La plateforme logicielle sur laquelle fonctionne Fandom évolue constamment, de manière visible ou non pour nos utilisateurs. Si vous avez suivi le blog du staff au cours des dernières années, vous connaissez bien sûr la Plateforme Communautaire Unifiée, puis le rafraîchissement de l'interface pour l'expérience FandomDesktop. Le mois dernier, nous avons annoncé nos plans pour la mise à jour de MediaWiki vers la version 1.37. Tous ces changements ont un impact direct sur la façon dont vous écrivez et concevez vos communautés.
D'autres changements sont plus subtils, plus invisibles. Mais ils sont tout aussi importants et précieux pour notre base d'utilisateurs, même si vous ne voyez jamais la moindre différence. L'internet dans son ensemble continue d'évoluer rapidement, comme l'indique un tas de mèmes sur le métavers, et malheureusement, cela signifie que de nouvelles vulnérabilités et de nouveaux exploits sont découverts par les personnes les plus mal intentionnées de l'internet.
Aujourd'hui, je vais donc vous présenter l'un des changements les plus invisibles que nous effectuons, un changement qui place la sécurité de votre compte au premier plan. Ce projet s'appelle Fandom Auth et consiste en une série d'améliorations majeures côté serveur et de modifications côté client, le tout dans le but de créer un système de connexion et de mot de passe unifié et sécurisé pour toutes les propriétés de Fandom.
Fandom Auth sera déployé sur l'ensemble de notre base d'utilisateurs dans les semaines à venir. Nous l'avons testé pendant près d'un an et lorsque votre compte sera basculé pour utiliser ce système, vous ne remarquerez pas la différence dans votre travail quotidien. L'objectif est de vous permettre de vous connecter et de vous déconnecter aussi rapidement et facilement que vous l'avez toujours fait.
Il y a quelques changements mineurs qui vous affecteront lorsque vous voudrez changer la façon dont vous vous connectez et avec quoi, alors plongeons dans les détails de ce que vous pourrez voir différemment si vous le cherchez et pourquoi ils changent de la sorte.
Changements au niveau du hachage[]
Beaucoup d'entre vous savent que lorsque vous saisissez un mot de passe lors de votre inscription sur un site, le site Web ne stocke pas votre mot de passe en clair dans sa base de données des identifiants. Certains sites Web l'ont fait, et ... euh, ... c'est une mauvaise idée.
Les sites Web réputés font passer votre mot de passe par une fonction de hachage et enregistrent le résultat, appelé hash. Les fonctions de hachage sont un peu difficiles à décrire en langage clair, mais imaginez un outil informatique qui produit le code secret le plus cool et le plus difficile à déchiffrer au monde. Il vous faudrait une centaine de bagues de décodage (et quelques horcruxes) pour le découvrir tout seul. Une fois qu'un mot de passe est haché, il devrait être impossible pour quiconque de le découvrir, même s'il s'agit de Marcel le Roi de la Spatule.
Ainsi, la plupart des sites Web, y compris le nôtre, hachent le mot de passe que vous saisissez, puis vérifient si le hachage obtenu correspond à celui que nous avons enregistré lors de votre inscription ou de votre dernière modification. Si les hachages correspondent, vous êtes connecté.
Dans le cadre de ce projet, nous supprimons de notre base de données tout hachage ancien qui n'est pas compatible avec les normes actuelles du secteur. Cela signifie que si vous n'avez pas changé votre mot de passe depuis 2011 environ, changez-le maintenant. Sinon, la prochaine fois que vous tenterez de vous connecter, vous ne pourrez réinitialiser votre mot de passe que par courrier électronique.
Les hachages sont incroyablement sûrs. Voici un hachage généré en Sha512, l'une des trois méthodes que nous utilisons pour hacher vos informations avant de les enregistrer dans nos bases de données des identifiants. bd3493d65a9465fc27c207d08fbfe9b31d4585ed236d04df40b78b777c5bb1a893a7700bee9479b5912b8c1e9cc301bbdfb4df9fb423fcb995ebb906e697b4d1
Dites-le dix fois rapidement (ou même une fois). Vous savez quel était le mot de passe original en clair ? Je vais attendre et vous laisser le découvrir.
(... j'attends …)
(... j'attends …)
Ok, maintenant que vous avez abandonné, le mot de passe original était « Be Sure To Drink Your Ovaltine » (N'oubliez pas de boire votre Ovomaltine.).
