Bonjour, je suppose que ma question est plus pour cette liste … Désolé si je me trompe !
Je cherche depuis longtemps à modifier l’url après être identifié sur un formulaire login. Je m’explique. J’arrive sur mon site par une url ‘normale’ en http. Là, je dois m’identifier pour entrer. Voir sur http://www.ressourcesnet.com
Jusque là, tout va bien. Mais, en fait, je voudrais que, si l’identification est positive, on continue dans le site en https … Je ne vois pas où intervenir pour modifier cela.
Si je pouvais recevoir une aide, là, ce serait super. Merci
Vraiment très très sympathiques comme réactions !! Je ne savais pas qu'il était interdit de poser une question, et encore moins de vouloir continuer une consultation de site en mode sécurisé ???
Eh bien Stéphane, par la suite, l'internaute identifié échange avec une base de données externe des infos sur son n° de Sécurité sociale, sa situation personnelle, son salaire, ses couvertures sociales et autres choses très précisément réglementées par la CNIL, ce qui nécessite que ces transactions soient cryptées : il se trouve que ce n'est pas pour le plaisir que l'on a du acheter un certificat SSL.
Or, je n'arrive que très difficilement - voire pas du tout !! - à comprendre le mode de fonctionnement des formulaires spip ... Voilà pourquoi j'ai besoin d'aide ...
Ce que Stéphane essaie de te faire comprendre, c’est qu’il est absurde de sécuriser en ssl une transaction si le process d’identification qui permet d’y accèder n’est pas lui même sécurisé en ssl.
Cela revient à mettre des grilles aux fenêtres d’une maison pour empêcher les voleurs d’entrer, mais en laissant la serrure de la porte d’entrée accessible, ce qui permet au dit voleur de prendre l’empreinte et de reconstruire une clé pour rentrer tranquillement, par la porte, donc.
En l’occurence, ce n’est pas après le login qu’il faut rediriger vers du https, mais le formulaire de login lui même doit être déjà être en https.
Le soucis, pas forcément clairement exprimé dans les réponses qui t'ont été faites, est que tu sembles faire l'authentification en HTTP puis ne passer en HTTPS qu'ensuite, alors que la bonne pratique est de passer en HTTPS dès l'affichage du formulaire d'authentification.
Tu devrais donc tout simplement mettre ton lien vers le formulaire de login en HTTPS plutôt que HTTP, et rester alors en HTTPS.
Le 4 juin 2009 09:26, Cédric Morin <cedric.morin@yterium.com> a écrit :
:
Marc VALLETEAU de MOULLIAC a écrit :
Vraiment très très sympathiques comme réactions !!
si on peut plus rigoler...
Je ne savais pas qu'il était interdit de poser une question, et encore
moins de vouloir continuer une consultation de site en mode sécurisé ???
j'ai du mal à voir quelle information peut etre plus confidentiel que le
mot de passe permettant de la consulter...
Eh bien Stéphane, par la suite, l'internaute identifié échange avec une
base de données externe des infos sur son n° de Sécurité sociale, sa
situation personnelle, son salaire, ses couvertures sociales et autres
choses très précisément réglementées par la CNIL, ce qui nécessite que ces
transactions soient cryptées : il se trouve que ce n'est pas pour le plaisir
que l'on a du acheter un certificat SSL.
Ce que Stéphane essaie de te faire comprendre, c'est qu'il est absurde de
sécuriser en ssl une transaction si le process d'identification qui permet
d'y accèder n'est pas lui même sécurisé en ssl.
Cela revient à mettre des grilles aux fenêtres d'une maison pour empêcher
les voleurs d'entrer, mais en laissant la serrure de la porte d'entrée
accessible, ce qui permet au dit voleur de prendre l'empreinte et de
reconstruire une clé pour rentrer tranquillement, par la porte, donc.
En l'occurence, ce n'est pas après le login qu'il faut rediriger vers du
https, mais le formulaire de login lui même doit être déjà être en https.
Oui, je comprends bien ce que tu veux dire, mais, en l'occurrence, ce n'est pas la transaction formulaire que je souhaite sécuriser, mais toutes les transactions effectuées par la suite ...
Certes, comme le dit très justement Denis, c'est mieux de démarrer immédiatement en https, ce qui va être fait par la suite. Mais je maintiens que ma demande est tout à fait cohérente dans le contexte dans lequel je suis.
