Protéger un lien court par mot de passe

Ce que fait la serrure

Un lien protégé ouvre une page qui demande le mot de passe et rien d'autre. La destination, son titre et son adresse restent cachés jusqu'à ce que le bon mot de passe soit soumis ; un faux ramène une erreur et la porte encore. La vérification est un POST vers le chemin /unlock du lien — un formulaire, pas un paramètre d'URL, ainsi le mot de passe n'atterrit jamais dans la barre d'adresse, une ligne de journal ou une feuille de partage (RFC 3986 réserve la partie userinfo d'un URI aux identifiants, et ce service refuse les liens qui en cachent ; un mot de passe dans la chaîne de requête est la même erreur en habits modernes).

À quoi ressemble un bon mot de passe ici

NIST SP 800-63B demande d'évaluer les mots de passe sur la longueur et les listes de fuites, non sur des règles de composition. Le conseil qui survit dans un lien de partage : long, une phrase, partagé par un autre canal que le lien — un message dit le lien, un appel dit le mot de passe.

• Quatre mots battent un mot et trois symboles.
• Majuscules et minuscules comptent : la porte le dit avant que quiconque tape.
• S'il fuit, refaites le lien pour le changer ; l'ancien meurt à son expiration, comme toujours.

Ce que la serrure ne fait pas

C'est un mot de passe partagé, pas des comptes : qui le possède passe, et il ne distingue pas deux détenteurs. La limite de débit ralentit la devinette depuis une adresse, et un attaquant à un million d'essais contre une phrase de quatre mots est le même problème que NIST estime hors de portée. Pour ce qui doit être confidentiel et pas seulement non listé, envoyez-le par un canal qui chiffre, et traitez cette porte comme la porte devant.