Réinitialisation de mot de passe

RuniqueApp::builder(config)
    .with_public_url("https://monsite.com")
    .with_mailer_from_env()
    .with_password_reset(|pr| pr)
    .build()
    .await?

Les liens envoyés par email partent de l'URL publique du site, définie dans le builder par .with_public_url("https://monsite.com") (voir Builder).

En production, l'application refuse de démarrer sans elle : sinon le lien serait construit à partir de l'en-tête Host de la requête, qu'un attaquant choisit (Host: evil.com → le jeton de la victime part chez lui). En debug, le Host reste le repli, avec un avertissement.

Les comptes sont ceux de eihwaz_users, la table utilisateur du framework — à enrichir avec extend!{ table: "eihwaz_users", ... }.

Toutes les options sont optionnelles — les valeurs par défaut fonctionnent sans rien changer.

.with_password_reset(|pr| pr
    .forgot_route("/mot-de-passe-oublie")       // défaut : /forgot-password
    .reset_route("/reinitialiser")               // défaut : /reset-password
    .forgot_template("auth/oubli.html")          // défaut : auth/forgot_password.html
    .reset_template("auth/reset.html")           // défaut : auth/reset_password.html
    .email_template("emails/reset.html")         // défaut : template intégré
    .success_redirect("/connexion")              // défaut : /
    .token_ttl(Duration::from_secs(1800))        // défaut : 1h (std::time::Duration)
)

Deux templates sont à créer dans templates/. Si absents, le framework utilise ses propres templates par défaut.

auth/forgot_password.html — formulaire "email oublié"

{% extends "base.html" %}
{% block content %}
<form method="post">
    {{ form.html | safe }}
    <button type="submit">Envoyer le lien</button>
</form>

{% if form.errors.email %}
    <p class="error">{{ form.errors.email }}</p>
{% endif %}
{% endblock %}

Variables disponibles dans le contexte Tera :

auth/reset_password.html — formulaire de reset

{% extends "base.html" %}
{% block content %}
<form method="post">
    {{ form.html | safe }}
    <button type="submit">Changer le mot de passe</button>
</form>

{% if form.errors.password %}
    <p class="error">{{ form.errors.password }}</p>
{% endif %}
{% endblock %}

Variables disponibles :

Validations automatiques : mot de passe minimum 10 caractères, confirmation identique, token valide et non expiré, et email saisi correspondant au compte lié au token.

1. Utilisateur clique "Mot de passe oublié"
        ↓
2. GET /forgot-password → affiche le formulaire email
        ↓
3. POST /forgot-password → email soumis
   - Si l'email existe : génère un token (1h), envoie un email avec le lien
   - Si l'email est inconnu : même réponse (sécurité — ne révèle pas les comptes existants)
        ↓
4. Utilisateur clique le lien reçu par email
        ↓
5. GET /reset-password/{token} → affiche le formulaire de reset
   - Token invalide ou expiré → erreur
        ↓
6. POST /reset-password/{token}
   - Valide le formulaire et compare l'email saisi au compte lié au token
   - Consomme le token (usage unique)
   - Met à jour le mot de passe en DB
   - Redirige vers success_redirect (défaut : /)

Sessions actives après reset : une fois le nouveau mot de passe enregistré, toutes les sessions du compte sont fermées, sur tous les appareils — une session volée comprise —, ainsi que la session du navigateur qui a fait le reset. Le tout se fait dans la transaction du changement de mot de passe : si la base refuse, rien n'est changé et le lien reste utilisable. Un seul lien est actif par compte : une nouvelle demande remplace le précédent. L'utilisateur se reconnecte avec le nouveau mot de passe. Les autres comptes ne sont pas touchés. Seuls les stores de Runique sont concernés : un store branché avec with_session_store() (Redis…) ne peut pas être parcouru par utilisateur — voir Révocation des sessions.