Et puis, pour passer en ssl après identification, la solution est simple - me l'avoir indiquée tout de suite m'aurait fait totu de même gagner quelques heures ! - j'ai écrit [(#LOGIN_PUBLIC{https://ressourcesnet/com/\})] et ça marche bien.
Vraiment très très sympathiques comme réactions !!
si on peut plus rigoler...
Je ne savais pas qu'il était interdit de poser une question, et encore
moins de vouloir continuer une consultation de site en mode sécurisé ???
j'ai du mal à voir quelle information peut etre plus confidentiel que le
mot de passe permettant de la consulter...
Eh bien Stéphane, par la suite, l'internaute identifié échange avec une
base de données externe des infos sur son n° de Sécurité sociale, sa
situation personnelle, son salaire, ses couvertures sociales et autres
choses très précisément réglementées par la CNIL, ce qui nécessite que ces
transactions soient cryptées : il se trouve que ce n'est pas pour le plaisir
que l'on a du acheter un certificat SSL.
Ce que Stéphane essaie de te faire comprendre, c'est qu'il est absurde de
sécuriser en ssl une transaction si le process d'identification qui permet
d'y accèder n'est pas lui même sécurisé en ssl.
Cela revient à mettre des grilles aux fenêtres d'une maison pour empêcher
les voleurs d'entrer, mais en laissant la serrure de la porte d'entrée
accessible, ce qui permet au dit voleur de prendre l'empreinte et de
reconstruire une clé pour rentrer tranquillement, par la porte, donc.
En l'occurence, ce n'est pas après le login qu'il faut rediriger vers du
https, mais le formulaire de login lui même doit être déjà être en https.
Oui, je comprends bien ce que tu veux dire, mais, en l'occurrence, ce n'est pas la transaction formulaire que je souhaite sécuriser, mais toutes les transactions effectuées par la suite ...
Certes, comme le dit très justement Denis, c'est mieux de démarrer immédiatement en https, ce qui va être fait par la suite. Mais je maintiens que ma demande est tout à fait cohérente dans le contexte dans lequel je suis.
c'est tout simplement ridicule mais si tu maintiens que tu veux une belle porte blindée avec un paillasson devant pour pouvoir y cacher la clé...
maintenant, ne soit pas non plus surpris qu'on te dise que ce que tu veux faire l'est
Et puis, pour passer en ssl après identification, la solution est simple - me l'avoir indiquée tout de suite m'aurait fait totu de même gagner quelques heures ! - j'ai écrit [(#LOGIN_PUBLIC{https://ressourcesnet/com/\})] et ça marche bien.
ben ouais les gars quoi, il a autre chose à foutre le monsieur, vous pourriez faire un effort (je ne me souvenais plus pourquoi tes messages apparaissaient avec une etiquette "peut attendre" chez moi, ca y est, je me rappelle maintenant !).
bon, il repassera en HTTP dès qu'il croisera une balise URL_SITE ou un filtre url_absolue mais c'est pas grave, vu que de toutes facons, la clé est sous la porte, personne ne va s'amuser à péter la porte blindée.
Bonjour, je suppose que ma question est plus pour cette liste ... Désolé
si je me trompe !
Je cherche depuis longtemps à modifier l'url après être identifié sur un
formulaire login. [...]
l'identification est positive, on continue dans le site en https ... Je
ne vois pas où intervenir pour modifier cela.
Bonjour,
si tu poses la question sur la liste user, je t'y donnerai une réponse.
Un truc du genre :
<Directory "/ecrire">
RewriteEngine on
RewriteBase /ecrire
RewriteCond %{SERVER_PORTS} !^443$
RewriteRule ^(.*)?$ https://%{SERVER_NAME}/ecrire/ [L,R]
</Directory>
J'ai une configuration plus générique sur un site qui contient un grand nombre de SPIP :
# Rediriger les /ecrire/ en https
RewriteCond %{HTTPS} off
RewriteRule ^(.*)/ecrire/(.*)$ https://www.monsite.fr$1/ecrire/$2 [QSA,R=permanent]
Je traduis pour les néophytes : "si je ne suis pas en https, et si l'URL contient /ecrire/, alors je redirige vers la même URL en https". Evidemment, il faut veiller à ne pas avoir d'autres URLs (hors SPIP) qui contiennent /ecrire/, mais c'est peu probable (les autres CMS préférant un /admin/...).
