E-mail¶
HouseCairn envoie des e-mails pour les invitations, la vérification d’adresse, la réinitialisation du mot de passe et les alertes de sécurité. L’envoi est désactivé tant que EMAIL_HOST n’est pas renseigné.
Variable |
Défaut |
Usage |
|---|---|---|
|
(aucun) |
Serveur SMTP. Vide : l’envoi d’e-mails est désactivé. |
|
|
Port du serveur. |
|
(aucun) |
Identifiants, si le serveur les demande. |
|
|
STARTTLS sur la connexion (port 587). |
|
|
TLS dès le premier octet (port 465). Remplace |
|
|
Secondes d’attente du serveur : un serveur qui ne répond pas ne doit pas bloquer un processus web. |
|
|
Expéditeur ; indiquez une adresse de votre domaine. |
|
(aucun) |
Adresse publique, pour les liens des e-mails. Renseignez-la en production. |
Gardez TLS activé : envoyer des identifiants et des messages en clair n’est accepté par rien ici et par peu de serveurs. Avec un serveur sur le port 465, définissez EMAIL_USE_SSL=true et EMAIL_PORT=465.
Ce qui est envoyé¶
Chaque message a une version texte et une version HTML, dans la langue de la personne qui l’a déclenché (anglais ou français), signé HouseCairn, avec un objet qui commence par HouseCairn:.
Les invitations à un logement et à l’instance.
La vérification d’une adresse, et la réinitialisation du mot de passe.
Les alertes de sécurité : mot de passe changé ou défini, adresse ajoutée, modifiée ou supprimée, clé d’accès ou application d’authentification ajoutée ou retirée, codes de récupération générés, et une connexion depuis un navigateur que le compte n’avait pas encore vu. Cette dernière repose sur un cookie qui contient un secret aléatoire par navigateur ; le compte n’en garde que l’empreinte, pour 20 navigateurs au plus. Le premier navigateur d’un compte ne déclenche aucune alerte.
Sans e-mail¶
Sans EMAIL_HOST, ou avec un moteur d’envoi console ou factice, rien n’est livré. Ce qui en dépend est masqué ou se replie : le lien Mot de passe oublié ? et ses pages (404), la page des adresses e-mail, les invitations à l’instance, les alertes de sécurité (elles ne sont pas non plus enregistrées) et l’inscription libre (refusée au démarrage). Une invitation à un logement affiche une seule fois son lien au propriétaire, qui le transmet ; un tel lien ne peut pas créer de compte.
Si le serveur de messagerie tombe en panne, rien ne casse : une invitation reste enregistrée et la page indique que l’e-mail n’a pas pu être envoyé, une connexion aboutit, et l’échec est journalisé sans l’adresse.
Liens¶
Les liens pointent vers HOUSECAIRN_SITE_URL, y compris ceux de la réinitialisation du mot de passe et de la vérification. Sans cette variable, ils prennent le Host de la requête qui les a déclenchés, que ALLOWED_HOSTS limite mais qu’un proxy permissif peut détourner : manage.py check --deploy avertit quand EMAIL_HOST est défini sans elle.