Wordpress espace membre 2FA SMS Fermé

Question

Bonjour,

Je construis un site avec WordPress pour mon association, et je veux faire quelque chose qui me semble assez simple mais je ne trouve aucune solution qui corresponde à mon besoin.

Je souhaite que les visiteurs de mon site puissent se créer un compte et s'y connecter avec un identifiant, un mot de passe et une 2FA par SMS pour pouvoir ensuite valider les divers formulaires (inscription sur une pétition + formulaire de contact). Je veux qu'ils ne puissent soumettre ces formulaires (pétition et contact) que s'ils sont connectés afin de relier leurs réponses à leur compte utilisateur (comprenant principalement pseudo, MDP et numéro de tel) dans la BDD.

Schéma du processus :

Premier accès au site, le visiteur n'est jamais venu donc il n'a aucun compte -> sur la page d'accueil, le visiteur clique sur "je signe la pétition" -> un pop-up s'affiche avec un formulaire contenant les champs "pseudo", "mot de passe", "retapez le mot de passe" et "numéro de mobile" -> le visiteur rempli les 4 champs et clique sur valider -> le formulaire affiche un champ "OTP SMS" et reçoit en meêm temps un OTP par SMS sur son téléphone -> le visiteur renseigne l'OTOP dans le champ du formulaire et cliquer sur "valider" -> si l'OTP est correct, le pop-up se ferme et le bouton initial "je signe la pétition" se transforme en "je ne signe plus la pétition" tandis que le compteur de signature a été incrémenté de 1.

Si le visiteur reviens un autre jour, son compte étant désormais créé, il n'aura qu'à cliquer sur "connexion" en haut à droite de la page pour se connecter avec pseudo + MDP + OTP SMS et une fois ceci fait il pourra cliquer à volonté sur "je ne signe plus la pétition", "je la signe",; "je ne la signe plus", etc... du moment qu'il est connecté.

Auriez-vous une idée de comment procéder ?

Merci par avance et bonne nuit,

Paul

avion-f16 · Answer

Bonjour,

Je pense que tu souhaites utiliser le 2FA par SMS, dont le but (du 2FA) est d'améliorer la sécurité du processus d'authentification, pour une fonction différente, à savoir dans un but de modération (éviter des abus du type une personne qui crée plusieurs comptes).

Tu peux tout à fait restreindre l'inscription avec la vérification d'un numéro de téléphone, sans pour autant imposer le SMS comme 2FA.

Après, rien ne t'empêche (c'est même recommandé) de proposer du 2FA par :

TOTP (via une application comme Google Authenticator, AndOTP, Aegis, ...).
	Clés de sécurité physiques (Yubikey)
	OTP par SMS en réutilisant le numéro fournit à l'inscription.
	...

Le 2FA par SMS est probablement la méthode 2FA la moins recommandée, je t'invite à faire des recherches en question la sécurité du 2FA par SMS. Ce canal de communication n'est pas chiffré, les opérateurs (et donc potentiellement des gouvernements mal intentionnés) peuvent intercepter la communication, le propriétaire peut perdre son numéro de téléphone pour diverses raisons, cela impose d'avoir une couverture mobile, ...

Tu peux le proposer dans la liste des méthodes 2FA sans l'imposer comme seule méthode, sous le prétexte que le numéro a été utilisé pour valider l'inscription.

Wordpress espace membre 2FA SMS

1 réponse

Discussions similaires