管理者パスワードリセット

📖

マニュアル・設定方法

➔

#################

1. パスワードリセット機能

- ログイン画面から「パスワードをお忘れの方はこちら」をクリック
- メールアドレスを入力してリセット用メールを受信
- メール内のリンクから新しいパスワードを設定
- セキュリティトークンは1時間で自動失効
- **パスワード変更完了後、登録メールアドレスに通知メールを自動送信**

2. メールアドレス管理機能

- 管理画面の「システム設定」→「メールアドレス設定」で管理
- 新しいメールアドレスに確認メールを送信
- メール内のリンクをクリックして変更を確認
- 確認完了までは変更前のメールアドレスが有効
- セキュリティトークンは24時間で自動失効
- **変更完了後、新旧両方のメールアドレスに通知メールを自動送信**

3. セキュリティ機能

- パスワード変更時の通知メール(不正アクセス検知用)
- メールアドレス変更時の二重通知(新旧アドレス両方に送信)
- すべてのトークンは暗号学的に安全な乱数で生成
- 使用済みトークンは自動削除

1. 管理画面にログイン
2. 「システム設定」→「メールアドレス設定」を選択
3. 新しいメールアドレスを入力
4. 「確認メールを送信」をクリック
5. 新しいメールアドレスに届いた確認メールのリンクをクリック
6. 変更完了
7. **新しいメールアドレスと古いメールアドレス(設定されている場合)の両方に変更完了通知が届きます**

メールアドレス変更完了後、新しいメールアドレスと古いメールアドレス(設定されている場合)の両方に変更完了通知が届きます。

1. 管理画面ログイン画面にアクセス
2. 「パスワードをお忘れの方はこちら」をクリック
3. 登録済みのメールアドレスを入力

- 受信したメールのリンクをクリック
- 新しいパスワードを入力して変更完了
- **登録メールアドレスに変更完了通知が届きます**

※ パスワードは8文字以上で、記号を含む必要があります。

#### パスワード変更通知
- **件名**: 【重要】パスワードが変更されました
- **送信先**: 登録済みメールアドレス
- **内容**: パスワードが変更されたことを通知。覚えがない場合は不正アクセスの可能性があることを警告

#### メールアドレス変更通知(新しいアドレス宛)
- **件名**: 【完了】メールアドレスが変更されました
- **送信先**: 新しいメールアドレス
- **内容**: メールアドレスの変更が完了したことを確認

#### メールアドレス変更通知(古いアドレス宛)
- **件名**: 【重要】メールアドレスが変更されました
- **送信先**: 以前のメールアドレス
- **内容**: メールアドレスが変更されたことを警告。覚えがない場合は不正アクセスの可能性があることを通知

管理者パスワードリセット・メールアドレス管理プラグイン（バージョン 1.2.3）のアップデート内容です。主にセキュリティ強化、信頼性の向上、および管理画面カスタマイズ時の動作安定性を向上させました。

【アップデート詳細】

1. セキュリティ機能の強化
・トークンのハッシュ化保存：生成したトークンをSHA-256でハッシュ化してデータベースに保存するよう変更し、データベース漏洩時のなりすましを防止します。
・存在確認攻撃（User Enumeration）への対策：パスワードリセット要求時、入力されたメールアドレスがシステムに登録されているかどうかにかかわらず、同一のメッセージを表示するようにし、登録状況の特定を防ぎます。

2. 店舗設定との動的連携および自動解決
・From送信元の動的取得：これまでハードコードされていた送信元メールアドレスおよび送信者名を、EC-CUBEの「基本情報設定」から動的に取得するように変更しました。
・絶対URLの自動生成：Symfonyのルーター機能を介して各種通知用URLを動的に生成し、環境ごとのホスト名やプロトコル（HTTP/HTTPS）の違いを自動解決します。

3. 独自管理画面URL（%eccube_admin_route%）への完全対応
・管理画面のディレクトリ名（admin_route）を変更している環境においても、ルーティングエラーを起こすことなく、リセット機能やアドレス確認ページが正しく動作するように改善しました。

4. 自動クリーンアップコマンドの追加
・CLI用コマンド（bin/console admin-password-recovery:cleanup）を追加しました。Cron等に設定することで、期限切れの古いトークンレコードを安全に自動クリーンアップできます。

5. システム動作の安定化とクリーンアップ
・プラグイン有効化・無効化の際にMySQL側で発生していたトランザクションエラーを回避するため、テーブルの事前存在チェックを追加しました。
・不要になったEventSubscriberやController等のファイルを完全に整理し、システム全体の軽量化を行いました。

PostgreSQL環境で発生していたインストール時の不具合を修正し、
正常にインストールできることを確認したうえで再申請いたしました。