Sécurisation avant refonte ultérieure

[Mister Paul]

Bonjour,

J'ai un site internet fonctionnant avec Joomla! 3.9.27, Virtuemart 3.8.9.
Il tourne sous PHP 7.4.33
Au moment de la création je l’avais pas mal personnalisé (environ 65 overrides, quand même…)
J’ai bien pensé le mettre à jour en version 4.… mais le template n’est définitivement plus actualisé depuis environ 1 an.
:-(

Au moment de la fin du support du template, on passait au support de php 8, aux dernières versions de Joomla 3 et au début de la version 4. Pas sûr que le template dans son état actuel soit stable sur Joomla 4, encore moins sur les futures versions des extensions et composants essentiels sur ce site.

Si j’avais dû le mettre à jour je serais allé au max jusqu’à Joomla 3.10.12 sous PHP 8.
Mais là franchement est-ce que le jeu en vaut la chandelle ? Je ne crois pas (les 65 overrides !)…

Je me dis :
autant verrouiller la sécurité au max dans son état actuel et faire une refonte totale dans 1 ou 2 ans avec nouveau template et directement Joomla 5.

Actuellement j’utilise le 7G-Firewall de Perishable Press qui semble bien protéger le site.

Je peux tenir 1 an avec des mises à jour de sécurité de Joomla grâce à : Extended Long Term Support (eLTS) program.

https://magazine.joomla.org/all-issues/july-2023/extended-security-support-for-joomla-3x

Qu’en pensez-vous ?

Merci pour votre avis
Paul

[ManuelVoileux]

Bonjour ,
Pourquoi veux tu faire la refonte dans un ou 2 ans ? et pas maintenant avec Joomla 5 ? Joomla 5 est plus sûr que J3.
Le firewall de perishable press est à la 8G

[Mister Paul]

Bonjour ,
Pourquoi veux tu faire la refonte dans un ou 2 ans ? et pas maintenant avec Joomla 5 ? Joomla 5 est plus sûr que J3.

Parce que ça ne sera pas moi qui la ferai.
Et parce que mon client doit réunir des fonds pour la financer…

Je cherche plutôt un prestataire pour me remplacer…

Le firewall de perishable press est à la 8G

Merci je vais aller voir
Edit :
Oui mais c'est encore en Beta à ce jour.

[ManuelVoileux]

Oui mais c'est encore en Beta à ce jour.

Le firewall de perishable press est à la 8G. Je l'utilise sans problème. J'ai dû changer un paramètre sur une ligne pour permettre le fonctionnement de LScache.

[daneel]

Bonjour,

La première question, c'est de savoir pourquoi vous avez arrêté les mises à jour de la version 3.x si j'ai bien compris ?
donc inéligible au plan eLTS (qui ne concerne que Joomla, pas les templates ou les extensions).

La plupart des templates étant sous bs2, les difficultés d'overrides concernent en général les modifications sur d'autres frameworks (par exemple ulkit) ou bootstrap 3 et plus.
Je connais bien virtuemart et les difficultés de personnalisation. Les conditions ont bien changé depuis 2 ans et le développeur principal n'a pas facilité les choses.

Si vous pouvez mettre à jour avec la dernière version de joomla 3, ce serait déjà une première étape.

Si l'opération de migration vous semble complexe, le confier à un professionnel sera certainement la meilleure option. Et ce prestataire sera à même de proposer également une maintenance adaptée.
De mon avis, le choix des extensions serait peut être à revoir et quitte à refaire le template, faire évoluer le design et voir pour des propositions d'amélioration. Il y a quand même du potentiel dans Joomla pour le e-commerce.


Donc oui pourquoi pas être à jour et faire évoluer quand ce sera le moment (avec le budget) d'ici un ou deux ans maximum.
La seule contrainte, c'est peut être de manquer certaines évolutions et d'avoir un "vieux" site.

Quitte à faire le point, vous pouvez toujours faire une étude, même dans la communauté pour voir les nouvelles idées, poser les questions ne vous engage à rien



Pour perishable, je reviendrai sur le sujet dans une autre discussion mais une adaptation en extension joomla est en cours.

