Authentification

Cet inventaire relie les cas aux marqueurs pytest. Ainsi, « Actif » indique uniquement l'automatisation : ce statut ne mesure pas la couverture du code et ne prouve pas une validation en production.

Les variantes MariaDB exigent une base isolée disponible ; les contrôles ignorés ne sont pas des succès. Comme SQLite ne démontre pas les verrous MariaDB, cet inventaire décrit les contrôles automatisés sans attester d'une exécution sur le VPS ou en CI.

Statut	ID	Titre
● Actif	tc-auth01	Transition explicite pour un compte non activé
● Actif	tc-auth02	Refus des facteurs absents ou incorrects
● Actif	tc-auth03	Accès à une route protégée en étant authentifié
● Actif	tc-auth04	Accès à une route protégée sans être authentifié
● Actif	tc-auth05	Refus des sessions sans génération valide
● Actif	tc-auth06	Connexion TOTP, déconnexion POST et refus du rejeu
● Actif	tc-auth07	Protection illisible sans repli vers le mot de passe seul
● Actif	tc-auth08	Temporisation persistante par compte et origine
● Actif	tc-auth09	Format des codes, tolérance horaire et périodes consommées
● Actif	tc-auth10	Activation confirmée, reprise et expiration de préparation
● Actif	tc-auth11	Remplacement administré et révocation des anciennes sessions
● Actif	tc-auth12	Atomicité, concurrence et persistance après redémarrage
● Actif	tc-auth13	CSRF, absence de cache et transport HTTPS
● Actif	tc-auth14	Redirections externes et ambiguës refusées
● Actif	tc-auth15	Proxy borné et cookies sécurisés
● Actif	tc-auth16	Commande administrative interactive sans secrets en arguments