utilisé »,
- « Mot de passe incorrect »,
- « Veuillez suivre la procédure de réinitialisation du mot de passe envoyée par e-mail »,
- « Compte verrouillé ».
Privilégier les messages du type :
- « Si vous avez déjà un compte, utilisez la récupération de mot de passe. »,
- « Identifiants incorrects. Veuillez vérifier votre adresse et mot de passe. »,
- « Si un compte existe pour cette adresse, un e-mail de réinitialisation a été envoyé. »,
- « Impossible de se connecter. Réessayer plus tard ou utiliser la récupération de mot de passe. ».
Moyen de contrôle
Vérifier qu’aucune information n’est donnée sur l’existence d’un compte utilisateur lors de tentatives de création de compte, de connexion ou de récupération du mot de passe.