Remplacer l'authentification par mot de passe par le code de connexion pour les usagers by Holist · Pull Request #6204 · betagouv/rdv-service-public

Holist · 2026-02-27T11:29:58Z

En lien avec #5481

Suite de #6203

Supprime l'authentification par mot de passe pour les usagers

Les usagers passent désormais exclusivement par le code de connexion par email (déjà en place). Cette PR retire tout le code lié au mot de passe côté usager.

Modules Devise supprimés du modèle `User` :

:confirmable, :recoverable, :validatable, :database_authenticatable, :registerable

Fichiers supprimés :

users/passwords_controller.rb + vues (réinitialisation de mot de passe)
users/confirmations_controller.rb (confirmation de compte par email)
users/registrations/new.html.slim + Users::RegistrationForm (inscription)
Specs correspondantes

Choix d'architecture :

La colonne confirmed_at est remplacée par latest_login_at plus juste sémantiquement (colonne mise en place dans cette pr).

Adaptations :

Les routes user ne pouvant plus être générées implicitement par Devise, elles sont déclarées explicitement via devise_scope
Les seeds et la factory ne définissent plus de password pour les usagers
Correction d'un effet de bord sur les vues agents : le helper générique registration_path(resource_name) de Devise disparaît quand un seul scope a :registerable → remplacé par agent_registration_path

Non traité dans cette PR (prévu séparément) :

Suppression des colonnes devises sur la table users

Prochaines étapes :

gérer la connexion usager lorsqu'il y a plusieurs comptes usagers avec le même email (email et notification_email)

…ouv/rdv-service-public into remove_user_invitation_to_register

…n pour les usagers

app/models/user.rb

app/views/users/registrations/edit.html.slim

Holist · 2026-03-03T15:26:26Z

spec/mailers/custom_devise_mailer_domain_spec.rb

@@ -1,112 +1,4 @@
-RSpec.describe CustomDeviseMailer, "#domain" do
-  subject(:sent_email) { described_class.reset_password_instructions(user, "t0k3n") }


Tout ça n'avait plus grand chose à faire la et a été déplacé dans spec/models/user_spec.rb

En effet, ça teste User#domain, bien vu !

francois-ferrandis

J'ai tout lu ligne par ligne et je suis tellement heureux de voir tout ce que ça simplifie ! J'ai deux ou trois suggestions qu'on peut discuter, mais sinon ça me paraît bon à partir en prod. 🥹

app/controllers/api/v1/users_controller.rb

app/controllers/users/registrations_controller.rb

app/views/users/registrations/edit.html.slim

app/models/user.rb

app/models/rdv_plan.rb

app/services/upsert_user_for_franceconnect_service.rb

app/views/agents/registrations/_form.html.slim

config/routes.rb

francois-ferrandis · 2026-03-03T16:21:59Z

spec/mailers/custom_devise_mailer_domain_spec.rb

@@ -1,112 +1,4 @@
-RSpec.describe CustomDeviseMailer, "#domain" do
-  subject(:sent_email) { described_class.reset_password_instructions(user, "t0k3n") }


En effet, ça teste User#domain, bien vu !

app/models/user.rb

…r removed devises modules in User model

aminedhobb

Merci @Holist , trop cool de voir tout ce code enlevé 👏 🫶 !!
J'ai juste quelques questions que je t'ai posé ici.

Aussi qu'est-ce qu'il se passe quand des usagers vont cliquer sur les anciens liens d'invitation à se créer un compte après cette PR ?

app/services/users/login_service.rb

aminedhobb · 2026-03-04T09:57:46Z

app/services/notifiers/rdv_created.rb


  def self.should_send_sms_to_user?(user:, rdv:, author:)
-    author != user || !user.confirmed? || rdv.starts_at < 2.days.from_now
+    author != user || user.confirmed_at.nil? || rdv.starts_at < 2.days.from_now


gros nitpick: personnellement j'aurais garder l'alias de confirmed? à confirmed_at?, c'est plus beau sémantiquement et si on doit rajouter de la logique de confirmation ce serait plus facile

A ce sujet cette PR de @francois-ferrandis qu'on va merge avant : #6221

Après discussions avec @francois-ferrandis , on a donc remplacé confirmed? et le champ confirmed_at par already_logged_in? et latest_login_at

aminedhobb · 2026-03-04T10:20:10Z

app/services/users/login_service.rb

    if matching_login_code&.usable?
      @user = upsert_user
-      user.confirm
+      user.update!(confirmed_at: Time.zone.now) if user.confirmed_at.nil?


Je trouve ça peut-être dommage que tous les types de connexions mettent à jour la même colonne confirmed_at de la même façon.
On ne saura pas distinguer les connexions via login code, fc et password

A ce sujet cette PR de @francois-ferrandis qu'on va merge avant : #6221

On a remplacé cette ligne par user.update!(latest_login_at: Time.zone.now) dans #6221

db/seeds/medico_social.rb

…tagouv/rdv-service-public into replace_user_password_with_login_code

Holist · 2026-03-04T14:10:23Z

Aussi qu'est-ce qu'il se passe quand des usagers vont cliquer sur les anciens liens d'invitation à se créer un compte après cette PR ?

