Bonjour

Voici le résultat de longues heures, semaines, mois, années de travail solitaire mais avec l'aide de forums, en particulier ceux d'Open Classrooms, dont les contributeurs m'ont été vraiment utiles. Je vous invite à visiter mon site web, à vous abonner et à y participer. N'ayez pas peur du grain de folie qui m'anime, et que vous constaterez dès la lecture de la page d'accueil. Il est écrit en Python avec le module Bottle. Il est couplé à une appli tkinter, une sorte de traitement de texte, qui convertit en html le texte avec ses images et ses liens.

Outre la joie d'accueillir des abonnés, ma démarche a d'autres buts : tester une appli qui présente probablement des tas de défauts, vu que je suis amateur ! Notamment sur téléphone mobile, vu que je n'utilise pas de smartphone ! Et bien sûr, améliorer le référencement du site qui part de zéro.

À bientôt j'espère sur www.vaste-programme.fr

-
Edité par zakod 9 octobre 2022 à 7:11:59

Bonjour,

Comme bien souvent quand on débute on aime faire tout de sa propre main, sauf qu'on s'improvise pas UX designer en quelques mois et, bien que j'approuve votre démarche, j'ai fait un saut de 15 ans dans le passé concernant toutes les bonnes pratiques du web.

Les framework front comme Bootstrap ou material existent pour une raison, des designers se sont penchés sur les problématiques les plus courantes et ont pondu des règles à suivre pour créer un site responsive et qui respecte les règles élémentaires de design.

J'attendrai une amélioration graphique afin d'y voir plus clair, sinon côté back.

- Erreur serveur quand on demande un mot de passe, vous ne testez pas si l'email est bien un email

- Lors de l'inscription les règles pour le mot de passe sont complètements farfelues, on doit choisir des caractères spéciaux prédéfinis et ne pas dépasser 12 caractères ?

Il n'y pas beaucoup d'interaction alors je m'arrête là pour l'instant.

La programmation et le web sont deux choses formidables, mais cela prend du temps, bon courage !

Merci Mcflan_7 pour toutes vos remarques. L'amélioration graphique ne va pas tarder ! J'ai fait un sujet sur le forum html/css, qui me vaut également des pistes pour améliorer.

Pour le test du mot de passe, c'est sans doute à cause de mon navigateur, il le fait, alors j'ai jugé inutile de le faire. Votre remarque me suggère que ce n'est pas le cas de tous les navigateurs, et donc j'ajoute ça à mon pensum. 

En soi la validation côté client ne devrait jamais être considéré comme sûre, en quelques secondes je peux retirer le required de votre champ.

Utilisez-vous un framework back ? Django ou Flask serait un atout indéniable

Je m'en occupe ! 

Vous pouvez retourner chez moi, j'ai amélioré le design, et réglé deux ou trois problèmes.

J'utilise Bottle. (Un flask, c'est trop petit).

C'est à vous de voir, mais en l'état Bottle est un framework trop léger qui manque d'encardrement, de plus votre thème même si il s'améliore ne pourra jamais rivaliser avec Boostrap ou Material.

J'ai commencé à coder à 15ans, j'en ai 30, à l'époque j'ai voulu tout faire moi même et le résultat était médiocre, formateur, mais médiocre.

Par la suite j'ai essayé plus framework front et back, j'ai pris le temps de me former et surtout j'ai appris à déléguer à des outils existants, c'est une bonne chose de reconnaitre ses limite.

Je préfère le préciser, je trouve votre démarche fabuleuse et vous avez un long chemin, difficile, mais passionnant si la programation vous passionne.

Allez-y par petits pas, n'hésitez pas à vous inspirer des sites que vous fréquentez ici et là et respectez les standards du web, aujourd'hui qu'on le veuille ou non, le web applique des standards d'accessibilité, de design et de bonnes pratiques back et front.

J'ai choisi Bottle, que quelqu'un m'a conseillé ici, parce qu'il est d'une grande simplicité et facilité. Il présente le défaut d'être monothread, ce qui je suppose, nuira grandement si le trafic devient trop grand. Si j'ai le bonheur d'en arriver là, j'ai deux solutions : adosser mon appli à un vrai serveur, ce qui ne présente pas de difficulté, si j'en juge aux tutos que j'ai lus, ou transcrire dans un framework plus adapté, je pense à Django, vu que tout le monde a l'air de connaître.