[Mister Paul]

La première question, c'est de savoir pourquoi vous avez arrêté les mises à jour de la version 3.x si j'ai bien compris ?
donc inéligible au plan eLTS (qui ne concerne que Joomla, pas les templates ou les extensions).

Le problème c'est l'arrêt du support du template…

Le site est actuellement sous Joomla 3.9.27
V3
Je pensais, éventuellement le monter à 3.10.12. Mais je viens de voir que la compatibilité du template s'arrête à la 3.10.11…
Et je ne suis pas sûr de vouloir le faire à cause du temps à passer pour répercuter les mises à jour de Joomla (des composants, des extensions, etc.) sur les overrides (dont certaines proviennent du template lui même…)
Je viens de regarder ici les mises à jour de Joomla. Entre la 3.9.27 et la 3.10.12. Je ne vois que des "Low Severity" pour les Security Issues Fixed.
Le site tourne bien actuellement, avec une bonne stabilité entre tous ses composants dans leurs évolutions réciproques. C'est peut-être judicieux de le laisser naviguer quelques temps en l'état…

V4
Le template serait compatible avec Joomla 4.2.6
Mais si ce n'est pas vraiment le cas, comme il n'y a plus de support, je n'aurais plus que mes yeux pour pleurer et je devrais me coller le travail du développeur…

Le plan eLTS en est à 3.10.14
Euh… si j'ai bien compris eTLS c'est pour tous les Joomla version 3.x avec une version PHP inférieure à 8.
Et tous les sites Joomla tournent avec un template, non ? Je ne comprends pas pourquoi celui-là serait exclu du eTLS.

Si besoin de mettre à jour la version de Joomla (gros problème de sécurité par exemple), on devrait pouvoir rejoindre eTLS, non ?
Après, est-ce que le template supporterait ces nouvelles versions : ça oui, c'est une autre question, effectivement.

[daneel]

Le problème c'est l'arrêt du support du template…

Le site est actuellement sous Joomla 3.9.27
V3
Je pensais, éventuellement le monter à 3.10.12. Mais je viens de voir que la compatibilité du template s'arrête à la 3.10.11…
Et je ne suis pas sûr de vouloir le faire à cause du temps à passer pour répercuter les mises à jour de Joomla (des composants, des extensions, etc.) sur les overrides (dont certaines proviennent du template lui même…)
Je viens de regarder ici les mises à jour de Joomla. Entre la 3.9.27 et la 3.10.12. Je ne vois que des "Low Severity" pour les Security Issues Fixed.
Le site tourne bien actuellement, avec une bonne stabilité entre tous ses composants dans leurs évolutions réciproques. C'est peut-être judicieux de le laisser naviguer quelques temps en l'état…

oui c'est étonnant que chaque mise à jour de joomla oblige à effectuer une mise à jour du template et de ses overrides. Le seul moyen étant de créer une version de test pour vérifier.
en pm, Je pourrai t'indiquer les modifications des overrides et du code du template ou les faire sur demande.

Quand j'écris que cela ne serait pas compatible avec le plan Elts, en fait c'est jusque le plan permet de continuer à mettre à jour (donc une version 3.10.13, 3.10.14...)
mais on doit forcément passer par les correctifs que tu n'a pas encore mis en place. De mon avis, tu sera forcément obligé d'avancer quelque soit le choix donc autant faire les mises à jour en testant.

Pour info, Il me semble d'ailleurs qu'un correctif de sécurité pour J3.x fut publié il y a quelques mois en dehors du plan Elts sur les variables d'environnements car cela concerne pratiquement toutes les versions de Joomla! Effectivement disponible sur : https://github.com/TLWebdesign/Joomla-3.10.12-languagehelper-hotfix

[tataye]

Bonjour,

je ne devrais pas dire cela car je vends des refontes et des migrations, mais parfois il est bon de savoir temporiser.
J'ai certains clients qui n'ont pas les moyens de migrer leurs sites.
On fait une sauvegarde des fichiers, et des sauvegardes régulières de la base de données.
Si attaque sauvage, on restaurera.
Entre temps, l'expérience fait que l'on trouve des solutions pour aller plus vite dans la migration, que le template sera adapté ou que l'on trouvera un template proche.
Profite de ce temps, avec ton client, pour établir un plan de refonte, et vous repartirez sur un projet neuf ( en utilisant une bonne partie des données de l'ancien site.

