Salut,
Le cookie de la session et celui dû à la case "se souvenir de moi" n’est pas du tout le même.
ON n’y stocke pas les mêmes informations.
Le cookie de session n’est en principe qu’un simple numéro, souvent un hash aléatoire basique. L’utilisateur est déjà identifié, et c’est le serveur qui fait le travail de vérification de validité:
expiration de la session, adresse IP et identité du navigateur qui n’ont pas changé entre deux requêtes, etc.
Par contre on ne vérifie en général pas que l’utilisateur existe toujours, qu’il a bien le droit de se connecter, les droits qu’il a sur telle ou telle partie du site, etc. à chaque requête; déjà parce que ça peut être lourd pour le serveur de le faire à chaque requête, et aussi parce qu’à court terme le simple fait de vérifier l’IP et l’identité du navigateur sont suffisants pour éviter la plupart des risques.
Il en est tout autrement à long terme avec le cookie "se souvenir de moi". En réalité c’est pratiquement une réidentification.
Comme à une réidentification normale, on doit revérifier si l’utilisateur existe toujours et ses droits avant d’aller plus loin et de de réassocier son cookie de session.
Ainsi, il va falloir stocker le login de l’utilisateur dans le cookie et une clé quelconque, une clé qui permette de le retrouver tout en étant suffisament sécurisée.
Attention toutefois, ne pas utiliser le mot de passe ou son hash comme clé ! Rappelons que les cookies peuvent être lus et modifiés.
ON ne peut pas non plus utiliser l’IP et l’user-agent, car ils sont suceptibles de changer (la plupart des gens n’ont pas une IP fixe et les IP changent souvent sur les réseaux mobiles, et oui, l’user-agent peut changer pour plusieurs raisons comme la mise à jour du navigateur ou de l’OS, l’installation/désinstallation d’extensions…)
En plus, une fois que le cookie "se souvenir demoi" a servi pour se réidentifier, il devrait être supprimé, invalidé par le serveur, et un nouveau devrait être créé pour la prochaine fois.
Le but ici, c’est d’éviter qu’on puisse voler le cookie (car on a tout le temps de le faire), et qu’il suffit de ce cookie pour que la Terre entière puisse se connecter sans condition sur le compte de la victime.
En bonus, beaucoup de sites ne considèrent pas l’identification par un "se souvenir demoi" exactement identique à une véritable identification. Ils redemandent si nécessaire une véritable réidentification par formulaire ou site tiers lors d’opérations potentiellement sensibles comme la validation d’une commande, le changement de mot de passe, d’adresse, d’informations de paiement, etc.
En clair ça consiste à redemander le mot de passe.
