Faith a écrit :



Peu importe, ça fait des années que ce problème est connu. 

Il est classique que les clients demandent des choses absurdes, c’est aux informaticiens de les empêcher de faire des âneries.







Oui et non concernant la connaissance du problème. Il y a des défenseurs du fait de ne pas recycler les adresses e-mail, et pas seulement à cause de la récupération/réinitialisation des mots de passe.

Ensuite, ton “c’est aux développeurs” d’empêcher les clients de faire des âneries, c’est du grand n’importe quoi.

  



Ca fait des années qu’un système centralisé (optionnel) d’identification des individus, et permettant l’anonymat vis à vis des sites, aurait dû être mis en place.

N’importe quel informaticien à peu près raisonnable l’a toujours su.





J’en déduis que les informaticiens qui sont contre les systèmes centralisés ne sont pas raisonnables ?



Leynas.



EDIT : Et sinon concernant la connaissance du problème. Celui-ci était latent, tu sais qu’il faudra une solution mais elle n’est pas encore là d’autant plus que le problème ne se pose pas encore clairement. Si tu imaginais ça comme une bombe à retardement, je ne vois pas comment on peut ne pas reprocher à Yahoo d’accélérer largement le compte à rebours.

Faith a écrit :



Tu dois être adepte de ce genre de choses:

http://www.commitstrip.com/wp-content/uploads/2014/10/Strip-Suivre-les-recommand…







Plutôt de ceci



Faut bien comprendre que déjà contredire une demande du client c’est potentiellement prendre un risque suivant la demande. Mais surtout sur ce point là en particulier, y a toujours des questions plus importantes et plus urgentes que le système de récupération du mot de passe par adresse e-mail, surtout dans la mesure où cela ne pose de problème réel pour l’utilisateur qu’à partir du moment ou des gens comme Yahoo décident de rouler à contresens.



Leynas.

Au contraire je prends pleinement en compte tes réponses, mais je reconnais que c’est plus facile de me reprocher ça que de chercher des arguments pour soutenir ton propos. Sans parler de ton inconséquence manifeste à ne me répondre que là-dessus, tu as bel et bien dit qu’on aurait du anticiper le recyclage puisque c’est une des raisons que tu invoques contre le système des “identifications” par e-mail.



Je réponds en prenant en considération que tu amplifies le principe d’identification par e-mail alors que ce n’est qu’un système de secours.

Je réponds en prenant en considération que tu voudrais que les développeurs refusent de développer des fonctionnalités simples réclamées par les clients et les utilisateurs. Cela même si leur rôle n’est pas de reprocher au client les fonctionnalités demandées, sauf cas extrême ou devant l’impossibilité ou trop grande difficulté à développer la fonctionnalité.



Ce que tu dis depuis le départ est ridicule, et ajouté à ta propension à rejeter la faute sur l’ensemble des développeurs comme à généraliser sur l’ensemble des informaticiens, cela ne laisse que la légère satisfaction de savoir que tu n’en fais toi-même certainement pas partie.



Leynas.

f-heure-7 a écrit :



Franchement, j’ai été surpris en apprenant que les adresses mails n’étaient jusque là pas recyclées. Ces services mails indiquent clairement que sans connexion fréquente le compte peut être définitivement suspendu/annulé/clôturé. Et encore “ connexion fréquente”… 1 an sur Yahoo!, 270 jours sur Outlook.







Une clôture de compte n’est pas un recyclage et la mise à disposition du compte potentiellement à quelqu’un d’autre.





Les adresses mails de FAI, tant appréciées des français, n’avait jusqu’à peu aucune obligation de continuité de service une fois l’abonnement rompu. Je suis sûr qu’Orange recycle les adresses mails, vu que j’ai pu recréer une adresse auparavant supprimée.



Bref, il n’y a jamais eu de garantie de continuité de propriété des adresses mails. On peut se plaindre du délai avant recyclage, mais certainement pas du recyclage ! Si un compte est tellement important qu’il ne doit pas tomber entre de mauvaises mains, alors se fier à une bête adresse mail n’est certainement pas une bonne idée, sachant qu’elle peut disparaître/être réutilisée/être corrompue/etc.