[RobertG]

Bonjour,

Je vais mettre un peu le bazar !

J'ai l'impression de lire ce que nous ont dit certains développeurs (pros, je précise) à propos de la version 4 : on attend la version RC pour adapter nos extensions. Et des années plus tard, ces extensions exigent pourtant toujours le plugin de compatibilité, ce qui veut dire que rien, ou tout au plus le strict minimum a été fait, si tant est que ces développeurs n'ont pas jeté l'éponge.

Au contraire de toi tataye je pense que plus on tarde, plus la migration devient complexe, même si on a la chance que certains de ces développeurs se soient enfin bougés.

Si je comprends qu'un particulier traîne parce que le coût de sa migration risque d'être lourd (mais on voit ici combien se croyaient incapables de la faire et ont réussi avec l'aide de ce forum, ne dépensant que du temps), je comprends très mal qu'un professionnel ait la même attitude : pourquoi ne devrait-il pas investir, emprunter si besoin, comme il le ferait s'il a besoin de changer une machine ou un véhicule ?

[tataye]

Bonjour,

Je vais mettre un peu le bazar !

J'ai l'impression de lire ce que nous ont dit certains développeurs (pros, je précise) à propos de la version 4 : on attend la version RC pour adapter nos extensions. Et des années plus tard, ces extensions exigent pourtant toujours le plugin de compatibilité, ce qui veut dire que rien, ou tout au plus le strict minimum a été fait, si tant est que ces développeurs n'ont pas jeté l'éponge.

Au contraire de toi tataye je pense que plus on tarde, plus la migration devient complexe, même si on a la chance que certains de ces développeurs se soient enfin bougés.

Si je comprends qu'un particulier traîne parce que le coût de sa migration risque d'être lourd (mais on voit ici combien se croyaient incapables de la faire et ont réussi avec l'aide de ce forum, ne dépensant que du temps), je comprends très mal qu'un professionnel ait la même attitude : pourquoi ne devrait-il pas investir, emprunter si besoin, comme il le ferait s'il a besoin de changer une machine ou un véhicule ?

Cela dépends vraiment des cas.
Effectivement : usage professionnel et quotidien
Mais c'est différent de certains sites perso, vitrine ... etc.
Mon discours est : les choses évoluent et un jour vous serez obligés, donc autant le faire maintenant... Mais certains ne veulent ou ne le peuvent pas.
Donc on fait quoi ?
Sur les sites pros ou il faut intervenir techniquement, je me refuse de le faire si pas migré ( et pas à jour ) .
Mais une asso, un particulier, tu fais quoi ? Tu préviens, tu avertis, et éventuellement si tu as le temps tu fais la migration gratos (ça m'est arrivé).
Mais sinon, il faut une solution.

Je suis en train de migrer un site associatif ( ils payeront) avec beaucoup d'extensions (CB, VM, Phoca gallery, etc ... ) Je ne suis pas mécontent de ne pas avoir fait avant, la plupart n'étant pas prêtes ... et cela a permis de redéfinir le besoin.

Surtout que le discours sur la sécurité n'a qu'une conséquence, angoisser encore plus le propriétaire

[ManuelVoileux]

Bonjour , je suis un particulier qui anime un petit site d'asso. Je n'ai pas d'opération commerciale sur le site, juste un site articles, images souvenirs et gestion d'évènements. Je n'y connais rien, mais avec du temps, de l'envie et beaucoup d'aide de la communauté, j'ai migré le site voileux à travers l'épreuve de course de haies depuis Joomla 1.5.

plus on tarde, plus la migration devient complexe