Je reviens par ailleurs sur la validation du mail. Une autre raison m'avait fait abandonner : difficile d'obtenir des règles universelles. J'ai vu que ça changeait avec le temps, par exemple qu'on admettait parfois des caractères accentués. Alors dans ces conditions, quelles règles adopter ? J'ai cherché une liste de caractères résolument interdites par tout le monde, mais je n'ai pas trouvé.

-
Edité par zakod 11 octobre 2022 à 10:22:00

Bonjour, 

Quelques remarques additionnelles,

Je n'ai pas saisi la valeur ajoutée de l'authentification, qu'est ce que ca apporte concrètement?

Si l'authentification est bien nécessaire, elle apporte son lot de contraintes: sécurisation des identifiants, besoin de HTTPS, stratégie de backup, récupération et modification.

On peut réduire ces contraintes en passant par du Single Sign On pour déléguer la gestion de l'authentification a un acteur externe.

https://fr.wikipedia.org/wiki/Authentification_unique

En ce qui concerne la sécurité au niveau plus général, je ne sais pas ce vaut bottle, mais ca vaudrait le coup de vérifier, les sites scolaires ca tente toujours les 'script kiddies'.

Au niveau interface, comme l'a dit McFlan, ca pèche a plusieurs niveau:

- La mise en forme, les éléments ne sont pas accessibles de manière intuitive, un framework de templating facilitera l'harmonisation ainsi que la gestion des tailles d'écran, restera ensuite a définir les emplacements en fonctions des règles usuelles (parcours de lecture, standards web actuels,...) https://getbootstrap.com/ 

- Les couleurs ne sont pas harmonieuses, une règle de base est de limiter la palette, une autre est d'utiliser des couleurs complémentaires, tu peux utiliser une roue de couleurs pour trouver ce qui va bien ensemble: https://color.adobe.com/fr/create/color-wheel 

Au niveau du contenu, je trouve discutable de promouvoir des valeurs de travail et intégrité, et de fournir des ebooks de manière illégale, alors qu'il y a une masse de livres classiques tombés dans le domaine public, par exemple pourquoi pas Jules Vernes plutôt que JK Rowling?

Bonjour P.X.L, et merci pour tes remarques.

Authentification et sécurité sont un peu des mystères pour moi. Je demande une adresse mail pour connaître au moins ça de mes abonnés. C'est la seule info personnelle que je demande, et bien sûr je veille à ce qu'elle demeure secrète, je ne voudrais pas que mes abonnés soient victimes de spam. Je demande un mot de passe pour empêcher qu'on puisse poster un commentaire ou un article sous le pseudo de quelqu'un d'autre.

Dans la mesure où tous les échanges sont publics, pas de chat ni de messages privés, je ne crains pas la venue de prédateurs. 

Pour ce qui est des standards et de l'ergonomie, je songe à étudier en détail les frameworks comme bootstrap dont j'entends parler. Mais d'une part j'ai une ergonomie suffisamment simple pour m'autoriser certaines facilités, d'autre part je ne suis pas forcément inféodé aux-dits standards. Le formatage informatique a succédé au formatage administratif qui fait par exemple que certaines personnes se présentent ainsi : "Je suis Dupont Jean." Je parle d'ailleurs de cela quelque part en expliquant que j'affiche  l'heure, par exemple, ainsi : 15 h 7. Parce que l'on dit "Il est quinze heures sept", et non pas "il est quinze heures zéro-sept". J'espère que je ne vais choquer personne ! Le fait que je sois amateur, et travaille pour moi, me donne cette liberté de penser et d'agir, que je défends et promeus par ailleurs tous azimuts (école, librairie, politique, etc.)

Ce qui me fait arriver aux couleurs et aux droits d'auteur !

Les goûts et les couleurs ! Tu connais le proverbe. Mes couleurs, je les aime bien, et j'espère que tout le monde ne partagera pas ton avis qu'elles ne sont pas harmonieuses. Je suis en fait sidéré par la laideur des palettes que l'on rencontre sur les sites web, couleurs ternes, sans vie. Comme pour les voitures : de peur de se singulariser, de ne pas pouvoir revendre sa voiture, on achète du blanc, du noir, du gris.

