Si un utilisateur a retrouvé son compte (il connaît donc son username et son id), mais ne connaît pas son mot de passe (et n’a pas non plus ajouté de méthode d’authentification 1FA, comme CTAP2), il ne peut pas récupérer l’adresse e-mail du compte en ajoutant simplement .json à l’URI de profil concernée.
Par conséquent, comment peut-il demander une réinitialisation de mot de passe, sach que le formulaire de réinitialisation exige une adresse e-mail et n’accepte pas un nom d’utilisateur ?
Ils peuvent chercher dans leurs différents comptes e-mail le nom de domaine du forum ? Combien d’adresses e-mail ont-ils ? 
Si tout le reste échoue…
- envoyer à l’administrateur une liste d’adresses e-mail possibles à vérifier (l’administrateur pourrait envoyer un e-mail à la bonne adresse, ce qui serait assez sécurisé)
- demander à l’administrateur s’il est prêt à envoyer une version masquée comme
a**********t@*****.com ? parfois, cela suffit pour aider (mais cela divulgue aussi un peu d’informations, donc il pourrait refuser)
Les utilisateurs du personnel peuvent voir l’adresse e-mail avec laquelle un utilisateur s’est inscrit. Le personnel peut indiquer à l’utilisateur quelle est son adresse e-mail, afin que celui-ci puisse se connecter.
L’e-mail ne peut pas être consulté dans le JSON. En fait, il est assez bien caché, même pour le personnel (c’est-à-dire derrière le bouton « Afficher »), et est consigné dans les journaux du personnel, si ma mémoire est bonne.
Est-ce possible ?