[RÉGLÉ] Empêcher la modification des mots de passe ?

[BigStef]

Halo, je travaille sur plusieurs sites de fédérations d'entreprises ou encore d'associations bénévoles.
C'est toujours l'association ou la fédération qui fourni un compte d'accès à ses membres (l'inscription n'est pas ouverte en FrontEnd).
Si j'active les outils de confidentialité sur le site, les membres peuvent changer leur mot de passe.
Or on ne veut pas ça icite.
On veut garder la main sur ces mots de passe pour faciliter l'assistance à ces membres en cas de souci de connexion.
Mais du coup je n'ai pas encore activer l'outil de gestion de confidentialité...

J'ai donc 3 sous-questions :

1. Est-il possible de bloquer le changement de mot de passe ?
2. Sinon, peut-modifier le fichier de consentement pour que le champ de mot de passe n'apparaisse pas ?
3. Ou alors la politique du "non" changement de mot de passe n'est peut-être pas la meilleure, mais connaitriez-vous une alternative ?

Merci d'avance pour tout conseille ou aide sur ce sujet...

[lesoutier]

Ce qui est sûr c'est que la politique de mot de passe imposé n'est pas la meilleure, loin s'en faut.
Premier problème, le mot de passe de Mme Michu est connu des administrateurs du site, et ce n'est pas vraiment safe, même avec la meilleur volonté on ne peut exclure une fuite accidentelle.
Deuxième problème , un mot de passe doit changer régulièrement, et là ça n'est pas possible.
Troisième problème, comment est choisi le mot de passe de Mme Michu ?
- Par un algorithme ? Le risque est que si on décode un mot de passe on puisse en déduire les autres.
- Au hasard ? Si on utilise un bon outil c'est fiable, si c'est fait en fonction de l'humeur de celui qui le 'crée' c'est beaucoup plus problématique.

Je m'arrête là mais il y aurait encore à dire sur le sujet.

[jfque]

Je suis d'accord avec lesoutier pour dire que ce n'est certainement pas la bonne façon de gérer les mots de passe (en plus de ne pas être conforme au RGPD).
Si la raison est de pouvoir dépanner un utilisateur en se connectant à sa place, il existe des plugins qui permettent la connexion d'un administrateur en utilisant son propre mot de passe avec l'identifiant d'un utilisateur du site. Ainsi pas besoin de connaître les mdp des utilisateurs.

[dolmenhir]

en plus de ne pas être conforme au RGPD.

+1
Si cela concerne des sites en France, donc la CNIL :
https://www.cnil.fr/fr/authentificat...e-elementaires

[BigStef]

Hao à tous. Merci beaucoup pour vos retours.
Je suis parfaitement conscient que cette politique est loin d'être conforme RGPD d'une part, et sécuritaire d'autre part. Mais je suis régulièrement confronté à un refus en bloque lorsque j'évoque les RGPD et la gestion des mots de passe. Je vais fouiller la proposition de jfque concernant l'intervention à l'aide d'une extension tierce et ferais en sorte de faire passer cette solution. Merci JFQUE :-)