Bonjour à tous,
Utilisateur de SPIP depuis plusieurs années, je me permets de vous contacter aujourd'hui au sujet du plugin Accès Restreint.
Ce plugin est sensé pouvoir protéger l'accès aux documents (ex : les PDF / les images).
Il s'avère que cette protection est inexistante dès l'instant où l'url du document est connue : aucune vérification n'est faite pour savoir si le visiteur est connecté / connu où accrédité.
Cas typique de la vraie vie :
* une mairie possède le plugin accès restreint installé. Par mégarde, le stagiaire qui passe par là décoche la protection sur la rubrique concernée
* google fait son œuvre et répertorie les documents dans le style http://mon_site.fr/IMG/pdf/pdf-test1.pdf?N°doc/clé
* la gestionnaire du site s'aperçoit de l'erreur et re-protège la rubrique et croit le soucis corrigé
* il n'en est rien, le document est toujours accessible par google et il n'y a aucun moyen de le protéger !
Par ailleurs, il y a également un bug très gênant : image_reduire ne fonctionne plus dès l'instant où la protection de l'accès aux documents est activée. Ce bug n'était pas présent avec la version SPIP 2.1.26 et Accès Restreint 3.3.2, mais les vignettes n'étaient pas du tout protégées.
Enfin, il a 2 warnings sur api_docrestreint lorsque le document est bien bloqué (Warning: Illegal string offset 'statut' in ecrire/inc/minipres.php on line 123 et 'nom' in /ecrire/inc/minipres.php on line 125 car ces variables ne sont pas crées dans $GLOBALS['visiteur_session'].
J'ai installé un SPIP nu pour valider ces erreurs, versions 3.0.17 et plugin 3.8.13. Vérifié sous PHP 5.3 et 5.5.
N'hésitez pas à me contacter si vous avez besoin de renseignements complémentaires.
Cordialement,
Bruno
--
rue Béjo - la solution web durable
42 rue de la Béjonnière, 49000 Angers
Tel : 09 72 12 71 33
www.ruebejo.fr
Membre de la SCOP CDP49