Accès, comptes et rôles
Qui entre dans l’outil, et avec quels droits.
Ce que le domaine couvre
- Page de connexion séparée, design sombre et responsive.
- Session matérialisée par un cookie signé HMAC-SHA256 portant l’expiration et le rôle : aucune session stockée côté serveur, la validité se recalcule à chaque requête.
- Trois rôles : admin, technique, grand public — avec des pages et des actions différentes.
- Administration multi-utilisateurs : création, modification, suppression, attribution de rôle.
État
| Fonctionnalité | État |
|---|---|
| Passerelle d’authentification Express (#01) | Livré |
| Page de connexion responsive (#03) | Livré |
| RBAC trois rôles (v3.0) | Livré |
| Cookie signé avec rôle intégré (v3.0) | Livré |
| Administration multi-utilisateurs (v2.0) | Livré |
| Migration PocketBase (#29) | Accepté, non démarré |
Ce qui reste
- #29 — PocketBase : JWT, auto-hébergé, interface d’administration, reset de mot de passe, OAuth prêt. Décidé, non planifié.
- Quatre évolutions deviennent gratuites une fois PocketBase en place, sans développement : reset de mot de passe (PB1), OAuth Google/GitHub (PB2), 2FA par TOTP (PB3), vérification d’e-mail (PB4). Elles demandent seulement une configuration d’interface et un relais SMTP.