0
@vieprivee★ 2005/10/2026 18:08
Le protocole dérive la clé de récupération via HMAC(clé = mot_de_récup, message = nom d'hôte + "|v2" + sel du compte), le nom d'hôte étant lu par le navigateur. Le sel n'est pas secret et un faux site peut obtenir le même : c'est l'adresse qui diffère → la clé dérivée ne correspondrait pas. Pas d'email = pas de vecteur de reset détourné.