En ce qui concerne le contenu, bien qu'au fond mes sujets sur ce forum n'aient pour but que de recevoir des avis techniques, je te réponds quand-même. Il y a une question philosophique essentielle qui est la distance entre le légal et le légitime. Il est par exemple légal dans certaines parties du monde, ou à certaines époques de l'histoire, de pendre quiconque vole au seigneur un lapin dans la forêt, ou au bourgeois une bûche dans le jardin. De pendre une fille-mère qui a fait passer son fœtus ou qui a tué le bébé a la naissance (moyen-âge et âge classique chrétien), de tuer la femme adultère (monde hébreux antique, monde musulman médiéval, encore appliqué dans certaines parties du monde). 

Ces exemples comme préambule à ceci : bien que ce soit illégal, je trouve légitime de communiquer par exemple Harry Potter à l'école des sorciers et Grandeur du petit peuple. La première œuvre, comme je l'ai dit, parce qu'elle ne peut que contribuer à faire vendre le reste de Harry Potter, et que Gallimard comme l'auteure ne peuvent que s'en réjouir, ce qui est d'ailleurs, à mon avis, la cause du fait que ce fichier soit disponible depuis de nombreuses années (je n'ai fait que le trouver et corriger les erreurs de scan). La seconde parce qu'elle défend les petites gens, qu'elle est un exposé clair et percutant de la justesse de leurs revendications et de l'ignominie politique qui leur a répondu. Je ne pense pas que Michel Onfray me fera un procès. Albin Michel, c'est une autre chose, on verra bien. D'une façon générale, je ne redoute pas ce genre de procès, je pense même qu'ils constitueraient une excellente publicité. Et tu constateras si tu lis l'article Chers auteurs que je dédommage chaleureusement Johanne et Michel.

Je m'excuse de ce hors-sujet, qui répond au tien. Je n'ai fait qu'exercer un droit de réponse.

PS : tu m'as fait bien rire en comparant Jules Vernes et J.K. Rowling ! Merci.

-
Edité par zakod 12 octobre 2022 à 10:08:29

Bonjour,

"Authentification et sécurité sont un peu des mystères pour moi"

Tu ne connais pas les standards de sécurité et tu stockes des données personnelles de personnes potentiellement mineures ?

Qu'en est-il de la conformité au RGPD ? Et Vis-à-vis de la CNIL ?

D'ailleurs où sont les mentions légales obligatoires de ton site ? Tout site web doit permettre d'identifier son responsable et son hébergeur, en application de la loi pour la confiance dans l'économie numérique du 21 juin 2004.

"je veille à ce qu'elle demeure secrète"

Comment peux-tu affirmer cela alors que tu viens de dire que tu ne connais pas les standards de sécurité ?

"je ne suis pas forcément inféodé aux-dits standards"

Pour être honnête, si. Entièrement. 

S'il existe des standards légaux d'ergonomie et d'accessibilité numérique ce n'est pas pour rien. Par exemple, en l'état ton site n'est pas utilisable par les personnes handicapées (article 47 de la loi n° 2005-102 du 11 février 2005 pour l'égalité des droits et des chances).

Je rejoins également P.X.L concernant les avertissements sur la violation de la propriétés intellectuelles de certains auteurs. Notamment ceux dont tu donnes les ebooks en téléchargements gratuits mais également ceux dont tu utilises les illustrations sans les créditer pour illustrer ton site.

-
Edité par Mewen_bzh 13 octobre 2022 à 9:19:24

Bonjour,

P.X.L a écrit:

je trouve discutable de promouvoir des valeurs de travail et intégrité, et de fournir des ebooks de manière illégale, alors qu'il y a une masse de livres classiques tombés dans le domaine public, par exemple pourquoi pas Jules Vernes plutôt que JK Rowling?

Mewen_bzh a écrit:

Je rejoins également P.X.L concernant les avertissements sur la violation de la propriétés intellectuelles de certains auteurs. Notamment ceux dont tu donnes les ebooks en téléchargements gratuits mais également ceux dont tu utilises les illustrations sans les créditer pour illustrer ton site.

