Modèle d'authentification

Modèle d'authentification

Dernière mise à jour : 2026-05-10

Mécanisme

• Mots de passe : hashés argon2id (lib argon2)
• Sessions : token SHA256 stocké en mémoire (Map<token, {userId, expiresAt}>)
• Cookie : session=<token>, HTTP-only, SameSite=Lax, Secure si HTTPS, durée 7 jours
• Pas de JWT : sessions stateful en RAM

Flow

Register

• POST /api/auth/register { username, email, password }
• Validation Zod : username 3-30 chars [A-Za-z0-9_], password ≥8 chars, email format
• Hash argon2id du password
• Insertion users avec role='pending'
• Création session immédiate → cookie 7j
• Notification admin SMTP (si SMTP_HOST configuré)

Login

• POST /api/auth/login { username, password }
• Rate-limit : 5 tentatives par IP avant 15 min de cooldown (en mémoire)
• verify(hash, input) argon2
• Si OK : nouveau token aléatoire (crypto.randomBytes(32).toString('hex'))
• Stockage Map.set(token, {userId, expiresAt})
• Set-Cookie session=<token> HttpOnly Secure SameSite=Lax Max-Age=604800

Vérification (middleware)

• requireAuth : lit c.req.cookie('session'), vérifie Map.get(token), populate c.set('user', {...})
• requireConfirmed : 403 si role === 'pending'
• requireAdmin : 403 si role !== 'admin'
• requireCanAddGames : 403 si canAddGames === false (admins bypass)

Logout

• POST /api/auth/logout : Map.delete(token) + clear cookie

Sessions in-memory : conséquences

• ✅ Pas de table SQL session, pas de Redis : simple
• ✅ Pas de problème de réplication (single instance)
• ❌ Restart container = toutes les sessions perdues — tout le monde doit se reloguer
• ❌ Pas de scaling horizontal (state n'est pas partagé)

C'est un compromis assumé pour un projet single-instance. Si un jour besoin de scaling :

• Migrer sessions vers SQLite (table sessions) ou Redis
• Garder le même format token (compat backward)

Email confirmation

Pas de magic-link auto. Le token de confirmation existe mais le user reste en pending tant qu'un admin ne le confirme manuellement (/admin → Users → Confirmer).

Pourquoi : on filtre les bots / curieux qui découvrent l'URL publique. Limite 100% les comptes non sollicités.

Reset password

• Bouton /admin → "Renvoyer mail de reset" → POST /api/admin/send-password-reset/:userId
• Génère token reset (one-shot) → mail avec lien /reset-password?token=...
• /reset-password : nouveau password → hash argon2 → update DB → token consommé

⚠️ Nécessite SMTP configuré. Sans SMTP_HOST, le reset par mail est silencieusement skippé. Fallback : reset manuel via SQL (cf. user/depannage/reset-mot-de-passe.md).

Premier admin (boot)

Au tout premier démarrage, l'app vérifie si la table users est vide. Si oui :

• Crée un admin avec username = FIRST_ADMIN_USERNAME, password = hash(FIRST_ADMIN_PASSWORD), role = 'admin', canAddGames = true

Au boot suivant, si l'admin existe et que FIRST_ADMIN_PASSWORD a changé : le password n'est pas réinitialisé (pour éviter de l'écraser à chaque restart). Pour forcer le reset, supprimer la ligne SQL puis restart.

Pas de 2FA

Pas implémenté. Si tu veux ajouter :

• TOTP (Time-based One-Time Password) via otpauth lib
• Stocker le secret TOTP chiffré dans users table
• Step supplémentaire après le login password
• Probablement overkill pour un usage personnel

Pas de SSO / OAuth

Pas d'intégration Google / GitHub / etc. Tu pourrais ajouter mais c'est un trou de complexité pour peu de bénéfice (pas de partage de comptes avec d'autres apps).