Prévenir l'énumération de comptes dans les formulaires de connexion, d'inscription et de réinitialisation

Ce que c'est

L'OWASP Authentication Cheat Sheet (citée) appelle « facteur de divergence » toute différence observable entre « l'utilisateur existe » et « l'utilisateur n'existe pas ». Elle demande que la connexion, la réinitialisation de mot de passe et la récupération de mot de passe répondent par un message d'erreur générique et la même réponse HTTP, que l'identifiant ou le mot de passe soit erroné, que le compte n'existe pas, ou qu'il soit verrouillé. L'inscription est le cas difficile : « this user ID is already in use » est la fuite la plus courante, et le remplacement proposé par le guide est un message tel que « a link to activate your account has been emailed to the address provided », le résultat réel étant délivré dans cet e-mail (un accueil pour les nouvelles adresses, un avis pour les adresses existantes).

Pourquoi c'est important

Une liste confirmée de comptes transforme le devinage aveugle en credential stuffing et en password spraying ciblés contre des cibles connues, et permet à un attaquant de hameçonner précisément les personnes qui possèdent un compte. La fuite se cache souvent dans un détail que personne n'a relu : un 200 pour un chemin et un 403 pour l'autre, une cible de redirection différente, ou le motif de la « sortie rapide », dans lequel le serveur saute le hachage du mot de passe pour les utilisateurs inconnus et répond visiblement plus vite.

Comment l'appliquer

• Écrire un seul message par formulaire et un seul statut HTTP ; tester les deux branches avec un proxy et comparer les corps, en-têtes, cookies et codes de statut, pas seulement le texte visible.
• Éviter la sortie rapide : calculer un hachage de mot de passe contre un hachage factice pour les utilisateurs inconnus afin que les deux branches coûtent le même temps, et garder les autres effets de bord identiques.
• Pour l'inscription et la réinitialisation, déplacer le résultat distinctif vers l'e-mail ou un autre canal que la personne propriétaire du compte contrôle.
• Limiter le débit et ajouter un CAPTCHA là où le message générique est inacceptable du point de vue de l'ergonomie ; le guide note que la protection contre la force brute empêche aussi l'énumération à grande échelle.
• Vérifier les autres points d'accès qui touchent aux noms d'utilisateur : URL de profil, « inviter un collègue », codes d'erreur d'API, et pages d'erreur OAuth ou SSO.

Pièges

Les messages génériques déroutent les utilisateurs légitimes ; le guide laisse ce compromis à la criticité de l'application et suggère de rediriger les échecs vers une page de support dans les applications critiques. Les différences de timing côté serveur restent mesurables sur un grand nombre d'échantillons, même après avoir supprimé les plus évidentes. Un parcours d'inscription qui exige un nom d'utilisateur unique doit fuir par construction ; rendre cette fuite coûteuse plutôt que de prétendre l'avoir supprimée.