Bien sûr qu’on peut se plaindre du recyclage, et bien sûr qu’il y a une garantie de continuité à la base même s’ils y mettent en principe une condition d’utilisation courante. Ton exemple chez Orange me semble par ailleurs assez étrange étant donné le nombre de personnes qui ont encore une adresse wanadoo valable sans être abonné chez Orange et sans l’avoir utilisée depuis quelques années (genre je peux encore aller sur l’adresse que ma famille avait à l’époque du forfait wanadoo à 30 heures par mois donc bon…).



Sinon, au risque de me répéter, puisque tu fais la même erreur que Faith. On ne se fie PAS à une bête adresse e-mail. L’identification aux sites en est indépendante, c’est la récupération qui peut passer par l’adresse e-mail, ou plus rarement le téléphone (sachant qu’un numéro de téléphone n’est clairement pas fiable dans la durée non plus). D’ailleurs l’adresse e-mail est généralement vue comme plus stable que le téléphone dans le temps donc bon… Il n’y a pas de fonctionnalité de récupération miracle, fiable dans la durée et sans risques, mais ce n’est pas une raison pour enfoncer le clou.



Tu noteras aussi que le recyclage façon Yahoo indique clairement aux nouveaux propriétaires que l’adresse appartenait à quelqu’un d’autre (notamment quand ils avertissent [email protected] que [email protected] est disponible par exemple). Ce qui renforce les risques puisqu’un mec qui sait que sa nouvelle adresse appartenait déjà à quelqu’un pourrait plus facilement être tenté par l’idée de récupérer des informations sur le propriétaire précédent.



Leynas.

f-heure-7 a écrit :



J’avais explicitement supprimé l’adresse email concernée chez Orange. Ce n’est donc pas clôturé automatiquement, mais il n’empêche que les adresses email supprimées sont recyclées.







Sauf qu’à partir du moment où la démarche est volontaire, c’est de la responsabilité de l’utilisateur de s’assurer qu’elle n’est pas associée à un autre site important.





Les sites se fient à une bête adresse email à partir du moment où il suffit d’y avoir accès pour pouvoir se connecter à leur site (via la fonction “Mot de passe oublié”). L’identification principale a beau être indépendante, l’adresse email fait foi, vu qu’elle permet de contourner l’identification principale. Il serait par exemple possible de coupler email et question secrète ou année de naissance ou papier d’identité (en fonction de l’importance du compte). Ou tout simplement de réinitialiser des informations les plus sensibles lors de l’utilisation de la fonction de réinitialisation du mot de passe (adresse, carte bancaire, numéro de sécu aux US, etc).





Le postulat de base est faux. On ne peut pas dire qu’une adresse e-mail fait foi ou que l’on s’y fie parce qu’on peut “contourner”. D’ailleurs on “identifie” un utilisateur, pas un titulaire de compte ou une personne en particulier. Mais bon encore une fois on tombe sur un débat “faut-il proposer une récupération ?” puisque ce n’est jamais fiable à 100%, même avec une question supplémentaire et surtout pas avec la date de naissance. Et c’est donc un autre débat que celui du choix de recyclage des adresses de la part de Yahoo, qui enfonce le clou et ajoute à la possibilité de corruption du compte e-mail celle d’un accès non frauduleux à celui-ci.





“Il n’y a pas de fonctionnalité de récupération miracle, fiable dans la durée et sans risques”… tout à fait, donc une piqûre de rappel n’est pas superflue. Par exemple, certains sites rendent difficile voire impossible la suppression d’un compte et/ou la modification de l’adresse email de contact, alors que ces limitations ne devraient pas exister.





La suppression de compte impossible, c’est en réalité normal pour certaines raisons, notamment techniques, que je peux comprendre. En revanche interdire de changer l’adresse e-mail de contact, c’est complètement con dans le cas général oui (la seule exception éventuellement valable à mes yeux étant si c’est une adresse pro et que le site est à accès restreint).



Et ce que font Yahoo et Facebook ici ne sont pas des piqûres de rappel. Ils ne disent tellement pas qu’on ne devrait pas utiliser de système de récupération par e-mail que leur solution consiste à donner en apparence une sécurité supplémentaire à ce système. Sauf que c’est l’inverse.



Leynas.

