Afin de faciliter la gestion des mots de passe au maximum, je souhaite proposer à mon entourage d’utiliser keeweb notamment l’application web.
Voici le scénario utilisateur :
- ouverture du navigateur
- aller sur un site qui demande une authentification
- cliquer sur l’extension
- l’extension ouvre l’onglet de l’application web et demande le master password
- pour les authentifications futures, l’extension rempli automatiquement ou demande quel élément utiliser
Le fichier coffre utilisé serait connecté à l’application web via webdav au cloud de l’utilisateur (ou celui d’une personne garante) pour synchronisation (et sauvegarde) avec d’autres appareils.
Cette solution a les avantages suivants :
- ne pas avoir à installer de logiciels (password manager) sur ordinateur
- pas besoin d’installer de client sync nextcloud
- possible d’installer des applications plus robustes si besoin (sur mobile surtout)
- synchronisation simple avec des fichiers dans les clouds mutualisés (mais privés) d’utilisateurs / coopérateurs, donc pas de la responsabilité directe d’ouvaton (comme ça serait le cas avec nextcloud passwords en mutualisé si j’ai bien compris ici)
- keeweb supporte les OTP indispensable pour au moins utiliser une 2e authentification dynamique plutôt qu’un simple password (attention n’est pas vraiment un 2FA car pas de possession mais mieux que rien)
- agnostique des appareils / navigateurs : les mots de passes peuvent être conservés très longtemps avec peu de maintenance
Un inconvénient majeur :
- l’extension ne permet pas d’ajouter automatiquement de nouveaux mot de passe depuis un site web pour l’instant, il faut créer l’élément à la main dans l’application ou utiliser un autre logiciel desktop ou application smartphone.
Ainsi je propose que ouvaton héberge l’application keeweb en tant qu’outil publique, et ajoute une règle CORS au nextcloud mutualisé afin de valider les requêtes reçues par l’application keeweb d’ouvaton pour charger et sauvegarder les fichiers vault.
Techniquement il faudrait peut-être
- héberger statiquement l’archive ou déployer un docker
- utiliser webapppassword ou ajouter un header à l’API webdav si possible
Qu’en pensez-vous ?
