Questions et réponses

Hitobito signale que le numéro IBAN n’est pas valide

Si des factures QR sont sélectionnées comme bulletin de versement, un IBAN QR spécial doit être enregistré (https://www.moneytoday.ch/lexikon/qr-iban/). Celui-ci est différent du numéro IBAN existant.

L’adresse e-mail principale ne peut pas être modifiée

Si un compte a par exemple un rôle actif dans un groupe local et dans l’association faîtière, l”adresse e-mail principale ne peut être modifiée que par une personne qui a des droits d’écriture dans les deux groupes. Le message suivant s’affiche alors : « L’adresse e-mail principale d’une personne ayant plusieurs rôles ne peut être modifiée que par un·e utilisateur·trice de niveau supérieur à tous ces rôles. » L’utilisateur·trice du compte lui·elle-même peut toujours modifier son adresse e-mail principale.

Un exemple : Je fais partie du groupe local de Wabern et j’ai plutôt peu de droits dans le système. Cependant, dans mon groupe, je peux ajouter un admin à mon groupe qui a beaucoup de droits au niveau de l’association faîtière. J’obtiens ainsi des droits d’écriture sur cette personne. Je pourrais changer l’adresse e-mail principale pour une adresse qui m’est accessible, faire une réinitialisation du mot de passe sur l’utilisateur·trice et me connecter ensuite en tant qu’admin de l’association faîtière. Pour dissimuler le tout, je pourrais ensuite changer à nouveau l’adresse e-mail. C’est pourquoi la modification de l’adresse e-mail principale n’est autorisée que si j’ai le droit d’accéder à tous les groupes de cet admin.

La modification de l’adresse e-mail principale doit être confirmée

Si l’adresse e-mail principale d’une personne ayant un login est modifiée, un e-mail avec un lien de confirmation est envoyé à la nouvelle adresse e-mail. Cela permet de s’assurer que la nouvelle adresse fonctionne et que la personne derrière cette adresse e-mail est d’accord avec son utilisation. L’adresse e-mail principale des personnes sans login activé peut être modifiée directement.

La confirmation est importante, car hitobito peut être utilisé comme fournisseur OAuth et de nombreux services OAuth utilisent l’adresse e-mail pour s’identifier. Sans confirmation, le scénario d’attaque suivant fonctionnerait :

  1. Une personne A se connecte à un service tiers via hitobito

  2. Le service tiers se souvient de A grâce à son adresse e-mail principale

  3. Une personne X ayant un accès d’écriture sur A modifie A et supprime son adresse e-mail principale

  4. La personne X saisit elle-même l’ancienne adresse e-mail principale de la personne A. *Cette étape est empêchée par la vérification actuelle de l’adresse e-mail.

  5. La personne X utilise le « login via hitobito » auprès du service tiers et peut maintenant reprendre le compte de la personne A.

Comment les doublons de personnes sont-ils détectés ?

Si une personne a été saisie plusieurs fois, il est possible de fusionner les doublons. Pour cela, il y a un bouton « Duplicata » dans l’onglet « Personnes » d’un niveau1 (par ex. association faîtière, région, groupe local). Ce bouton n’est visible que par des personnes disposant de droits très élevés (layer_and_below_full ou admin).

Hitobito analyse chaque nuit les entrées dans la base de données et complète la liste des doublons. Deux personnes sont considérées comme des doublons si les champs Prénom, Nom, Nom de l’entreprise, Code postal et Date de naissance sont identiques (pour le Code postal et la Date de naissance, cela compte également si le champ est vide pour l’une des personnes). Un exemple : Anna Berger (NPA 1000, date de naissance 01.01.1970) est reconnue comme un doublon d’Anna Berger (sans NPA ni date de naissance). En revanche, Anna (NPA 1000, date de naissance 01.01.1970) sans nom de famille n’est pas un doublon, le nom de famille doit impérativement correspondre ou être vide pour les deux personnes.

Cette même détection de doublons est également appliquée directement lors de l’importation d’un fichier CSV. Lors de l’importation, on a la possibilité de choisir les lignes qui permettent de mettre à jour des personnes existantes et les lignes qui sont vraiment de nouvelles personnes.

Quand et quel numéro de référence est utilisé ?

Hitobito est compatible avec la référence QR et la Creditor Reference (SCOR). La référence QR correspond dans sa structure à la Référence ESR (toujours 26 caractères numériques suivis d’un chiffre de contrôle selon le modulo 10 récursif) et peut être utilisée par l’émetteur·trice de factures comme référence structurée. La Creditor Reference est implémentée conformément à la norme ISO-11649. Le chiffre de contrôle de la Creditor Reference doit être calculé avec modulo 97-10. Plus d’informations sur https://www.paymentstandards.ch/dam/downloads/ig-qr-bill-de.pdf

Si aucun QR-IBAN n’a été saisi dans hitobito, une Creditor Reference (SCOR) est utilisée lors de la génération des factures.

Über hitobito können verschiedene Mails verschickt werden. Welcher Absender wird da verwendet?

Wenn du ein Mail an ein Abo schickst, wirst du beim Empfänger auch als Absender angezeigt. Der technische Absender ist aber eine bounced Mailadresse pro Abo mit der Kundendomaine verwendet. Vom System generierte Mails wie Rechnungen, Passwortresets haben einen pro Instanz definierten Absender. Die Mails werden über den hitobito eigenen Mailserver (mxout.appuio.puzzle.ch) verschickt. Mittels SPF Eintrag sorgen wir dafür, dass dieser Mailserver im Namen der Kundendomaine verschicken darf.

Que signifie Hitobito 人人

Hitobito vient du japonais et signifie « être humain ». Grâce aux deux 人人, on parle du pluriel : personnes ou aussi communauté. Source : https://www.wordsense.eu/%E4%BA%BA%E4%BA%BA/