[Problème] "L'identifiant de sécurité ne correspondait pas"modification du profil

[XHenryBe]

Bonjour,
je me permets de laisser un message ici car j'ai beau fouiller, je ne trouve pas de solution.
Je gère un site simple de communauté, et j'ai créé des comptes utilisateurs avec un mot de passe simple pour débuter.

Les membres sont donc prestement invités à modifier leur mot de passe à la première connexion, mais cela ne fonctionne pas.
Une fois dans l'onglet "profil" du site, ils changent leur mot de passe, mais le site refuse leur modification avec l'erreur suivante :
"L'identifiant de sécurité ne correspondait pas. La demande a été interrompue pour empêcher toute violation de la sécurité. Veuillez réessayer."

Et cela pour tous les comptes, y compris le mien en Super Admin. Je peux me connecter, mais pas modifier le mot de passe en front-end.
J'ai essayé de vider les caches, d'étendre les sessions, mais rien ne fonctionne.
Est-ce que quelqu'un aurait une piste pour cela?

En vous remerciant

[TristanB]

Bonjour,
A priori cela vient du token de formulaire qui n'est pas présent.
Peut-être as-tu mis en place une surcharge dans le template, une vue personnalisée ?
Dans le template actif, as-tu un dossier html/com_users ?
Si oui, peux-tu en préciser le contenu ?

[XHenryBe]

Bonjour et merci de ta réponse.
en effet,il n'y a pas de dossier com_users dans le dossier html du template utilisé.
Est-ce que cela a un impact ?

Merci à vous

[TristanB]

Hum...
Disons que cela aurait pu expliquer le problème.
Est-il possible d'avoir un lien vers le site ?
Les inscriptions sont elles ouvertes à tous ?
Sinon, peut-être peux-tu créer un utilisateur de test et m'envoyer un login / mot de passe par message privé ?

[XHenryBe]

Bonjour,
merci de votre réponse.
Je vais voir pour un accès, l'inscription est ouverte à tous, mais sous approbation.

[RobertG]

Bonjour,

Si l'inscription est ouverte, pourquoi forcer un changement de mot de passe ? En général, c'est lorsqu'on inscrit les membres depuis l'administration qu'on exige un changement de mot de passe.

[XHenryBe]

Bonjour, en effet l'inscription est ouverte, mais il s'agit d'un nouveau site d'une association existante, qui comptait déjà un certain nombre de membres. Il a fallu les inscrire rapidement sur le site, et une solution retenue était de leur mettre un mdp par défaut qu'ils devaient changer obligatoirement à la première connexion.

[RobertG]

Bonjour,

Quand tu inscris un membre depuis l'administration, tu peux ne pas spécifier de mot de passe, il sera automatiquement généré (et assez complexe - tu peux d'ailleurs spécifier sa complexité dans le paramétrage des utilisateurs) et transmis.
Cela dit, cette question d'identifiant de sécurité est étonnante. Quelle durée de session est-elle définie, et enregistrée comme fichier ou dans la base ?

[XHenryBe]

Bonjour
la session est enregistrée dans la base, et je l'ai étendue à 60 minutes, donc à priori, rien qui pourrait gêner.
Pour la création des mots de passe, j'avoue que ce n'est pas moi qui ai géré la création des comptes. Ils sont partis sur un mot de passe simple à modifier pour les membres. Mais du coup, l'impossibilité le modifier en front est vraiment problématique.

[RobertG]

Bonjour,

Il faudrait essayer de voir si un message d'erreur permet d'avancer, en mettant le rapport d'erreur au maximum et en activant le débogage juste le temps de tester un changement de mot de passe.

[TristanB]

@XHenryBe
Le problème semble résolu à l'heure actuelle ?
Le champ caché "token" est bien présent à la fin du formulaire, ce qui n'était pas le cas auparavant.
Avez-vous fait une action particulière ?
En tout cas, j'ai pu changer le mot de passe du compte test que vous m'avez fourni.

[XHenryBe]

Bonjour,
j'ai effectivement fouillé de mon côté mais rien modifié au niveau du code faute d'avoir trouvé quelque chose de pertinent. Si cela fonctionne à présent, c'est inexplicable de mon côté ! La seule modification que j'ai apportée est au niveau de la sécurisation des mots de passe en exigeant une certaine nomenclature pour les nouveaux mots de passe. Est-ce que cela a réinitialisé quelque chose ?

[TristanB]

Non, car le problème venait du fait que

<?php echo JHtml::_('form.token'); ?>

était absent du formulaire.

pour moi 2 solutions :
- soit dans le template actif il y avait un fichier html/com_users/profile/edit.php incorrect, qui a été supprimé entre temps
- soit le fichier core components/com_users/views/profile/tmpl/edit.php avait été modifié, et une MAJ joomla récente l'a restauré

Je penche plutôt pour la seconde solution.
Tout dépend de qui a fait le site, mais il ne faut pas modifier les fichiers core...
Ou plus grave, il est peut être infecté, et c'est cette infection qui a modifié le fichier :/