Déconnecter un site après une période d'inactivité

[Georges HENRY]

Re : Déconnecter un site après une période d'inactivité

Je viens de tester sur un de mes sites et je confirme ton problème.
Je dois dire que je ne m'en étais jamais préoccupé et que je suis surpris que cette durée de session ne concerne que l'administration ! Est-ce nouveau ? Je l'ignore.

AAAAAAAAAAAHHHHHHHHHHHHHHHH, je me sens soudainement moins seul ! J'avais peur d'être un alien dans le monde dans la communauté Joomla... Je suppose que ton expérience et tes relations vont faire remonter le schmilblic !!!
J'attends de tes nouvelles avec impatience

En tout cas, merci de ta collaboration

[PhilJ]

Re : Déconnecter un site après une période d'inactivité

Je viens de tester sur un de mes sites et je confirme ton problème.
Je dois dire que je ne m'en étais jamais préoccupé et que je suis surpris que cette durée de session ne concerne que l'administration !

Peut-être au moins des éclaircissements ici : http://forum.joomla.fr/showthread.ph...s-utilisateurs.

Et une question : les utilisateurs en frontend ont-ils ou non un statut leur permettant de se connecter au backoffice ?

[RobertG]

Re : Déconnecter un site après une période d'inactivité

Après un premier essai avec un compte de super administrateur, sur un site démo, j'ai testé avec un simple compte d'auteur, sans droit d'accès à l'administration, donc.
Version de test 3.4.4

[PhilJ]

Re : Déconnecter un site après une période d'inactivité

Après un premier essai avec un compte de super administrateur, sur un site démo, j'ai testé avec un simple compte d'auteur, sans droit d'accès à l'administration, donc. [...]

...Avec le même ordinateur et le même navigateur pour le frontend et le backoffice ?

[RobertG]

Re : Déconnecter un site après une période d'inactivité

Oui, bien sûr, même ordinateur et même navigateur (testé sur la 3.3.4 avec Chrome, sur la 2.5.28 avec Firefox).
J'ai défini la durée de session à 2 et 3 minutes sur ces sites, je me suis identifié sur le frontend et je n'y ait rien fait que rester sur la page d'accueil. Je suis passé à autre chose et quand je suis revenu dix minutes plus tard, j'ai pu sur les deux me balader sur tout ce qui est réservé aux identifiés et aux auteurs : créer un article par exemple.

Pour info, ce problème a été remonté ici même en 2012 si je me souviens bien de mes recherches hier soir (et n'a eu aucun écho). Il est évoqué sur d'autres forums dont celui de joomla.org sans solution proposée. Même une membre du team, mandville, n'a semble-t-il pas tenté de reproduire, renvoyant aux auteurs de templates et autres... http://forum.joomla.org/viewtopic.php?p=1596285

Il semblerait que du JavaScript soit là pour empêcher la fermeture de session, pour éviter qu'en pleine écriture ou modification d'article, la session se ferme et qu'on perde tout. Sur le site stackoverflow.com, il est conseillé une surcharge pour le désactiver http://stackoverflow.com/questions/2...age-in-joomla3
Je n'ai pas testé pour l'instant.

Ceci dit, ça représente une sacrée faille de sécurité lorsqu'on n'est pas seul à avoir accès à l'ordinateur : imaginons qu'un utilisateur ait un accès à des données confidentielles. Il est connecté, on l'appelle ailleurs ou il va prendre un café et discuter avec des collègues, ne prend pas le temps de se déconnecter car pensant revenir rapidement : que ce soit pendant son temps de session ou après, indéfiniment donc, tout passant aura accès à toutes ces informations confidentielles...
Bref, ce comportement de Joomla! côté site n'est pas normal à mon avis.

[Georges HENRY]

Re : Déconnecter un site après une période d'inactivité

Bonjour,
J'ai lu vos commentaires à tous deux avec attention. C'est donc une anomalie connue et non corrigée...
J'ai également lu la modification éventuelle suggérée.
Deux remarques : quand on travaille longtemps sur le back office, au delà du temps de déconnexion programmé dans la configuration, il n'y a pas de déconnexion, je crois;
Sur le back end ou le front end, en ayant appliqué la modification suggérée, mais en consultant le site de manière continue, la session va-t-elle durer au-delà du délai (puisqu'on bosse dessus) ou se couper d'autorité après ce délai ?

[Georges HENRY]

Re : Déconnecter un site après une période d'inactivité

Bonjour,
J'ai lu vos commentaires à tous deux avec attention. C'est donc une anomalie connue et non corrigée...
J'ai également lu la modification éventuelle suggérée.
Deux remarques : quand on travaille longtemps sur le back office, au delà du temps de déconnexion programmé dans la configuration, il n'y a pas de déconnexion, je crois;
Sur le back end ou le front end, en ayant appliqué la modification suggérée, mais en consultant le site de manière continue, la session va-t-elle durer au-delà du délai (puisqu'on bosse dessus) ou se couper d'autorité après ce délai ?

Je viens de faire l'essai suivant :
durée de la session 2 min.;
Dans le module "Connexion", préciser le retour vers "Accueil" en cas de déconnexion;
Dans edit.php mentionné, mise en commentaire de l'instruction mentionnée (behavior.keepalive).

Résultat :
- aucune déconnexion en cas d'absence de manipulations pendant 3 min.
- pas de retour à l"Accueil"