[Problème] On me demande un code pour accéder à mon site

[Plano]

Bonsoir à toutes et tous,

je suis occupé de refaire un nouveau site pour mon établissement scolaire. En Joomla 3.1.5

J'ai installé Admin Tools afin d'améliorer un minimum la sécurité de mon site (je signale ici que je ne suis pas un bidouilleur de code et autres fichiers ...)

J'ai donc procéder à la protection par code de la page /administrator

Au départ tout fonctionnait bien. Mais j'ai entendu par mon ami Cavo qu'il n'était pas très bon de mettre en login "admin"

J'ai voulu donc changer le login et mis un autre login via admin Tools.

Depuis, j'ai des problèmes

quand je tape l'adresse de mon site xxxxxx j'ai la fenêtre qui me demande le login et password. un peu délicat pour un site qui doit à terme être public.

Pire, quand j'entre les login et pass, j'ai des messages qui s'affichent (je mets en pièce jointe - je n'ai pas cliqué sur ok)

Le problème se passe sur IE10 et firefox.

Le problème se pose quand je rentre mes code admin

En faisant annuler sur le message qui s’affiche cela donne une page a erreur 401 et en rafraichissant la page, le back du site apparaît.


Je pensais avoir avoir trouvé une solution comme la suivante :

Dans le dossier administrator, j'ai effacé le htaccess et htpassword via le ftp (c'est fichiers étant placé là par admin Tools). plus de demande de password, mais plus de protection de la page administrator non plus

Donc, j'ai reprogrammé dans admin Tools et toujours le même souci (demande d'accès pour accéder à l'index du site).

Remarque : actuellement la page administrator n'est pas protégée

Merci de bien vouloir m'éclairer.

Bonne soirée.

Plano

[cavo789]

Re : On me demande un code pour accéder à mon site

Bonsoir Olivier

Si tu as une demande "Login/Password" sur ton frontend, c'est que tu utilises une extension ... mal écrite. J'en parlais durant notre dernier JoomApéro. En l'occurence : com_dropics. (fais un CTRL-U sur ta page frontend pour chercher après "/administrator"). Tu as donc un composant mal foutu qui va chercher dans l'administration du site pour des fichiers javascript. C'est exactement l'inverse que le développeur aurait dû programmer.

Si tu connais Monsieur com_dropics, voilà, tu sauras que tu vas devoir lui tirer fortement l'oreille pour une telle idiotie de sa part.

Tu n'as donc pas le choix : soit tu vires com_dropics soit tu ne protèges pas l'admin avec un .htpasswd. Enfin, reste une troisième possibilité: va voir Monsieur com_dropics pour voir s'il n'aurait pas mis à disposition une version plus récente que celle que tu utilises et/ou explique-lui ton problème et demande-lui qu'il change sa programmation.

Concernant l'affichage d'un popup java pour autoriser une exécution sur ton frontend; j'aime pô mais pô du tout. Cela ne sent pas bon ce machin...

[Plano]

Re : On me demande un code pour accéder à mon site

Merci Christophe pour ton analyse.

Mais je ne pense pas qu'il s'agisse de dropic puisque j'avais déjà le souci avant de l'installer. (maintenant, je ne prétends pas à tout prix que dropic ne soit pas une cause supplémentaire.

tout a débuté au moment où j'ai voulu changer le login pour y accéder.

Perso j'ai fait ctrl-U mais c'est vraiment incompréhensible pour moi.

Je ne sais vraiment pas comment faire pour réparer cela.

A présent, j'ai effacer depuis mon ftp le fichier .htaccess et .htpassword
J'ai accès sans demande de login et password, mais j'ai toujours une fenêtre comme j'ai placé en pièce jointe dans mon premier post.

Quand je te lis :

Concernant l'affichage d'un popup java pour autoriser une exécution sur ton frontend; j'aime pô mais pô du tout. Cela ne sent pas bon ce machin...

Je dois dire que cela me fait peur d'autant que ce site doit être mis en ligne pour dans 10 jours. Alors, la meilleure phrase qui me vient à l'esprit est la suivante : appel à l'équipe ....

Merci à toi et à vous pour l'aide.

Plano

[cavo789]

Re : On me demande un code pour accéder à mon site

Salut

Je suis affirmatif sur com_dropics. Si tu fais un CTRL-U tu vois le code source de ta page. Là, le but est de voir tout ce qui est lié vers un fichier se trouvant dans /administrator et com_dropics va y chercher des fichiers. C'est lui le coupable.

Pour le java : vois-tu cela sur chaque page ou seulement sur la page d'accueil ? Tente d'isoler le problème pour savoir si c'est la faute d'un module (désactive-les tous) : plus de popup java? ok, c'est donc un module. Réactive-les un par un jusqu'à identifier le vilain.

Idem pour les plugins de type content.

Idem pour le template (prends un template natif Joomla).

[Plano]

Re : On me demande un code pour accéder à mon site

Voilà,

jai désinstallé droppics complèteent : toujours la fenêtre comme mon premier post

j'ai désinstallé admin Tools : toujours la fenêtre

j'ai désactivé tous les modules et tous les plugins content : toujours la fenêtre

j'ai mis un Template natif : toujours la fenêtre

A part tout effacer le site et le refaire, moi je n'ai pas d'idée.

