Se connecter et réinitialiser ton mot de passe

Se connecter

Va sur /login. Saisis l'e-mail et le mot de passe avec lesquels tu t'es inscrit. Appuie sur "Se connecter". Tu atterriras sur ta surface par défaut selon le type de compte :

• Les élèves atterrissent sur / (la page d'accueil).
• Les mentors atterrissent sur /mentor (le tableau de bord) si l'intégration est terminée, ou /mentor/onboarding sinon.
• Les studios atterrissent sur /studio de manière similaire.
• Les admins atterrissent sur /admin.

Les sessions sont stockées dans un cookie HttpOnly. Nous n'utilisons pas de jetons localStorage (moins de surface pour les attaques XSS). Le cookie est Secure en production et Lax SameSite, donc il ne traverse pas les domaines d'une manière qui laisserait d'autres sites usurper ton identité.

Une session dure 30 jours à partir de ta dernière activité. Touche une page, le "dernière vue" du cookie est mis à jour. Passe un mois entier sans utiliser MoveMentors et tu es silencieusement déconnecté et tu dois saisir à nouveau ton mot de passe.

Oublié ton mot de passe

Nous n'avons pas encore de réinitialisation de mot de passe entièrement self-service en ligne (nous y travaillons). En attendant qu'elle sorte :

1. 1

   Envoie un e-mail au support

   Envoie un mot à support@movementors.com depuis l'adresse e-mail liée à ton compte. L'objet "Password reset" suffit ; nous trions par objet pendant les heures ouvrées.

2. 2

   Vérifie ton identité

   Nous te répondrons en demandant un ou deux détails non publics de ton compte pour qu'on sache que c'est vraiment toi (une réservation récente, la ville depuis laquelle tu t'es inscrit, etc.).

3. 3

   Reçois un mot de passe temporaire

   Nous envoyons un mot de passe temporaire à usage unique. Connecte-toi avec.

4. 4

   Change-le

   Va sur /settings/security et définis un nouveau mot de passe permanent. Le temporaire est invalidé au moment où tu le fais.

La réinitialisation par e-mail self-service est dans la feuille de route à court terme. Quand elle sortira, cet article sera réécrit et tu verras un lien "Mot de passe oublié ?" sur le formulaire de connexion.

Changer ton mot de passe

Connecte-toi, va sur /settings/security, et définis un nouveau mot de passe. Tu devras d'abord saisir ton mot de passe actuel comme garde-fou contre quelqu'un qui détournerait une session que tu as laissée ouverte.

Changer ton mot de passe ne te déconnecte pas des autres appareils. Si tu soupçonnes que quelqu'un d'autre a ton mot de passe, voir "Se déconnecter partout" ci-dessous.

Se déconnecter

Le menu utilisateur dans le coin supérieur droit a un élément "Se déconnecter". Clique. Le cookie de session est détruit côté serveur (le jeton est invalidé, pas juste supprimé de ton navigateur) donc une copie du cookie ne peut pas être rejouée.

Se déconnecter partout

Si tu penses que ton mot de passe a fuité ou a été utilisé sur un appareil que tu ne contrôles plus :

1. 1

   Change d'abord ton mot de passe

   Cela invalide les identifiants sur chaque autre appareil. Ils tomberont la prochaine fois que le cookie essaiera de se rafraîchir.

2. 2

   Envoie un e-mail au support si tu veux que tout soit invalidé immédiatement

   "Forcer la déconnexion de toutes les sessions" sur ton compte. Nous pouvons purger chaque session active dans la base de données avec une seule mise à jour SQL. Cela éjecte chaque navigateur en quelques secondes.

Astuces de sécurité

• Utilise un gestionnaire de mots de passe. Nous n'imposons pas de complexité minimale au-delà de 8 caractères parce que les règles de complexité poussent les gens vers des schémas prévisibles. Un mot de passe aléatoire de 14 caractères d'un gestionnaire est significativement meilleur que Pa$$w0rd1234.
• Ne réutilise pas les mots de passe. Si un autre site sur lequel tu as utilisé le même mot de passe est piraté, les attaquants essaieront les identifiants ici.
• L'authentification à deux facteurs n'est pas encore disponible. Nous l'ajouterons dans une version future ; en attendant, ta meilleure défense est un mot de passe unique.

Erreurs de connexion courantes

"Identifiants invalides" Soit l'e-mail est faux, soit le mot de passe est faux. Nous ne te disons pas lequel parce que cela aiderait les attaquants à énumérer les comptes. Vérifie que tu utilises l'e-mail avec lequel tu t'es inscrit.

"E-mail non vérifié" Tu t'es inscrit mais tu n'as jamais cliqué sur le lien de confirmation. Vérifie ta boîte de réception (et le dossier spam) pour l'e-mail de support@movementors.com. Le lien expire après 24 heures ; nous pouvons t'en renvoyer un nouveau si tu nous écris.

La page se recharge juste sans erreur Le plus souvent, une extension de navigateur bloque le cookie d'authentification. Essaie dans une fenêtre privée. Si ça fonctionne là, parcours tes extensions une par une dans une fenêtre normale pour trouver la coupable.

"Trop de tentatives, réessaie plus tard" Nous limitons les tentatives de connexion pour ralentir les attaques de credential-stuffing. La limite est par IP et par e-mail ; attends 15 minutes et réessaie.

Prochaines étapes

• Assure-toi que ton compte est configuré comme tu le souhaites. Voir Préférences de notification.
• Tu ne peux toujours pas te connecter après avoir tout essayé ? Voir Je ne peux pas me connecter pour un diagnostic plus complet.