Je viens de commit une refonte en profondeur du formulaire de login.
L'ancien système, basé sur un login en deux étapes etait devenu lourd d'utilisation, et l'amélioration apportée à base de js pour s'identifier en une passe n'avait pas arrangé la lisibilité du code.
Qui plus est, le pré-remplissage par les navigateurs semblait poser problème car les input changeant de nom en fonction du login, on observait des incohérence entre login et pass remplit automatiquement, avec à la clé un echec de login.
On revient à un basique :
formulaire unique avec input var_login et password, la sécurisation md5 étant basée sur des requêtes json en javascript.
En cas d'absence de javascript, le login est non sécurisé.
Le code a été réaménagé en charger/verifier/traiter, dans la nouvelle API des formulaires.
Retours d'expérience bienvenus, notamment avec les méthodes d'authentification les moins usuelles.
Cédric