Kit de Développement Logiciel Open Source

ZnetDK intègre un service d'authentification des utilisateurs de l'application et une gestion complète de leurs habilitations.

Habilitations

Veuillez vous reporter à la rubrique Activer l'accès sécurisé pour activer l'authentification des utilisateurs qui accèdent à l'application.

Habilitation d'un utilisateur

Photo n°1 : habilitation d'un utilisateur

Pour habiliter un nouvel utilisateur, cliquez sur le bouton Ajouter depuis la page de gestion des utilisateurs (sous-menu Utilisateurs du menu Authentification) puis renseignez les caractéristiques suivantes :

• Nom : nom et prénom de l'utilisateur affichés en entête de page une fois l'utilisateur authentifié.
• Email : adresse électronique de l'utilisateur (enregistrée à titre informatif).
• Identifiant : identifiant à saisir par l'utilisateur dans la boîte de connexion pour s'authentifier dans l'application.
• Mot de passe : mot de passe que doit saisir l'utilisateur pour s'authentifier. Le mot de passe peut être réinitialisé par l'Administrateur à tout moment dans le cas notamment où l'utilisateur l'aurait oublié. Le mot de passe doit être constitué de 8 à 14 caractères (robustesse du mot de passe configurable via le paramètre CFG_CHECK_PWD_VALIDITY). Pour des raisons de sécurité, seule l'empreinte du mot de passe est enregistrée en base de donnée.
• Confirmation : confirmation de saisie du mot de passe de l'utilisateur.
• Expire le : date d'expiration du mot de passe. Par défaut, cette date est initialisée à la date du jour ce qui oblige l'utilisateur à changer de mot de passe dès sa première connexion.
• Statut : indique si le compte utilisateur est Activé ou Désactivé. Par défaut, l'utilisateur est créé au statut Activé. L'accès à l'application peut être bloqué à un utilisateur en modifiant son statut à la valeur Désactivé. A l'inverse, le compte de l'utilisateur peut être réactivé en modifiant le status à la valeur Activé, dans le cas notamment où un mot de passe erroné à été saisi plus de 3 fois à l'authentification.
  Depuis la version 2.5 de ZnetDK, le statut Archivé a été ajouté. Un utilisateur archivé ne peut plus se connecter à l'application et surtout ne peut pas demander un nouveau mot de passe s'il l'a oublié (voir nouveau paramètre CFG_FORGOT_PASSWORD_ENABLED).
• Accès au menu : cette option lorsqu'elle est activée, confère un accès complet au menu de l'application.
• Profils : droits d'utilisation de l'application accordés à l'utilisateur à travers l'affectation d'un ou plusieurs profils. La touche du clavier <Control> doit être maintenue appuyée pour sélectionner plusieurs profils.

L'habilitation des utilisateurs est assurée en principe par une ou deux personnes de l'entreprise que l'on désigne généralement Administrateur ou Responsable de la sécurité.

Définition de profils utilisateurs

Photo n°2 : Ajout d'un profil utilisateurs

La définition de profils utilisateurs permet de limiter l'accès à certaines fonctionnalités ou données de l'application à une population restreinte d'utilisateurs.

Pour ajouter un nouveau profil utilisateur, cliquez sur le bouton Ajouter depuis la page de gestion des profils (sous-menu Profils du menu Authentification) puis renseignez les caractéristiques suivantes :

• Profil : nom du profil utilisateur.
• Description : description du profil.
• Elements de menu : éléments du menu de l'application auxquels l'utilisateur peut accéder si le profil lui est affecté. La touche du clavier <Control> doit être maintenue appuyée pour sélectionner plusieurs élements de menu.

Le développeur ZnetDK peut interroger la méthode statique \controller\Users::hasProfile() pour savoir si l'utilisateur dispose ou non d'un profil utilisateur donné.
Par exemple, le bouton Supprimer peut être désactivé si l'utilisateur ne dispose pas du profil Super utilisateur.

Enfin, le développeur ZnetDK peut à l'ajout ou modification d'une ligne de table de base de données, lui associer un ou plusieurs profils à l'aide de la méthode setStoredProfiles() de l'objet de type \DAO. Il peut alors à l'interrogation des lignes d'une table, limiter le résultat aux seules lignes correspond ou non aux profils indiqués, en invoquant préalablement la méthode setProfileCriteria() de son objet de type \DAO.
Par exemple, les dossiers des clients enregistrés directement par la Direction peuvent de cette manière, être masqués aux utilisateurs du service Marketing.

Authentification

photo n°3 : Authentification

Pour s'authentifier, l'utilisateur doit obligatoirement renseigner son identifiant de connexion et son mot de passe.
Ils lui sont communiqués après création de son compte utilisateur par l'Administrateur de l'application.
Attention, depuis la version 2.5 de ZnetDK, l'identifiant de connexion doit être saisi en respectant strictement la casse de l'identifiant renseigné à l'enregistrement de l'utilisateur.

