nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : examen de la gestion des jetons de réinitialisation de mot de passe

AdminUser

Discussion de test préétablie. Comment valider l’examen de la gestion des jetons de réinitialisation de mot de passe dans le cadre d’une intervention autorisée ?

Scénario : demandez des réinitialisations uniquement pour des comptes de test et vérifiez la durée de validité du jeton, son usage unique et son invalidation après un changement de mot de passe. Quelles mesures de protection appliqueriez-vous, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/22-reviewing-password-reset-token-handling

Réponses

AdminUser

Approche de test : Demandez des réinitialisations uniquement pour des comptes de test et vérifiez la durée de validité des jetons, leur usage unique et leur invalidation après un changement de mot de passe. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez les heures d’émission et d’expiration, le résultat de la réutilisation du jeton et le comportement des notifications, sans conserver le jeton. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : utilisez des jetons à usage unique et à durée de vie limitée, puis invalidez les liens de réinitialisation utilisés. Répétez le contrôle initial après le déploiement et consignez le résultat.