Déconnecter les agent InclusionConnect après 15 jours

betagouv / rdv-service-public

Prise de RDV pour les services publics

https://rdv.anct.gouv.fr

GNU Affero General Public License v3.0

14 stars 2 forks source link

Déconnecter les agent InclusionConnect après 15 jours #3281

Open francois-ferrandis opened 1 year ago

francois-ferrandis commented 1 year ago

Contexte : https://mattermost.incubateur.net/betagouv/pl/hdgiens15jnh3mhshrpxpt84uy

Actuellement

Comportement actuel : un agent connecté avec InclusionConnect reste connecté indéfiniment

Objectif

Comportement attendu : expirer au bout de 15 jours la session des agents connectés avec InclusionConnect
Options envisagées, le cas échéant :
- choisir une durée plus courte ?
- également expirer les sessions des autres agents au bout de 15 jours ?

mekaidmekaid commented 1 year ago

Je pense qu'il serait judicieux d'harmoniser, si on fait 15 jours pour Inclusion Connect, ce serait plus juste de prévoir aussi un délais de 15jours pour le reste des agents connectés autrement.

mekaidmekaid commented 1 year ago

Investigation

[ ] Regarder le délais d'expiration pour les sessions hors Inclusion Connect
[ ] Investiguer le comportement de la case de connexion "Se souvenir de moi"

To Do

[ ] Expirer les sessions Inclusion Connect au bout de 15j

Comportement au moment de déconnexion (à l'issus des 15 jours) :

déconnecter au premier appel de serveur à l'issus des 15j
déconnecter au premier rafraichissement de page à l'issus des 15j

yaf commented 1 year ago

De ce que je comprends, nous nous appuyons sur la session Devise, qui elle-même est valide 15 jours... Est-ce qu'il y a quelque chose à développer ?

À moins que l'objectif soit de déconnecter sur Inclusion connect (allez faire une requête de logout sur leur serveur), je ne vois pas ce qu'il y a à faire. Possible d'en parler ?

yaf commented 1 year ago

Pour documenter...

Nous utilisons by_pass_sign_in de Devise lors d'une authentification avec InclusionConnect.

D'après la documentation, cela place l'utilisateur dans la session Device (https://www.rubydoc.info/github/plataformatec/devise/Devise/Controllers/SignInOut#bypass_sign_in-instance_method)

Et par défaut, la durée de vie des tokens devise est de 2 semaines https://github.com/betagouv/rdv-solidarites.fr/blob/production/config/initializers/devise_token_auth.rb#L10

Mais ce token concerne l'invitation seulement ?

Ah, mais il y a aussi la configuration « par défaut » lié à l'inactivité qui est placé à 30 minutes

https://github.com/betagouv/rdv-solidarites.fr/blob/production/config/initializers/devise.rb#L231