PhpBB Lab Académie

Comprendre ce qui protège un mot de passe, puis changer celui de votre seul compte accueil_test et vérifier la nouvelle connexion sans exposer le secret.

Un secret différent pour chaque compte

Un mot de passe sert à prouver que vous connaissez le secret associé à un compte. Le nom d’utilisateur identifie le compte ; il n’a pas à être secret. Votre mot de passe doit, lui, rester privé. Si vous réutilisez le même sur un forum et votre messagerie, une fuite sur l’un met aussi l’autre en danger. Ajouter seulement le nom du site à une base habituelle ne crée pas une protection satisfaisante : la construction reste prévisible.

Un gestionnaire de mots de passe permet de créer et conserver des secrets différents. Utilisez celui que vous savez déjà ouvrir et consulter avec votre clavier ou votre lecteur d’écran. Pour cet exercice, préparez un mot de passe aléatoire long, par exemple de 20 caractères, qui respecte les exigences affichées par phpBB. Vingt est une longueur de travail choisie ici, pas une valeur imposée à tous les forums. Le cours ne fournit aucun mot de passe à recopier. Une chaîne publiée dans une leçon n’est plus un secret.

Le gestionnaire doit distinguer le compte accueil_test de votre clone et les comptes d’autres installations. Donnez à l’entrée un nom explicite, par exemple « Jardins Partagés — restauration — accueil_test ». Vérifiez l’adresse associée et le nom du compte avant d’utiliser le remplissage automatique. Conservez le nouveau secret dans ce gestionnaire, jamais dans le carnet de contrôle ni dans une capture à transmettre.

Reconnaître la bonne page avant de saisir

Le hameçonnage consiste notamment à présenter une fausse page de connexion ou un faux message urgent pour vous faire révéler votre secret. Depuis un message inattendu, ne saisissez pas votre mot de passe dans le premier formulaire venu. Reprenez votre adresse habituelle et lisez le nom de domaine. Une apparence familière ne suffit pas. Pour notre atelier, l’adresse attendue est http://localhost/forum-ecole-restauration/ ; adaptez uniquement au port réellement noté dans votre carnet. Il ne s’agit pas du forum public de l’association.

Sur un vrai site, la messagerie de récupération mérite autant d’attention que le compte du forum : elle peut recevoir les instructions de réinitialisation. Ici, les courriels restent désactivés. Nous ne changeons pas l’adresse courriel, et nous ne lançons pas « J’ai oublié mon mot de passe ». Si vous ne connaissez pas le secret actuel d’accueil_test, arrêtez la manipulation et notez « changement non réalisé ». Ne modifiez pas CamilleAdmin pour contourner cette difficulté.

Changer le secret dans son propre panneau

1. Depuis votre fenêtre habituelle, vérifiez que CamilleAdmin administre bien le clone. Dans « Général », puis « Configuration du forum », ouvrez temporairement le forum en plaçant « Désactiver le forum » sur « Non », puis « Envoyer ». Les envois de courriels restent désactivés.

2. Ouvrez une fenêtre privée séparée, saisissez l’adresse locale connue et connectez accueil_test avec son mot de passe actuel. Laissez « Se souvenir de moi » décoché. Vérifiez le nom affiché après connexion. Deux onglets ordinaires ne constituent pas deux utilisateurs séparés ; la fenêtre privée est utilisée pour séparer cet essai de CamilleAdmin.

3. Ouvrez « Panneau de l’utilisateur », puis « Profil », puis « Modifier les paramètres du compte ». Votre style peut placer l’accès au panneau dans le menu du compte. Recherchez les intitulés des liens, pas leur position à l’écran. Les champs restent ceux du formulaire phpBB.

4. Vérifiez que le nom du compte est accueil_test et laissez son adresse courriel inchangée. Repérez « Nouveau mot de passe », « Confirmation du mot de passe » et « Mot de passe actuel ». Lisez les exigences données près du premier champ. Si les champs du nouveau mot de passe sont absents, ne changez aucune permission pour les faire apparaître. Reprenez le contrôle des droits appris au cours 2 et classez cet essai « non réalisé ».

5. Saisissez le nouveau secret dans les deux premiers champs, puis l’ancien dans « Mot de passe actuel ». Le mot de passe actuel est bien exigé pour cette opération. Activez « Envoyer ». Attendez le résultat, généralement « Votre profil a été mis à jour ». En cas d’erreur, lisez-la avant toute correction ; ne répétez pas aveuglément l’envoi.

6. Après confirmation, utilisez « Déconnexion » depuis une page actuelle du forum. Reconnectez accueil_test une seule fois avec le nouveau secret enregistré. Si cela échoue, arrêtez les essais et revérifiez hors formulaire l’entrée choisie dans le gestionnaire. N’essayez pas une succession de variantes, et ne testez pas volontairement l’ancien secret.

7. Quand la connexion réussit, déconnectez accueil_test et fermez sa fenêtre privée. Dans la fenêtre CamilleAdmin, remettez « Désactiver le forum » sur « Oui », puis « Envoyer ». Notez seulement le compte testé, l’heure et le résultat. Le nouveau mot de passe reste conservé dans le gestionnaire : il constitue une exception au retour des réglages d’exercice à leur valeur initiale.

Ce changement enseigne une procédure. Il ne prouve pas que le compte a été compromis auparavant. Nous n’installons pas une rotation périodique automatique : un changement se justifie notamment lorsqu’un secret a été réutilisé, divulgué ou suspecté d’être connu d’un tiers.

Pour accueil_test, le carnet indique : « Clone restauration. Modification confirmée. Connexion avec le nouveau secret réussie. Compte déconnecté. Forum refermé. » Le mot de passe n’apparaît nulle part dans cette phrase. Dans le gestionnaire, l’entrée porte le nom du clone et conserve le secret effectivement validé. L’ancienne sauvegarde S6 n’est pas écrasée.

Reprenez votre fiche sans consulter les secrets. Expliquez quelle vérification vous empêche de changer par erreur le mot de passe de CamilleAdmin. Indiquez ensuite les trois champs nécessaires et l’observation qui prouve que le nouveau secret fonctionne. Si la manipulation était impossible, écrivez son point d’arrêt exact, sans inventer une réussite.

Un mot de passe est privé et propre à un compte. Vérifiez le site et l’utilisateur avant de saisir. Changez uniquement accueil_test dans cet atelier, confirmez par une connexion réussie et conservez le nouveau secret dans votre gestionnaire. Le compte administrateur et les réglages de permissions restent inchangés.