Symfony 8.2 verrouille les URLs signées contre la réutilisation

Symfony a détaillé le 9 octobre 2026, dans un billet signé Javier Eguiluz, trois changements de sécurité qui arriveront avec la version 8.2, attendue en novembre. Les trois portent sur le composant UriSigner, utilisé pour générer les liens de réinitialisation de mot de passe, les liens de connexion sans mot de passe et les liens de vérification d’email. Pris ensemble, ils ferment des failles de conception que beaucoup d’applications PHP reproduisent sans s’en rendre compte.

#Des liens à usage unique grâce à un paramètre de version

Les méthodes sign(), check(), checkRequest() et verify() acceptent désormais un argument $version, dont la valeur entre dans le calcul de la signature sans apparaître dans l’URL. En pratique, un lien de réinitialisation de mot de passe peut être signé avec le hash du mot de passe courant : une fois le mot de passe changé, l’ancien lien ne vérifie plus, même s’il n’a jamais été cliqué.

// Lors de l'envoi de l'email de réinitialisation
$url = $uriSigner->sign(
    $this->generateUrl('reset_password', ['id' => $user->getId()], UrlGeneratorInterface::ABSOLUTE_URL),
    new \DateInterval('PT30M'),
    $user->getPassword(),
);

// Dans le contrôleur qui traite le lien
$uriSigner->verify($request, $user->getPassword());

#L’expiration devient obligatoire en 9.0

Signer une URL sans date d’expiration est désormais déprécié ; Symfony 9.0 rendra cette expiration obligatoire. Deux façons de la définir : la passer à chaque appel de sign(), ou fixer une valeur par défaut via la configuration du service uri_signer :

framework:
    uri_signer:
        expiration: 3600

#Les login links ne laissent plus de paramètres en clair

Troisième changement : les paramètres de requête additionnels d’un lien de connexion (par exemple une destination de redirection) n’étaient pas couverts par la signature et pouvaient donc être modifiés sans invalider le lien. createLoginLink() accepte désormais un argument $parameters signé au même titre que le reste de l’URL :

$loginLinkDetails = $loginLinkHandler->createLoginLink($user, parameters: [
    'return_to' => '/account/settings',
]);

Un lien de réinitialisation qui reste valide après usage, ou sans date d’expiration, n’est pas une fonctionnalité oubliée : c’est une faille de conception que Symfony corrige enfin à la source.

#Un correctif qui dépasse le seul cœur du framework

Ces trois changements interviennent peu après l’arrivée du composant KeyManagement dans la même version 8.2, qui unifie le chiffrement des données sensibles derrière les principaux KMS du marché. La sécurisation des URLs signées suit la même logique : retirer des mains du développeur des décisions qui, laissées par défaut, finissent en faille. Les applications qui exposent leurs propres générateurs de liens signés sans passer par UriSigner ne bénéficient d’aucun de ces correctifs et restent exposées aux mêmes défauts ; un audit de ce côté complète utilement une révision plus large de la politique de sécurité applicative du site.

#Ce qu’il faut retenir

Symfony 8.2, attendue en novembre, ajoute des liens signés à usage unique, prépare l’obligation d’expiration prévue pour la version 9.0 et signe désormais les paramètres des liens de connexion. Les trois correctifs visent des failles de conception répandues sur les liens de réinitialisation de mot de passe et de connexion sans mot de passe.

Pour aller plus loin : le billet officiel sur le blog de Symfony.