Non, les sites ne considèrent pas que l’adresse e-mail est une preuve. L’intention n’est même pas d’avoir une preuve si tu veux, pas plus qu’une IP ne te donne un coupable, c’est juste un moyen détourné de parvenir à se connecter au site si l’utilisateur n’a plus de mot de passe. Mais ce n’est pas une preuve d’identité, et le site ne conditionne même pas ta connexion au site sur l’e-mail : tu peux utiliser une adresse jetable la plupart du temps, tu peux changer l’adresse e-mail associée ou ne plus y avoir accès et arriver quand même à te connecter au site.



C’est comme une identification login/mot de passe, finalement est-ce qu’on est certain que celui qui se connecte aujourd’hui est le même que celui qui s’est connecté hier ? Non. Pour plusieurs raisons et notamment parce que dans le fond t’as toujours la possibilité que quelqu’un d’autre ait découvert le mot de passe de l’utilisateur.

Autrement dit, à la base c’est la même que pour un compte e-mail qui n’est pas censé être recyclé (dans le sens ne pas être donné à quelqu’un d’autre). Le choix de l’e-mail plutôt que les questions secrètes ou une combinaison des deux, c’est parce que les gens ont tendance en plus à oublier leurs réponses vu qu’ils ne les utilisent pas souvent alors que le mail de contact est censé l’être (d’où l’intérêt de le mettre à jour mais bon…). Si tu veux c’est un login/mot de passe alternatif (vu qu’il y a un mot de passe pour accéder à la boîte mail), mais on ne voit pas ça comme une preuve, ça n’a aucun sens.



Sauf que le recyclage retire évidemment le principe l’identification à la boîte e-mail.





Pour rappel, les noms de domaine ont une période de rédemption limitée à un mois et sont réutilisable par tous dès la fin de celle-ci. Rien n’empêche une faillite du service email ou un oubli de renouvellement du nom de domaine.





On parle de Yahoo à la base quand même donc bon… Et pour des plus petits services, même si t’es un gros nul qui a “oublié” de renouveler ou de prévenir tes utilisateurs que t’allais faire faillite, tu peux encore au pire prévenir a posteriori en te préparant à prendre tes responsabilités au cas où il y aurait un préjudice (ben oui tu pourrais être poursuivi ne serait-ce qu’au civil). Et si t’es de vraiment moindre importance, le risque de corruption des adresses est d’autant moins important.



Leynas.

Je trouve l’idée mauvaise. La récupération des informations de connexion au compte, ou la réinitialisation du mot de passe via e-mail est une possibilité assez répandue sur les sites communautaires et même des sites commerciaux. Là ils sont donc en train d’imposer implicitement leur solution à tout site de ce genre.



Leynas.

Faith a écrit :



Et eux s’en foutent de tes petits problèmes.

Marre des gens qui codent des trucs pourris et exigent ensuite que ce soient les autres qui s’adaptent à leurs erreurs. 

 

L’adresse mail n’a jamais été un système fiable pour identifier une personne. Ca a toujours été connu, et ignoré, par les développeurs. Un peu comme les années sur 2 chiffres… et un jour l’année 2000 finit par arriver => ceux qui ont codé comme des porcs corrigent, point.

1. Ce ne sont pas mes petits problèmes, mais des problèmes pour des entreprises, des gestionnaires de sites, et surtout des problèmes potentiels pour des utilisateurs de Yahoo ;
   


2. Ce ne sont pas des “trucs pourris”, c’est une pratique courante depuis plusieurs années et même parfois requises par des clients. Ta tentative de retourner la responsabilité d’adaptation est tellement grotesque que tu ne sembles même pas te rendre compte que ce sont les développeurs qui se sont adaptés aux protocoles, aux technologies et aux usages dès le départ ;
   


3. C’est vrai que pour proposer aux utilisateurs de récupérer leur mot de passe ou de le réinitialiser, il y a beaucoup d’autres moyens très simples et plus fiables (genre il y a la question perso mais on s’est vite rendu compte que c’était en réalité encore plus ridicule) que tout le monde peut se permettre ;
   


4. Tu sauras qu’en matière de date, ce n’est pas l’an 2000 qui a posé le plus de problèmes, mais les années antérieures à 1970 (mais bon ça c’est autre chose) ;
   
   
   
   Leynas.