NexTool Solutions

Un mot de passe écrit dans un suivi ne disparaît pas quand le problème est résolu. – Il reste dans l'historique du ticket, dans l'e-mail de notification et dans les sauvegardes. Vault Send, module gratuit de NexTool, remplace le mot de passe par un lien à usage unique de Vaultwarden, chiffré dans le navigateur.

Le problème

Tout service desk transmet des mots de passe par les tickets : celui du Wi-Fi invités, celui du nouvel utilisateur, celui du routeur de l'agence, celui du système que le fournisseur vient de configurer. Le plus rapide est de l'écrire dans le suivi, et c'est là que le mot de passe reste pour toujours.

Le texte de la réponse va dans l'historique du ticket, que des dizaines de personnes lisent pendant des années. Il part dans l'e-mail de notification, dans la boîte de réception de chaque participant, puis sur leurs téléphones. Il va dans la base de données de GLPI, dans les sauvegardes et dans les rapports exportés. Un mot de passe qui devait servir cinq minutes se retrouve dans des endroits que personne ne contrôle, et pour le RGPD c'est une donnée que vous continuez à conserver sans raison.

Comment fonctionne Vault Send

Le module utilise le Send de Bitwarden, stocké dans le Vaultwarden de votre entreprise, et ajoute un bouton Identifiants sécurisés à côté d'Ajouter, dans la réponse du ticket.

• Identifiants chiffrés dans le navigateur – le technicien saisit le titre, l'identifiant, le mot de passe (un générateur de mots de passe est fourni), une note, la durée de validité et le nombre d'ouvertures autorisées. Le navigateur chiffre tout avant l'envoi : GLPI ne reçoit que le texte chiffré et le transmet au coffre.



• Un bloc dans la réponse – à l'insertion, la réponse reçoit un bloc avec le lien, la validité et le nombre d'ouvertures, juste après le paragraphe où se trouve le curseur. Le technicien envoie la réponse avec le bouton Ajouter habituel, et le ticket enregistre le lien, jamais le mot de passe.



• Page d'ouverture avec un bouton – le lien mène à une page de GLPI avec un bouton Ouvrir l'identifiant. Les vérificateurs de liens des e-mails, qui ouvrent tout ce qui arrive, ne consomment pas l'ouverture. Seul celui qui clique voit l'identifiant, déchiffré dans son propre navigateur.



• Alerte de mot de passe saisi – si quelqu'un écrit un mot de passe dans le texte de la réponse (par exemple « mot de passe : … ») et clique sur Ajouter, GLPI suggère d'utiliser Identifiants sécurisés, sans bloquer l'envoi. Depuis l'alerte, la fenêtre s'ouvre déjà remplie avec l'identifiant et le mot de passe trouvés dans le texte, et le bloc sécurisé remplace ces lignes. La vérification se fait dans le navigateur et peut être désactivée.



• Suivi et révocation – l'onglet Identifiants du ticket affiche chaque lien envoyé, avec son statut, sa validité et ses ouvertures. Un lien envoyé par erreur est révoqué aussitôt, et le ticket reçoit un avis.



• Du demandeur au technicien – avec le droit dans le profil de l'interface simplifiée, le demandeur peut aussi envoyer un mot de passe au technicien avec le même bouton.

Ce qu'il advient du mot de passe

Le contenu est chiffré dans le navigateur de l'expéditeur, au format Bitwarden Send. La clé qui ouvre le contenu ne voyage que dans le lien, après le « # », la partie de l'adresse que le navigateur n'envoie jamais à aucun serveur. Ainsi, le serveur GLPI ne reçoit pas le mot de passe en clair et le coffre stocke un contenu qu'il ne peut pas ouvrir.

Le lien reste dans le ticket tant qu'il est valide : qui lit le ticket pendant ce temps peut l'ouvrir. C'est pourquoi la protection principale est une validité courte et une ouverture unique. Un accès indu épuise le lien, le destinataire s'en aperçoit aussitôt, et vous le révoquez et en envoyez un autre. Le mot de passe d'ouverture facultatif, affiché dans le bloc lui-même, bloque ceux qui n'ont que le lien, comme les robots qui ouvrent les adresses ou un lien copié ailleurs.

Vault Send est né d'un plugin créé par Fernando Silva et a été refait comme module NexTool, avec une revue de sécurité avant sa publication.

Comment l'activer

1. Ayez le plugin NexTool 6.35.0 ou plus récent sur votre GLPI 10, 11 ou 12, accessible en HTTPS
2. Dans Vaultwarden, créez un utilisateur réservé à GLPI et copiez sa clé d'API
3. Dans NexTool, installez et activez Vault Send puis, dans l'onglet Connexion, indiquez l'adresse du coffre, le Client ID et le Client Secret et testez la connexion
4. Dans Administration > Profils, onglet NexTool, autorisez l'envoi d'identifiants aux techniciens et, si vous le souhaitez, aux demandeurs

Et si vous n'avez pas encore de coffre ?

Le module est gratuit, mais il a besoin d'un Vaultwarden. NexTool déploie Vaultwarden sur votre serveur, héberge un coffre pour vous ou maintient à jour et assure le support de celui que vous avez déjà. Les trois options apparaissent en haut de la configuration du module, avec un contact direct avec l'équipe. Pour découvrir Vaultwarden d'abord, consultez notre guide de Vaultwarden.

Pour qui

Les équipes informatiques et les MSP qui transmettent des accès par GLPI : création d'utilisateurs, mots de passe d'équipements, identifiants de fournisseurs, accès temporaires. Utile aussi pour démontrer, lors d'un audit ou au titre du RGPD, que les mots de passe ne restent ni dans les tickets ni dans les e-mails.

Compatibilité

• GLPI: 10, 11 et 12, en HTTPS
• Offre: Gratuit
• Plugin: NexTool 6.35.0+
• Coffre: Vaultwarden joignable depuis le serveur GLPI

Prochaine étape

Découvrez les détails sur la page de Vault Send. Le module fait partie de NexTool, un écosystème de modules qui étend GLPI sans développement spécifique. Parlez à l'équipe pour une démonstration ou pour mettre votre coffre en service.

Relu par l'équipe NexTool Solutions. Les captures d'écran proviennent d'un environnement GLPI réel avec le plugin NexTool.