Comme je l'avais précisé dans la description de la PR précédente les anciens liens d'invitations donneront une 404. On peut toujours mettre en place un système de redirection vers le sign_in pour les anciens liens si on estime que ca vaut le coup @francois-ferrandis

Holist · 2026-03-04T17:21:08Z

db/migrate/20260304120000_backfill_latest_login_at_from_confirmed_at.rb

@@ -0,0 +1,14 @@
+class BackfillLatestLoginAtFromConfirmedAt < ActiveRecord::Migration[7.2]
+  def up
+    safety_assured { execute(<<~SQL.squish) }


@francois-ferrandis pour information. Je récupère les infos du confirmed_at qui passe dans ignored_columns

francois-ferrandis · 2026-03-04T22:26:30Z

app/controllers/pro_connect_controller.rb

    user = User.find_or_initialize_by(pro_connect_openid_sub: callback_client.openid_sub)

-    user.confirmed_at ||= Time.zone.now # Nécessaire pour que Devise autorise la connexion
+    user.latest_login_at ||= Time.zone.now


Est-ce que c'est pas plutôt un update write à tous les coups ?

user.latest_login_at = Time.zone.now

Et d'ailleurs ça pourrait être fusionné avec le update! juste en dessous.

évidemment !

aminedhobb

Vu avec @Holist en live, ça m'a l'air top 🚀 !

aminedhobb · 2026-03-05T11:18:27Z

app/controllers/admin/users_controller.rb

  def create
    prepare_create
    authorize(@user, policy_class: Agent::UserPolicy)
-    @user.skip_confirmation_notification!


Quel kiff d'enlever tous ces skip_* 😄

Holist added 8 commits February 26, 2026 16:47

Suppression de l'invitation des usagers depuis l'interface admin

f76375d

fixing tests

4681681

Merge branch 'production' into remove_user_invitation_to_register

fb9a3a6

apply Francois suggestion

5940fec

Merge branch 'remove_user_invitation_to_register' of github.com:betag…

6347ea6

…ouv/rdv-service-public into remove_user_invitation_to_register

remove pending route, file and methods

5b33bab

fix linter

d776f29

Remplacer l'authentification par mot de passe par le code de connexio…

85e110b

…n pour les usagers

github-project-automation bot added this to RDV Service Public Feb 27, 2026

github-project-automation bot moved this to 🔖 Ready in RDV Service Public Feb 27, 2026

Base automatically changed from remove_user_invitation_to_register to production March 3, 2026 10:21

Holist added 9 commits March 3, 2026 12:00

fixing tests

2451beb

merge

10926cf

remove useless devise modules, manual add routes

b18b4a4

fix linter, remove encrypted_password references from factories

dca5b8f

fix tests

51ce8fa

fix linter

61b98db

merge production, solve conflicts

66003c5

remove registration new for users

2dc6fb7

fix linter

d6aa20e

Holist commented Mar 3, 2026

View reviewed changes

app/models/user.rb Show resolved Hide resolved

Holist commented Mar 3, 2026

View reviewed changes

app/views/users/registrations/edit.html.slim Outdated Show resolved Hide resolved

Holist commented Mar 3, 2026

View reviewed changes

Holist marked this pull request as ready for review March 3, 2026 15:30

Holist self-assigned this Mar 3, 2026

remove useless module (devises emails)

f0e38d6

francois-ferrandis approved these changes Mar 3, 2026

View reviewed changes

github-project-automation bot moved this from 🔖 Ready to 🚀 To deploy in RDV Service Public Mar 3, 2026

Holist mentioned this pull request Mar 4, 2026

Scoper le matching d'un usager à l'intérieur du territoire #5481

Open

remove devise invitation fields from blueprint, add ignored_column fo…

e40f7a2

…r removed devises modules in User model

Holist added 3 commits March 4, 2026 10:41

apply Francois suggestions

134d38a

fixing tests

f8e52ef

fixing test again

dedbb77

aminedhobb reviewed Mar 4, 2026

View reviewed changes

francois-ferrandis and others added 2 commits March 4, 2026 12:02

Fix anonymizer_spec.rb

555d78b

Merge branch 'production' into replace_user_password_with_login_code

bdcf12c

francois-ferrandis mentioned this pull request Mar 4, 2026

Enregistrer l'heure de dernier login pour un User #6221

Merged

Holist added 2 commits March 4, 2026 15:05

refacto (Amines suggestion)

3620203

Merge branch 'replace_user_password_with_login_code' of github.com:be…

525308d

…tagouv/rdv-service-public into replace_user_password_with_login_code

Holist added 4 commits March 4, 2026 16:10

merged latest_login_at and fix conflicts

cd4e2a2

use latest_login_at instead of confirmed_at

310fc4d

migrate

7592eb5

fix proconnect test

c63bff7

Holist commented Mar 4, 2026

View reviewed changes

francois-ferrandis reviewed Mar 4, 2026

View reviewed changes

simplify code in pro connect controller

98d42d3

aminedhobb approved these changes Mar 5, 2026

View reviewed changes

		@@ -1,112 +1,4 @@
		RSpec.describe CustomDeviseMailer, "#domain" do
		subject(:sent_email) { described_class.reset_password_instructions(user, "t0k3n") }

Conversation

Holist commented Feb 27, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Supprime l'authentification par mot de passe pour les usagers

Modules Devise supprimés du modèle User :

Fichiers supprimés :

Choix d'architecture :

Adaptations :

Non traité dans cette PR (prévu séparément) :

Prochaines étapes :

Uh oh!

Uh oh!

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

francois-ferrandis left a comment • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Uh oh!

aminedhobb left a comment

Choose a reason for hiding this comment

Uh oh!

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Holist Mar 4, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Uh oh!

Holist commented Mar 4, 2026

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

aminedhobb left a comment

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

3 participants

Holist commented Feb 27, 2026 •

edited

Loading

Modules Devise supprimés du modèle `User` :

francois-ferrandis left a comment •

edited

Loading

Holist Mar 4, 2026 •

edited

Loading