Je confirme !

Normalement, le forum d'OpenClassrooms ne doit pas promouvoir des pratiques illégales. Ton site n'est pas dédié à cette pratique mais cela reste illégal. Je ne fermerai pas ce sujet, mais je t'encourage à rapidement te mettre en conformité face à ces questions de propriété intellectuelle.

zakod a écrit:

pardonnez-moi mes petites transgressions

Oh moi je n'ai rien à te pardonner Je comprends bien la philosophie de ton site.

Maintenant que l'URL de ton site est postée sur Internet (sur ce forum), il est possible, même si peu probable, qu'un intéressé y accède et fasse valoir ses droits ... "Un homme averti en vaut deux"

C'est la rançon de l'illégalité, fût-elle légitime. On s'expose. Mais si peu, dans mon cas. Ce n'est pas de l'héroïsme. S'opposer à la loi de Vichy, à celle des Anglais en Inde, à celle des apartheid de tout poil, est autrement plus dangereux que de transgresser les lois sur les droits d'auteur. Et je suis persuadé que mes "victimes" (J.K, Albin Michel Onfray, les griots du Sénégal ancien, etc.) sont plus heureux du tiot coup de pub que grincheux à propos de leurs droits.

Non, pour l'instant, les seuls "fâcheux" qui accèdent à mon site sont des plaisantins qui me font comprendre toutes ses failles. Qu'est-ce que je bosse ! Moi qui croyais pouvoir me reposer un peu !

-
Edité par zakod 13 octobre 2022 à 14:43:59

Ne vous inscrivez pas sur son site 

Je viens de recevoir un mail de réinitialisation de mot de passe, n'étant pas à l'origine de cette demande j'ai audité...des plaisantins sont passés avant moi... mon dieu la sécurité de ton site c'est un cas d'école à ne jamais reproduire !

- On peut se connecter à n'importe quel compte avec une faille ultra simple, en remplaçant le nom du cookie j'ai pu me connecter sur mon autre compte 

- On peut supprimer un compte de n'importe quelle personne, j'ai supprimé mon 2ème compte puis mon compte principale depuis l'autre compte

- On peut supprimer les articles que l'on veut en utilisant la clé primaire qui est incrémenté, donc facilement modifiable ! 

- On peut siphonner les adresses emails et mots de passe en clair de n'importe quel compte 

Il est évident que des personnes on pu récupérer mon mot de passe en clair, heureusement j'ai utilisé une adresse et un mot de passe fictif, mais tu as été ciblé, j'ai reçu 3 mails.

Bref, je te met en garde, n'utilise surtout pas ton site pour d'autres personnes que toi même, les failles de sécurité sont les plus grosses que j'ai pu auditer depuis mes fréquentations sur OpenClassroom

-
Edité par angeatrg 13 octobre 2022 à 15:56:08

Je venais de m'apercevoir que tous mes articles avaient été effacés. Je venais ici le dire. À part le responsable, personne d'autre que toi ne s'était inscrit. En fait, j'ai quasiment aucune visite. Je ne sais pas comment m'organiser pour faire face. D'une part, je m'apprête à supprimer le dépôt public et en créer un privé, comme on me l'a suggéré. D'autre part, j'avais déjà compris certaines failles : le mot de passe oublié était naïf. Et ma connexion à mon espace admin aussi.

J'étais en train de remédier à tout ça.

Mais la nouvelle version qui remédie à toutes ces carences est loin d'être prête.

Alors je pense que je vais pousser un code intermédiaire qui retire l'abonnement.

Il faudrait m'expliquer plus en détail les diverses failles, comment ça marche, comment on remédie : le cookie renommé par exemple. Et en quoi l'incrémentation des clés primaires est-elle un défaut ? Comment peut-on supprimer un article de l'extérieur ? À moins d'être dans l'espace admin, c'est à ça que je songeais. Or il est à présent protégé par un identifiant et un mot de passe indépendants de l'abonné que je suis, et qui sont des variables d'environnement. J'avais prévu un temps d'attente à la connexion, pour empêcher l'attaque par force brute. 1 seconde. 