Mot de passe oublié

Depuis la version 2.5 de ZnetDK, il est possible d'afficher un lien Mot de passe oublié ? sur la fenêtre de connexion (voir nouveau paramètre CFG_FORGOT_PASSWORD_ENABLED).
Au clic de ce lien, il est demandé à l'utilisateur de saisir l'adresse email de son compte utilisateur pour confirmer sa demande de nouveau mot de passe. Il reçoit alors un email avec un lien hypertexte à cliquer pour confirmer qu'il est bien à l'origine de la demande d'un nouveau mot de passe. Enfin, après clic du lien de confirmation, un nouveau mot de passe provisoire lui est envoyé par email pour lui permettre de s'authentifier et de saisir son mot de passe définitif.

Type d'accès

Si le paramètre CFG_SESSION_SELECT_MODE est configuré à la valeur true, alors l'utilisateur peut choisir lors de sa connexion, le type d'accès Public ou Privé.

photo n°4 : Choix du type d'accès

• Accès Public : cette option est sélectionnée dans le cas où l'utilisateur accède à l'application depuis un ordinateur public. La session de l'utilisateur expire alors après 10 minutes d'inactivité continue dans l'application.
• Accès Privé : cette option est réservée au cas où l'utilisateur accède à l'application depuis un ordinateur disposant d'un mécanisme d'authentification au niveau du système d'exploitation, garantissant que l'utilisateur tant qu'il est connecté à l'application, est également le seul autorisé à utiliser l'ordinateur. La session de l'utilisateur n'expire jamais lorsque cette option a été sélectionnée.

Le type d'accès proposé par défaut est celui renseigné pour le paramètre CFG_SESSION_DEFAULT_MODE, y compris dans le cas où le paramètre CFG_SESSION_SELECT_MODE est défini à la valeur false (le type d'accès Public ou Privé est alors imposé à l'utilisateur).

Expiration de session

Si l'utilisateur s'est connecté en choisissant l'option d'accès Public ou si ce mode d'accès est imposé par l'application (CFG_SESSION_DEFAULT_MODE à public et CFG_SESSION_SELECT_MODE à false), alors sa session expire après 10 minutes d'inactivité continue.

Le délai d'expiration de session peut être personnalisé en modifiant la valeur du paramètre CFG_SESSION_TIMEOUT.

Lorsque la session de l'utilisateur a expiré, la boîte de dialogue de connexion à l'application est affichée automatiquement et l'utilisateur est invité à saisir son mot de passe pour renouveler sa connexion.
Après renouvellement réussi de sa session, l'utilisateur reprend son activité dans le contexte exact dans lequel il se trouvait à l'expiration de session, sans perte des données saisies.

Echecs d'authentification

Dans le cas où l'utilisateur tente de s'authentifier à l'application en saisissant un mot de passe erroné, alors son compte utilisateur est automatiquement désactivé après 3 tentatives infructueuses (nombre de tentatives modifiable via le paramètre CFG_NBR_FAILED_AUTHENT).

Il est alors contraint de demander à l'Administrateur de lui réactiver son compte et de lui réinitialiser son mot de passe.

Changement de mot de passe expiré

photo n°5 : Changer de mot de passe

Le mot de passe de l'utilisateur a une durée de validité limitée dans le temps et doit être renouvelé au-delà de cette durée pour que l'utilisateur puisse continuer à utiliser l'application.
La durée de validité est conditionnée par la date d'expiration du mot de passe renseignée à l'habilitation de l'utilisateur.

A l'authentification de l'utilisateur, si la date d'expiration du mot de passe a été atteinte ou dépassée, l'utilisateur est invité à changer son mot de passe. Son nouveau mot de passe doit être différent de son précédent mot de passe.

Au changement réussi du mot de passe, ce dernier a une durée de validité fixée à 6 mois. Cette durée peut être réduite ou étendue en modifiant la valeur du paramètre CFG_DEFAULT_PWD_VALIDITY_PERIOD.

Cryptage du mot de passe

Lorsque l'utilisateur accède à l'application via le protocole HTTP, les données échangées entre son navigateur internet et le serveur web transitent en clair sur le réseau.
Si l'application est hébergée sur un serveur accessible depuis internet, l'identifiant de connexion et le mot de passe peuvent être transmis dans leur version cryptée, en imposant son accès via le protocole HTTPS.

Les offres d'hébergement internet incluent généralement un double accès HTTP et HTTPS au contenu publié.
Il est alors possible de contraindre l'accès en HTTPS à votre application en ajoutant la règle de réécriture de lien qui convient dans le fichier .htaccess.