Entre l'email de ton compte. On t'envoie un lien de réinitialisation.
);
};
// ──────────────────────────────────────────────────────────────
// RESET PASSWORD — atterrissage du lien email "mot de passe oublié".
// detectSessionInUrl consomme le code du lien et établit une session ;
// on attend qu'elle soit là, puis on laisse saisir le nouveau mot de passe.
// ──────────────────────────────────────────────────────────────
const WResetPassword = ({ go, loggedIn, onDone }) => {
const W = window.W;
const [pwd, setPwd] = React.useState("");
const [pwd2, setPwd2] = React.useState("");
const [busy, setBusy] = React.useState(false);
const [err, setErr] = React.useState("");
const [ready, setReady] = React.useState(!!loggedIn);
const [expired, setExpired] = React.useState(false);
// 2FA : si le compte a un facteur TOTP vérifié, la session issue du lien
// email n'est qu'AAL1 — Supabase refuse updateUser tant qu'un code MFA n'a
// pas été validé (erreur "AAL2 session is required…"). On détecte le cas et
// on demande le code à 6 chiffres avant de changer le mot de passe.
const [mfaFactorId, setMfaFactorId] = React.useState(null);
const [mfaCode, setMfaCode] = React.useState("");
const detectMfa = async () => {
try {
const sb = window.nomerusSb();
if (!sb) return;
const { data: aal } = await sb.auth.mfa.getAuthenticatorAssuranceLevel();
if (!aal || aal.currentLevel === "aal2" || aal.nextLevel !== "aal2") return;
const { data: f } = await sb.auth.mfa.listFactors();
const verified =
(f && f.totp && f.totp.find(x => x.status === "verified")) ||
(f && f.all && f.all.find(x => x.status === "verified"));
if (verified) setMfaFactorId(verified.id);
} catch (e) { /* pas bloquant — le repli sur l'erreur AAL2 prendra le relais */ }
};
// Attend que le lien de récupération soit consommé (session établie).
// Au-delà de 8 s sans session, on considère le lien invalide/expiré.
React.useEffect(() => {
if (loggedIn) { setReady(true); detectMfa(); return; }
let cancelled = false;
let tries = 0;
const poll = async () => {
if (cancelled) return;
try {
const session = await window.nomerusAuth.getSession();
if (cancelled) return;
if (session) { setReady(true); detectMfa(); return; }
} catch (e) {}
if (++tries < 16) setTimeout(poll, 500);
else if (!cancelled) setExpired(true);
};
poll();
return () => { cancelled = true; };
}, [loggedIn]);
const submit = async (e) => {
if (e && e.preventDefault) e.preventDefault();
if (busy) return;
setErr("");
if (pwd.length < 8) { setErr("Mot de passe trop court (8 caractères minimum)."); return; }
if (pwd !== pwd2) { setErr("Les deux mots de passe ne correspondent pas."); return; }
if (mfaFactorId && !/^\d{6}$/.test(mfaCode.trim())) {
setErr("Entre le code à 6 chiffres de ton application d'authentification.");
return;
}
setBusy(true);
try {
// Étape 2FA d'abord : élève la session en AAL2, condition de updateUser.
if (mfaFactorId) {
const sb = window.nomerusSb();
const { error: mfaErr } = await sb.auth.mfa.challengeAndVerify({
factorId: mfaFactorId,
code: mfaCode.trim(),
});
if (mfaErr) throw mfaErr;
}
await window.nomerusAuth.updatePassword(pwd);
if (window.NomerusAnalytics) window.NomerusAnalytics.track("password_reset_completed");
onDone();
} catch (e2) {
const raw = ((e2 && e2.message) || "").toLowerCase();
if (raw.includes("aal2")) {
// Compte protégé par 2FA mais détection proactive passée à côté :
// on affiche le champ code et on laisse l'utilisateur réessayer.
await detectMfa();
setErr("Ton compte est protégé par le 2FA. Entre le code à 6 chiffres de ton application d'authentification.");
} else {
setErr(window.nomerusAuth.errorToFr(e2));
}
setBusy(false);
}
};
const side = ;
return (
// AUTH · 04 NOUVEAU MOT DE PASSE
Choisis ton nouveau mot de passe.
{expired && !ready ? (
⚠ Ce lien de réinitialisation est invalide ou a expiré. Demande un nouveau lien.