williamandClaude Sonnet 5
989e899a96
Sur la connexion (mot de passe + code 2FA, même compteur pour les deux — un attaquant qui connaît le mot de passe ne doit pas avoir un nombre illimité d'essais sur le code) et sur la confirmation 2FA de l'inscription : 3 tentatives libres, puis un verrouillage qui double à chaque nouvel échec (5, 10, 20, 40 minutes...), plafonné à 1h (auth/rate_limit.py). Remis à zéro dès une connexion RÉELLEMENT aboutie (mot de passe ET code corrects) — jamais sur le seul succès du mot de passe, pour ne jamais donner un nombre illimité d'essais sur le 2FA à qui connaît déjà le mot de passe. Le verrouillage est annoncé IMMÉDIATEMENT sur la réponse qui le déclenche (record_failed_attempt renvoie la durée qu'il vient de poser), pas seulement découvert au prochain essai. Colonnes ajoutées en ALTER TABLE (failed_attempts, locked_until) pour ne rien casser sur une base de comptes déjà créée avant cette fonctionnalité. 14 tests dans test_auth.py (dont l'escalade 5/10/20/40/60, le blocage même avec le bon mot de passe une fois verrouillé, et la remise à zéro sur connexion réussie). 169 tests au total, tous au vert. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
13 lines
527 B
Python
13 lines
527 B
Python
from .connection import connect
|
|
|
|
|
|
def reset_failed_attempts(user_id):
|
|
"""Remet le compteur à zéro et lève tout verrouillage — appelé dès
|
|
qu'une étape de connexion réussit (mot de passe validé ou code 2FA
|
|
validé), pour ne jamais punir un utilisateur légitime qui s'est juste
|
|
trompé une fois avant de retrouver le bon mot de passe/code."""
|
|
conn = connect()
|
|
conn.execute("UPDATE _users SET failed_attempts = 0, locked_until = NULL WHERE id = ?", (user_id,))
|
|
conn.commit()
|
|
conn.close()
|