[RÉGLÉ] Sécuriser Aesecure

[gg97469]

Bonjour,

Le titre parait bizarre mais je m'explique : actuellement pour accéder au panneau d'admin on utilise un truc du genre nomdusite/dossier_aesecure/Mot_Secret. Il y a t'il un moyen après avoir rentrer cette adresse, d'avoir une page d'authentification ?

En effet, n'importe qui trouve le dossier et les mots tombent sur des infos assez compromettantes... (Pwd BDD...)

Merci

[toffffe]

Re : Sécuriser Aesecure

Salut
Le mot secret est vraiment costaud quand même et tu peux donner accès qu'à une ip avec cette url si tu veux

[gg97469]

Re : Sécuriser Aesecure

Salut
Le mot secret est vraiment costaud quand même et tu peux donner accès qu'à une ip avec cette url si tu veux

Le problème c'est que le mot secret est changeable (ce qui est non négligeable pour les personnes à petite capacité mémorielle comme moi ) et potentiellement plus facilement "crackable" que celui d'origine. Concernant l'Ip, cette fonctionnalité est intéressante mais si on se connecte de plusieurs endroits c'est vite compliqué.

Sinon, l'extension est vraiment bien hein .

[cavo789]

Re : Sécuriser Aesecure

Bonjour

Le titre parait bizarre mais je m'explique : actuellement pour accéder au panneau d'admin on utilise un truc du genre nomdusite/dossier_aesecure/Mot_Secret. Il y a t'il un moyen après avoir rentrer cette adresse, d'avoir une page d'authentification ?

Oui, bien sûr ! Jetes un coup d'oeil aux options 2.1 ou 2.2 qui font exactement cela. La documentation d'aeSecure suggère en effet de protéger tes dossiers /administrator ainsi que /aesecure afin que soit l'accès soit uniquement pour l'une autre l'autre adresse IP exclusivement soit après avoir introduit un login/password Apache (ce qu'on réalisé au moyen d'un fichier .htpasswd (mis en place par 2.2)).

Note : j'ai l'ambition; quand je trouverai du temps, de développer un écran de type "Wizard" qui se lancera une fois aeSecure installé et qui guidera l'utilisateur dans la configuration de son site. Le wizard suggérera alors de protéger /aesecure grâce à 2.1 ou 2.2.

Note : d'ici à quelques jours, une présentation sera disponible sur le site du JoomlaDay Nice car j'y ai donné une présentation aeSecure en une soixante de slides; ta question y aurait trouvé réponse ;-)

Le problème c'est que le mot secret est changeable (ce qui est non négligeable pour les personnes à petite capacité mémorielle comme moi ) et potentiellement plus facilement "crackable" que celui d'origine.

Oh? "Ne me dis pas que tu changes ma clef-extrêment-longue par une clef ultra-simple?" Nooon ???? ;-)

Clin d'oeil.

Il suffit de remettre une clef terriblement longue et de la conserver dans ton coffre-fort.

Concernant l'Ip, cette fonctionnalité est intéressante mais si on se connecte de plusieurs endroits c'est vite compliqué.

Opte alors pour l'option 2.2.

Sinon, l'extension est vraiment bien hein .

Merci.


Bonne soirée.

[gg97469]

Re : Sécuriser Aesecure

Bonjour

Oui, bien sûr ! Jetes un coup d'oeil aux options 2.1 ou 2.2 qui font exactement cela. La documentation d'aeSecure suggère en effet de protéger tes dossiers /administrator ainsi que /aesecure afin que soit l'accès soit uniquement pour l'une autre l'autre adresse IP exclusivement soit après avoir introduit un login/password Apache (ce qu'on réalisé au moyen d'un fichier .htpasswd (mis en place par 2.2)).

J'ai essayé de protéger le dossier aesecure et il est bien protégé mais l'accès au panel est toujours possible en allant directement sur l'adresse, j'ai du loupé kekchoz

Note : d'ici à quelques jours, une présentation sera disponible sur le site du JoomlaDay Nice car j'y ai donné une présentation aeSecure en une soixante de slides; ta question y aurait trouvé réponse ;-)

Je regarderai ça attentivement ;-)

Oh? "Ne me dis pas que tu changes ma clef-extrêment-longue par une clef ultra-simple?" Nooon ???? ;-)

Clin d'oeil.

Il suffit de remettre une clef terriblement longue et de la conserver dans ton coffre-fort.

Pas ma faute si j'ai une mémoire de poisson rouge

Merci beaucoup pour toutes ces infos m'sieur .

[cavo789]

Re : Sécuriser Aesecure

J'ai essayé de protéger le dossier aesecure et il est bien protégé mais l'accès au panel est toujours possible en allant directement sur l'adresse, j'ai du loupé kekchoz

kekchoz se nommant "Session" : quand tu t'es connecté une fois, Apache a déposé un cookie sur ton client pour dire que Monsieur Gégé97469 a la droit d'accéder au dossier et ne demande donc plus les credentials.

Et si c'est 2.1 (liste blanche que tu as utilisé), là, si ton IP est la même que celle white-listé; il ne demande même rien. Difficile donc de tester à moins d'utiliser un autre ordinateur et/ou passer par des proxys pour "bricoler" une autre adresse.

[gg97469]

Re : Sécuriser Aesecure

C'est vrai que j'avais pas pensé au cache

[gg97469]

Re : Sécuriser Aesecure

Je viens de tester, ça fonctionne bien .

Merci Christophe et encore bravo pour le boulot

[cavo789]

Re : Sécuriser Aesecure

En tout cas, ta question posée ici mérite que j'y prête plus attention dans une prochaine version d'aeSecure. Je dis à plusieurs endroits qu'il faut mettre en place ce type de protection; je le dis dans mes conférences mais cela n'est visiblement pas encore assez explicite. Faut que j'y travaille.

Bonne journée.

[gg97469]

Re : Sécuriser Aesecure

Content d'avoir (un tout petit peu) apporter au projet .