Le problème c'est que tu n'as aucune permission ni vérification de l'utilisateur, tu pratiques la sécurité par l'obscurité, c'est-à-dire que tu considères que si on ne le voit pas on ne le trouve pas.

Je peux modifier et supprimer chaque article si je le souhaite, même si je ne suis pas l'auteur de l'article.

Je peux usurper l'identité de chaque utilisateur en modifiant la valeur du cookie "connecte" et en y indiquant un pseudo (le tiens fonctionne) ce qui me donne la  possibilité d'accéder aux informations personnelles et de l'utiliser pour m'envoyer le mot de passe en clair, tu ne hash pas les mots de passe

Tu ne gères les requêtes POST et get de la même façon, si je reste appuyé sur F5 je peux spammer ton site ou cassé ton serveur STMP (pas de garde fou).

Il y avait une dizaine de comptes inscrit selon mes recherches, notamment avec des fausses adresses emails (russes, chinoises, anglaises) donc tu ne connais pas les vrais chiffres de ton site.

Enfin ton vrai site est une passoire car tu codes sans framework, du coup les règles de sécurité les plus basiques ne sont pas intégrées.

Je n'ai pas testé plus loin, mais il est fort probable que ton site soit vulnérable aux failles XSS, à l'injection SQL et autres joyeusetés .. tous ces problèmes qui existent depuis l'avenant du web et qui font parti.. une fois de plus des standards que vous ne souhaitez appliqué.

J'ai étudié pas mal de temps le hacking éthique et on avait des sites de test niveau débutant bien plus facile à casser... c'est dire !

-
Edité par angeatrg 13 octobre 2022 à 18:01:29

Mais si, je hache le mot de passe ! Ça fait déjà longtemps que j'ai fait ça. Le mot de passe en clair, c'est quand tu as oublié le mot de passe, tu reçois un mail qui t'en donne un nouveau. On ne peut pas le hacher, celui-là, puisque c'est pour le donner à l'abonné. Ce qui s'est passé à mon avis, le gars utilise une idiotie : au début, tu donnais un pseudo, et une adresse. Mais j'avais oublié de contrôler la correspondance. Donc le gars a donné mon pseudo et a reçu mon nouveau mot de passe à son adresse mail. Comme c'était les mêmes coordonnées pour arriver dans l'espace admin, il peut tout bousiller. Depuis quelques jours, il s'amusait à mettre des tas de textes en commentaire. Mais là, il a tout défoncé. Je ne lui en veux pas, au contraire ! C'est pas que je suis maso, mais là, j'apprends. Je suis en fait exactement là où je voulais arriver : un poète peut faire de l'informatique, et un quidam de la politique (au sens noble, pas du tout le sens courant). Là, j'affronte le réel. Et comme je suis pas si manche, je sais que je vais m'en sortir. Je suis pas complètement tout seul : j'ai de l'aide !

Je crois que le nombre des abonnés a été variable ! À divers moments, il y avait une ou deux personnes, puis plus rien, le gars effaçait ses traces. Mais comment tu fais pour savoir ? Ça aussi ça m'intéresse. Tu parles d'audit. Comment tu procèdes ? Moi, pour dire que j'ai eu à peu près zéro visite, je me base sur un compteur qui mesure la fréquentation de chaque article. Si une personne intéressée par le site lui-même vient, elle se contente de lire les articles, avant de songer à s'abonner. Et il y a bel et bien zéro lectures (les compteurs correspondent à mes visites à moi).

Je viens de changer les variables d'environnement d'authentification du boss, et rechargé la bd. J'ai mis 5 secondes de délai à l'authentification. Et des identifiants bien plus longs. Et j'ai juste retiré 'abonnement' dans le menu footer. Monsieur Sadidey (le pseudo qu'il avait pris), vas-y.

Je suis preneur d'un petit tuto qui explique la manip sur les cookies. J'ai toujours rien compris. Pareil pour la touche F5, quel rapport avec le serveur smtp, et l'histoire avec Get et Post, tout ça, je pige rien. Si j'ai besoin qu'on m'explique, il faut partir de zéro, bien souvent.

