Nous allons migrer Topicbox vers une instance Discourse auto-hébergée, qui est très ouverte, mais nous ne voulons pas non plus avoir de problèmes de spam, de pirates, etc. Nous comptons permettre l’authentification via Google, GitHub et quelques autres sources.
Je vois des avis divergents sur ce sujet depuis des années concernant les risques liés à l’activation de l’authentification via Discourse ID. Je me demande donc quelle est la sagesse actuelle concernant l’autorisation de connexion via Discourse ID ? Les avantages l’emportent-ils sur les inconvénients/risques potentiels, ou est-ce aussi grave que le suggèrent les résultats de recherche Google ? Les risques liés à Discourse ID sont-ils plus importants que ceux liés à l’autorisation de connexion via les sources mentionnées ci-dessus ?
Les risques cités correspondent pour la plupart à ce que l’on appelle des « hallucinations ».
Incohérence de réputation : Les niveaux de confiance (TL0–TL4) acquis sur d’autres forums peuvent ne pas correspondre aux standards de votre communauté, accordant potentiellement aux utilisateurs externes des droits de publication ou de modération qu’ils n’ont pas mérités localement.
Discourse ID ne fonctionne pas ainsi.
Dépendance aux données : Vous dépendez de serveurs ou de réseaux externes pour la vérification de l’identité. Si le fournisseur de connexion distant connaît une interruption de service ou modifie les règles de son API, vos utilisateurs pourraient perdre l’accès.
Cela est vrai pour toute connexion via un réseau social.
Vulnérabilités en chaîne : La posture de sécurité de votre site devient liée au site participant le plus faible ou au fournisseur d’identité central. Si un site partenaire externe est compromis, des acteurs malveillants pourraient exploiter ces comptes pour accéder à votre instance.
Discourse ID est construit sur Discourse, qui est le même logiciel que celui que votre communauté utilisera.
Propagation de la prise de contrôle de compte : Si un utilisateur utilise un mot de passe faible ou subit une fuite de credentials sur un site participant distant, cet état compromis peut se répercuter directement dans le flux d’authentification de votre forum.
Cela n’a aucun sens.
Utilisez Discourse ID si vous souhaitez proposer de nombreuses connexions sociales sans effort. Ne l’utilisez pas si vous souhaitez contrôler précisément les méthodes de connexion disponibles pour les utilisateurs de votre site.
