Un coffre par client pour stocker ses mots de passe, chiffrés avec une clé que vous seul — ou votre client — possédez.
CoffreClient sépare volontairement deux secrets qui ne se recouvrent jamais :
Ouvre l'accès au coffre (la liste des accès enregistrés). Classique : hashé en bcrypt, récupérable par e-mail en cas d'oubli, protégé contre le bruteforce.
Chiffre chaque mot de passe stocké. Elle n'est jamais enregistrée nulle part et ne peut donc jamais être récupérée si elle est perdue.
Résultat : connaître le mot de passe de connexion permet de voir quels accès existent (libellés, identifiants) mais pas les mots de passe eux-mêmes. Il faut la clé du coffre pour les déchiffrer.
Chaque mot de passe stocké est chiffré individuellement, avec une clé dérivée de la clé du coffre via PBKDF2-SHA256 (100 000 itérations) et un sel aléatoire propre à l'entrée.
Toute altération du chiffré ou clé incorrecte est détectée avant même de tenter le déchiffrement.
5 échecs de connexion depuis la même IP en 15 minutes → blocage de cette IP pendant 4 heures, tous coffres confondus.
Dès qu'un blocage se déclenche, un e-mail est envoyé au coffre visé : « si ce n'est pas vous, rien à faire ; si vous avez oublié votre mot de passe, voici un lien ».
Le mot de passe de connexion et la clé du coffre ne sont jamais stockés en clair : seule une empreinte (bcrypt ou équivalent) sert à les vérifier.
Pour éviter de ressaisir la clé à chaque entrée, elle peut être mémorisée pour la session (en mémoire serveur uniquement) — avec un bouton « Verrouiller » pour l'effacer à volonté.
Un e-mail de réinitialisation peut être envoyé depuis « Mot de passe oublié ». Cela ne touche ni ne remplace la clé du coffre : les mots de passe déjà stockés restent lisibles avec la même clé qu'avant.
Non, jamais. C'est une conséquence directe du chiffrement « zéro connaissance » : personne, pas même l'administrateur du site, ne conserve cette clé. Les entrées déjà chiffrées avec elle sont définitivement perdues ; il reste possible de créer de nouvelles entrées avec une nouvelle clé via « Changer la clé » (qui exige tout de même l'ancienne pour rechiffrer l'existant).
Pour séparer deux besoins contradictoires : pouvoir réinitialiser un accès oublié (nécessite un mécanisme de récupération) et garantir qu'aucune tierce partie ne puisse lire les secrets stockés (nécessite l'absence totale de récupération). Un seul mot de passe ne peut pas remplir les deux rôles à la fois.
L'adresse IP est bloquée 4 heures pour toute tentative de connexion, et un e-mail est envoyé au coffre visé (avec un lien de réinitialisation), pour permettre au titulaire légitime de reprendre la main même si un tiers a déclenché le blocage.
Oui, tant qu'elles partagent le mot de passe de connexion et la clé du coffre. CoffreClient ne distingue pas les utilisateurs à l'intérieur d'un même coffre.