Je me demande combien de temps ça va tenir, tout ça. Je m'attelle à la nouvelle version, qui va rétablir l'abonnement, en tenant compte de vos observations. Il faut peut-être songer à un framework. Mais quoi ? Je n'y connais rien. Si ça doit me prendre beaucoup de temps d'apprentissage, ça vaut peut-être le coup d'optimiser ce que j'ai déjà fait.

-
Edité par zakod 13 octobre 2022 à 19:39:39

Je pense que vous ne réalisez pas l'étendu de vos failles !

Honnêtement je trouve ça vraiment bien d'apprendre la programmation et je ne saurais vous en dégouter, bien au contraire c'est une très bonne chose de vous rendre compte que le web est vulnérable... seulement vous ne maitrisez manifestement pas assez le backend pour assurer un niveau de sécurité suffisant pour vous, vos données et vos utilisateurs.

En l'état je vous invite fortement à utiliser le Framework Django, car.. sans en dévoiler plus, votre site est encore un gruyère ! 

Ça serait beaucoup trop long et complexe de vous expliquez chaque faille, mais en gros, pour votre culture personnelle voici les identifiants de faille que j'ai découvert :

- Insecure Direct Object Reference ou IDOR, c'est-à-dire dévoiler facilement les références de vos données

- Broken Access Control, c'est-à-dire ne pas vérifier les permissions utilisateur et accéder du contenu non permis 

- Identification and Authentication Failures, c'est-à-dire gérer l'authentification et l'identification des utilisateurs de manière fragile ce qui met en danger vos utilisateurs

J'ai volontairement indiqué ces failles en anglais pour que vous puissiez  les retrouver sur le site de OWASP

Encore une fois, merci à tous ceux qui interviennent ici, qui font preuve d'une certaine patience ! 

Je voudrais préciser quelque chose : j'ai dit quelque part que je n'étais pas forcément inféodé aux standards. À ce moment, je parlais des couleurs. Et j'ai défendu ma position à ce sujet. Mais je ne remets pas en question les standards quand ils concernent par exemple la sécurité. Autant je me sens légitimé à ne pas tenir compte des palettes recommandées, autant bien sûr je me soumets aux impératifs de sécurité. Dans l'un et l'autre cas, mon site suscite des remarques : certaines vont me faire réagir et améliorer, d'autres non. L'insoumission n'est pas une idéologie. L'anarchie positive n'est pas une secte. Je roule à droite, je regarde avant de traverser, j'ai un éclairage sur mon vélo, je porte le casque en moto, je mets la ceinture en voiture, ça, c'est de la soumission légitime. J'ai voté presque toute ma vie, j'écoute la radio avec sa publicité et sa propagande, ça, c'est de la soumission malsaine.

J'en viens maintenant à répondre au dernier post de Mcflan_7. Je ne réalise pas toutes mes failles, dis-tu. Mais je ne demande que ça ! Peut-être que c'est trop long, en effet, d'énumérer tous les trous de mon gruyère. Et peut-être que c'est long, pour chacun d'eux, d'exposer le problème, le mécanisme du viol, et la solution. Alors un peu d'abnégation ! Dis-en plus ! C'est intéressant et utile, et pas que pour moi, j'en suis sûr. Et n'aie pas peur de dévoiler davantage. Mon site est exposé, mais ce n'est pas grave. On ne peut plus s'y abonner, je renonce provisoirement à son côté participatif, j'avoue que je ne suis pas encore assez calé. En attendant que je le sois, je vais mettre en place une autre façon de m'envoyer commentaires et articles, par mail, avec publication a posteriori. Donc "a pas peur" comme dit Chéri-Bibi. Dites bien toutes les failles. 

En fait, il y a déjà une chose qui est réglée. Monsieur sadidey ne peut plus bénéficier de mes sottises passées pour tout bousiller.

Il faut vérifier les permissions 

Si j'utilise cette url : https://www.vaste-programme.fr/supprimer_un_article

Il suffit de mettre n'importe quel identifiant et je peux supprimer tout vos articles, mais également les modifier.

-
Edité par angeatrg 14 octobre 2022 à 11:42:02

On s'est croisés ! Je venais de supprimer toute la partie participative.

Mais en effet, c'était une des idioties que j'avais commises. Je partais du principe que si on était connecté, c'est que l'authentification avait eu lieu.