Je ne demande pas spécialement de diminuer la sécurité de la fermeture, si on la juge importante. Je demande à ce moment-là de mettre l'ouverture au même niveau.
Le truc, c'est que justement ce ne sont pas des actions du même niveau. L'une a peu de conséquences (quasi toujours puisqu'à ce moment, encore aucune données n'a été créé ni notoriété, ni rien; même si il peut y avoir des exceptions bien sûr), ou elles sont facilement réversibles (par exemple juste financières, ce qui peut être remboursé). L'autre a potentiellement de lourdes conséquences (des années de données effacées, aucun retour en arrière). Donc cela ne me choque pas forcément que ces actions ne soient pas au même niveau. Je ne comprends pas pourquoi tu veux absolument tout unifier.
Par exemple, tu parles de Facebook:
Facebook ? En effet, la fermeture n'est pas sans effet. Alors pourquoi puis-je m'inscrire n'importe comment, sans vérification ?
Ben oui la fermeture a un effet, mais l'inscription quasiment aucun. Quelle raison de vouloir complexifier cette étape juste pour avoir une symétrie absolument? C'est un peu dogmatique: "il faut absolument une symétrie, c'est comme ça!" Mais beaucoup de choses ne sont pas symétriques dans la vie, je préfère des services souples qui s'adaptent pour nous simplifier la vie (souples quand il n'y a pas de raison d'être strict, et strict quand il y a un risque de sécurité).
Ensuite vérifier l'unicité d'identité, c'est complexe, mais être symétrique ne garantit rien non plus (2 personnes différentes peuvent envoyer des courriers lors de l'inscription puis à la souscription). En général, la meilleure solution à ce jour, c'est la désinscription en 2 étapes, c'est à dire utiliser 2 voies de communication séparées: par exemple un courrier postal + email avec lien à cliquer. Cela permet de vérifier que la personne a le contrôle de plusieurs aspects de la vie du souscripteur (ce qui n'est pas forcément du 100%, cela n'existe pas vraiment. Même avec présence physique et passeport, on peut encore tricher, les arnaqueurs l'ont déjà prouvé maintes fois avec le social-engineering. Mais ça augmente les chances).
GMail a choisi le téléphone plutôt que le courrier (on reçoit des codes par SMS), comme second canal de communication. La plupart des banques françaises font de même.
Paypal lui fait quelque chose de particulier puisqu'il utilise les transferts bancaires comme moyen de communication (ils font un mini-transfert de quelques centimes qui fait office de "code" et on doit le recopier pour confirmer le contrôle du compte bancaire)!
Ensuite il faut bien voir que la plupart de ces systèmes de sécurité implique de divulguer une partie de ses infos très privées (nom légal, email, adresse, numéro de téléphone, compte bancaire...) à des sociétés dont le business model est souvent d'en faire commerce plus ou moins directement. Sécurité rime rarement avec anonymat complet. C'est aussi à prendre en compte dans ses choix.
Par contre tu as raison, dans beaucoup de cas, ce n'est pas valide. Et la raison est probablement uniquement business (essayer de décourager de se désinscrire), comme:
CanalPlus ? Aucun effet de de désabonner, sauf arrêter de payer. Je pense pas qu'un hacker chinois fasse tout pour me désinscrire de C+. Pourquoi alors dois-je envoyer une lettre papier ?
En fait, simplement décourager les désinscriptions est possiblement la raison principale de beaucoup de services. La seconde est aussi avoir une sorte de sécurité légale pour que vous ne vous retourniez pas contre le service ("regardez, on a un papier signé en recommandé!" ce qui est certes ridicule si on n'est pas sûr par qui il est signé). La sécurité est rarement la raison pour tous ces services. En cela, je suis d'accord avec tes messages.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]
[^] # Re: Un désabonnement compliqué !
Posté par Jehan (site web personnel, Mastodon) . En réponse au journal Des milliers de contenus librement réutilisables. Évalué à 3.
Le truc, c'est que justement ce ne sont pas des actions du même niveau. L'une a peu de conséquences (quasi toujours puisqu'à ce moment, encore aucune données n'a été créé ni notoriété, ni rien; même si il peut y avoir des exceptions bien sûr), ou elles sont facilement réversibles (par exemple juste financières, ce qui peut être remboursé). L'autre a potentiellement de lourdes conséquences (des années de données effacées, aucun retour en arrière). Donc cela ne me choque pas forcément que ces actions ne soient pas au même niveau. Je ne comprends pas pourquoi tu veux absolument tout unifier.
Par exemple, tu parles de Facebook:
Ben oui la fermeture a un effet, mais l'inscription quasiment aucun. Quelle raison de vouloir complexifier cette étape juste pour avoir une symétrie absolument? C'est un peu dogmatique: "il faut absolument une symétrie, c'est comme ça!" Mais beaucoup de choses ne sont pas symétriques dans la vie, je préfère des services souples qui s'adaptent pour nous simplifier la vie (souples quand il n'y a pas de raison d'être strict, et strict quand il y a un risque de sécurité).
Ensuite vérifier l'unicité d'identité, c'est complexe, mais être symétrique ne garantit rien non plus (2 personnes différentes peuvent envoyer des courriers lors de l'inscription puis à la souscription). En général, la meilleure solution à ce jour, c'est la désinscription en 2 étapes, c'est à dire utiliser 2 voies de communication séparées: par exemple un courrier postal + email avec lien à cliquer. Cela permet de vérifier que la personne a le contrôle de plusieurs aspects de la vie du souscripteur (ce qui n'est pas forcément du 100%, cela n'existe pas vraiment. Même avec présence physique et passeport, on peut encore tricher, les arnaqueurs l'ont déjà prouvé maintes fois avec le social-engineering. Mais ça augmente les chances).
GMail a choisi le téléphone plutôt que le courrier (on reçoit des codes par SMS), comme second canal de communication. La plupart des banques françaises font de même.
Paypal lui fait quelque chose de particulier puisqu'il utilise les transferts bancaires comme moyen de communication (ils font un mini-transfert de quelques centimes qui fait office de "code" et on doit le recopier pour confirmer le contrôle du compte bancaire)!
Ensuite il faut bien voir que la plupart de ces systèmes de sécurité implique de divulguer une partie de ses infos très privées (nom légal, email, adresse, numéro de téléphone, compte bancaire...) à des sociétés dont le business model est souvent d'en faire commerce plus ou moins directement. Sécurité rime rarement avec anonymat complet. C'est aussi à prendre en compte dans ses choix.
Par contre tu as raison, dans beaucoup de cas, ce n'est pas valide. Et la raison est probablement uniquement business (essayer de décourager de se désinscrire), comme:
En fait, simplement décourager les désinscriptions est possiblement la raison principale de beaucoup de services. La seconde est aussi avoir une sorte de sécurité légale pour que vous ne vous retourniez pas contre le service ("regardez, on a un papier signé en recommandé!" ce qui est certes ridicule si on n'est pas sûr par qui il est signé). La sécurité est rarement la raison pour tous ces services. En cela, je suis d'accord avec tes messages.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]