Je suis d'un naturel calme et patient, mais là, ça commence à chauffer (ce qui n'est absolument pas de votre faute, masi exprimer ce que l'on ressent çà fait parfois du bien).

Plano

[ZDamienZ]

Re : On me demande un code pour accéder à mon site

Bonjour,

Je suis le développeur de Droppics.
En effet les fichiers css et js dans un sous dossier de administrator ne sont pas la meilleure idée que j'ai eu.

Mais attention aux amalgames, l'avertissement de sécurité n'a strictement rien à voir avec ça.

Je tiens à ajouter que très peu d'utilisateurs utilisent un htaccess sur le répertoire administrator. Sur les milliers de téléchargement de l'extension ce problème ne nous a été reporté que deux fois et très récemment.
Notre équipe de support a bien entendu trouvé une solution en attendant la prochaine version qui inclura cette correction.

Une solution très simple est de laisser l'autorisation sur les fichiers css et js dans le répertoire administrator et résout instantanément le problème.

Voici une solution qui devrait fonctionner:

<FilesMatch "\.(css|js)$">
Satisfy Any
Allow from all
</FilesMatch>

AuthUserFile "/var/www/test1/administrator/.htpasswd"
AuthName "Restricted Area"
AuthType Basic
require valid-user

Concernant le problème de java un lien vers votre site avec le problème nous permettrai de vous aider bien plus rapidement. Si nécessaire vous pouvez nous l'envoyer via mp.

Et pour tout support concernant Droppics, notre support sera prêt à vous aider.

Damien

[cavo789]

Re : On me demande un code pour accéder à mon site

Bonjour Damien

Je tiens à te présenter mes excuses : dans le feu de l'action, je n'ai pas fait preuve d'un vocabulaire adapté. "Mal foutu", "tirer l'oreille", ... ne sont pas de bon aloi. Désolé.

Ta proposition de .htaccess est valide mais elle corrige ce qui n'aurait pas dû arriver et là, je maintiens ma pensée : les fichiers médias, destinés à être utilisé aussi sur le frontend, doivent être stockés dans un dossier public et donc, sur le frontend. Dans le monde Joomla, il devrait idéalement s'agir du dossier /media qui est destiné à ça.

Ravi de lire que tu vas intégrer cette adaptation.

Concernant la sécurité .htpasswd, oui, c'est trop peu utilisé, bien trop peu et je suis de ceux qui prônent à mettre en place cette protection. Joomla! devient chaque jour de plus en plus incontournable et si l'on peut éduquer les utilisateurs en leur apprennant les bonnes pratiques en matière de sécurisation du site, c'est notre devoir, à nous développeur et Joomleurs avertis, de le faire.

Une fois encore désolé pour les mots durs, un peu trop facilement écrit et qui masquent la qualité de ton extension (Olivier m'en a dit du bien).

Bonne soirée et bon week-end.

[cavo789]

Re : On me demande un code pour accéder à mon site

J'ai oublié de répondre à une partie : le lien java étant le résultat d'un malware sur le site. Une infection du fichier factory.php. En rien lié à ton composant mais uniquement la conséquence d'une sécurisation bien trop basse du site du webmaster.

[Plano]

Re : On me demande un code pour accéder à mon site

Bonjour Damien, Bonjour Christophe,

Il s'agit d'un post bien intéressant puisqu'il fait débat et celui-ci est constructif.

Merci pour ta réponse. Je n'ai pas pris contact avec droppics car j'ai télécharger cela sur un site en anglais et je ne me sens pas suffisamment compétent dans la langue de Shakespeare pour expliquer un souci d'ordre technique. Je suis donc ravi de voir que le développeur soit membre de notre communauté.

Ce composant offre un réel confort d'utilisation, juste une petite critique, l'utilisateur n'a pas l'occasion de choisir ses emplacements de dossiers (ce qui alourdi le site au moment d'un backup). Si on pouvait choisir un dossier qui n'est pas intégrer aux fichiers de Joomla ce serait sympa. Même chose pour dropfiles.

Je trouve de mon côté important de penser à la sécurisation du site, surtout quand on est un utilisateur commun comme moi et qui a des difficultés de réaction au niveau de codes.

Merci à vous deux pour vos réactions.

Excellent week-end

Plano - Olivier

[ZDamienZ]

Re : On me demande un code pour accéder à mon site

Bonsoir amis belges,

Veuillez excuser ma réponse un peu tardive.

@christophe : face à de telles excuses je ne peux pas t'en vouloir
Je suis tout à fait d'accord avec toi et le htaccess proposé n'est là qu'une correction temporaire avant que je ne corrige cet écart.

@Olivier
Le support est en effet en anglais mais en général même avec Google Translate on arrive toujours à se faire comprendre, ne pas hésiter au besoin.

Ton idée est intéressante et je crois qu'elle est même dans la todo liste

Bonne soirée.

Damien