Bon courage pour casser ce code Ralphie
Même si vous avez réussi à décoder ce hachage, cela ne signifie pas que vous pouvez utiliser ce hachage pour deviner des mots de passe similaires. Si j'ajoute simplement un point d'exclamation à la fin de ce mot de passe original, le hash change complètement en : f9309d85e9f635fdc20adede233238184a80b570aa067ea07650016cc9017d04225d6f171b0ab904bcc4ab163aa86cae7f9cc67b95b09a60166f5efd07d22976
Comme je l'ai mentionné ci-dessus, nous utilisons trois méthodes distinctes pour hacher et crypter votre mot de passe avant de l'enregistrer : SHA512, BCrypt et AES256. Ainsi, même si l'une de ces méthodes était piratée par quelqu'un à l'avenir, cela ne mettrait pas votre compte en danger si un mauvais acteur avait accès à la base de données des mots de passe (ce que nous nous efforçons évidemment d'empêcher également).
Un graphique de la façon dont votre mot de passe est haché dans notre service de connexion
Vous êtes-vous fait avoir[]
Autre changement : lorsque vous essayez de créer un nouveau mot de passe, nous vérifions votre combinaison nom d'utilisateur/mot de passe dans une base de données open-source appelée HaveIBeenPwned et, si cette combinaison a déjà été piratée, nous vous le ferons savoir et ne vous laisserons pas utiliser ce mot de passe ici sur Fandom. Nous assurons donc votre sécurité sur Fandom et vous conseillons de changer vos mots de passe ailleurs.
Nouvelle page de paramètres de connexion et de mot de passe[]
De plus, si vous avez besoin de changer quoi que ce soit concernant la façon dont vous vous connectez, vous serez dirigé vers une nouvelle page de destination. Auparavant, vous restiez sur le wiki en utilisant des pages spéciales pour faire quelque chose comme changer votre mot de passe, mais ce n'est pas le moyen le plus sûr de faire ce genre de changements dans l'Internet moderne. Cette nouvelle page est l'interface de ce que l'on appelle un microservice, un outil étroitement ciblé qui nous permet d'intégrer rapidement et facilement les cryptages de sécurité les plus modernes.
Un aperçu de notre nouvelle page de paramètres de compte
À la place, vous serez redirigé vers une autre URL – qui comportera toujours fandom.com pour vous indiquer que vous êtes sur une page légitime – où vous pourrez changer votre mot de passe avant d'être redirigé vers la page normale des préférences.
Cette page sera utilisée à chaque fois que vous :
- Vous connectez/déconnectez d'un service externe comme Google Login
- Changez l'adresse e-mail associée à votre compte.
- Changez votre mot de passe
Il s'agit également de la même page d'accueil que celle que nous utilisons pour l'inscription et la connexion depuis un certain temps, qui a été conçue avec toutes sortes de protections de sécurité à l'esprit, telles que la transmission d'informations en HTTPS entièrement cryptées et la prévention de la contrefaçon de requêtes intersites (CSRF).
Autres choses à savoir[]
- Nous modifions la durée maximale des sessions, qui passe à 6 mois. Cela signifie que même si votre navigateur est configuré pour se « souvenir » de vos informations d'identification, vous devrez vous reconnecter après 6 mois. De plus, une fois que votre compte sera passé à Fandom Auth, vous devrez vous réauthentifiers – c'est-à-dire que vous devrez vous connecter à nouveau, même si vous venez de le faire récemment.
- Nous ajoutons Apple Login comme méthode de connexion, en plus des services de connexion tiers déjà existants : Google, Facebook, et Twitch.
- À long terme, nous envisageons d'utiliser ce système de connexion pour toutes les propriétés de Fandom, pas seulement pour nos communautés wiki, mais pour l'instant, ces systèmes de connexion resteront séparés pendant que nous effectuons d'autres travaux de base.
Vous pouvez consulter l'article original ici (en anglais).
Cliquez ici pour suivre les blogs du Staff.
Nous expérimentons ! Apprenez-en plus sur les types d'événements et autres choses que nous avons fait jusqu'à présent ou que nous prévoyons de faire !
Vous souhaitez un accès à temps réel à vos camarades éditeurs et au staff ?
Rejoignez notre serveur Discord officiel pour les utilisateurs enregistrés !