[RÉGLÉ] Peut-on me voler mon site en lui donnant les codes administrateurs ?

[gnosis]

Bonjour,

Face à l'impossibilité de créer le fichier KML - bien que cette option soit proposée - depuis l'application payante (My Maps Location), le développeur me demande l'accès à mon site.
Je pense lui créer un nouveau compte administrateur en supprimant celui que j'utilise habituellement pour me connecter à la console administrateur.

Je me demande si "techniquement" une personne ayant accès une fois à l'espace administrateur - et après avoir fait une copie via Akeeba backup - peut réinstaller mon site chez lui ou le publier sur internet en utilisant une autre adresse de mon site.

Ou est ce que la réinstallation de mon site - si une personne malveillante possédait une sauvegarde via Akeeba Backup - était dans l'impossibilité de le réinstaller dans la mesure ou il ignore les différents champs nécessaires à l'installation et en lien avec le serveur ?


Je m'interroge à ce sujet dans la mesure où donner cet accès devait se renouveler dans l'avenir.
Je vous remercie à la fois pour la lecture de ma question ainsi que pour vos réponses.

[MICHEL DEDANS]

Bonjour,

Oui il est tout à fait possible que quelqu'un fasse un backup sur Akeeba et puisse le réinstaller ailleurs. Lors de l'installation d'Akeeba avec kickstart, on peut changer le mot de passe du compte administrateur.
Il faut donc faire confiance à ton prestataire. Et si jamais il y a une fuite d'information j'imagine que la justice peut t'aider.

[RobertG]

Bonjour,

C'est une question de confiance !
A partir du moment où on peut récupérer une sauvegarde d'un site, on peut en effet le réinstaller n'importe où, sur un autre serveur, avec les caractéristiques de ce nouveau serveur (et totalement indépendamment des caractéristiques du serveur d'origine). C'est le gros avantage de Joomla! par rapport à d'autres CMS : sauf si on a volontairement forcé des adresses complètes, toutes les adresses internes y sont relatives. Avantage : on peut travailler sur une copie en local ou sur un autre serveur que celui du site de production, et remplacer ensuite le site de production (pour une migration J3 vers J4 par exemple).

[gnosis]

Encore une fois, merci de votre réactivité, c'est hallucinant ! Merci.

Du coup, j'ai la copie d'un site réalisée sous Akeeba.
Cette copie a été faite alors que j'étais chez un autre hébergeur (OVH à l'époque).

Si je comprends ce que vous dites, sans me rappeler des mots de passes propres à OVH et réclamés lors de la réinstallation du site en lançant kickstart.php, je peux réinstaller cette copie chez mon nouvel hébergeur ?

Je ne vois pas comment je peux aboutir à l'installation sans ces mots de passes...

[MICHEL DEDANS]

Si tu as ton backup en .jpa, normalement, tu pourras réinstaller ton site oui !

[RobertG]

Je ne vois pas comment je peux aboutir à l'installation sans ces mots de passes...

Ce sont les informations d'accès à la base de données de l'hébergeur qu'il te faudra mettre, donc créer une base chez le nouvel hébergeur et enregistrer sur ton ordinateur ou sur un bout de papier les infos en question. Le reste ne changera pas, la procédure de restauration Akeeba conservera le reste, sauf si tu le modifies aussi, ce qui n'est pas utile à mon sens.

[gnosis]

Merci à à vous deux, Michel et Robert (en supposant que Robert soit ton prénom et non ton nom !)

Par le passé, je me suis déjà fait hacké mon site si bien que je suis (trop?) prudent aujourd'hui.

Voici une capture d'écran du site qui me réclame l'accès à mon site afin de créer le fichier KML qui contiendra tous les points de géolocalisation créés avec leur composant (My Maps Location).
Le bouton dédié dans cette extension ne fonctionne pas ; le fichier KML ne contient pas les infos. Bref.

Le site me paraît sérieux...
_ le nom du site contient "joom" de "joomla" (bien que cela ne veut pas dire grand chose),
_ c'est un site payant chez qui j'ai une licence,
_ j'ai fait apparaître la liste des extensions qu'ils proposent, je ne les connais pas mais cela semble sérieux...

Qu'en pensez-vous ?

[Eddy.vh]

Bonjour.

Pourquoi ne pas créer un compte administrateur avec uniquement accès à l'extension visée ?
J'ai fait un tuto pour BreezingForms mais le principe reste pareil pour toute extension.

Le tuto est ici, il reste à adapter à ton extension !

Bon weekend à toutes et tous.

[woluweb]

JoomUnited est super connu donc no stress.

[gnosis]

Merci de ta réponse Eddy,

Cela veut dire que je crée :

_ Un utilisateur pour accéder à la partie administrateur de Joomla (Super Administrateur)
_ Je crée un utilisateur pour le limiter à l'utilisation de l'extension sur laquelle je souhaite qu'il agisse

Il faudrait pouvoir lui interdire de créer un SuperAdministrateur (comme moi) qui peut tout faire, lui interdire de faire une sauvegarde de mon site en lui interdisant l'acces à Akeeba ...
... car en fait s'agit-il bien de cette dernière interdiction qui me protégerait d'une éventuelle copie de mon site (lui interdire l'acces à Akeeba)?

... Même s'il existe très probablement d'autres extensions permettant de faire une sauvegarde d'un site...


D'ailleurs n'est ce pas paradoxal de lui créer un Identifiant/mot de passe permettant d'accéder à l'espace administrateur (en tant que SuperAdministrateur) ET à la fois le restreindre à l'utilisation d'une seule et unique extension ?
Ou peut-on faire un seul nouvel utilisateur qui combine ce droit d'accès avec toutes les restrictions excepté l'utlisation d'une extension... Hum.

[RobertG]

Tu sais, il est peu probable qu'un développeur ait envie de voler un site, ça se saurait vite et il serait grillé.
Même si tu ne lui permets pas un accès à Akeeba, dans la mesure où il a probablement besoin d'un compte de super utilisateur, il pourrait installer un autre script.
Il aura peut-être aussi besoin d'accéder aux fichiers.
Ce qu'il faut faire, c'est désactiver son compte dès que tu sauras que son intervention a été efficace et qu'il n'a plus besoin d'accéder à l'administration.

Si les échanges entre lui et toi t'ont semblé normaux, fie-toi à ce que te dit woluweb.

[gnosis]

Merci encore,

Désolé, je n'avais pas lu le message de Woluweb, j'étais en train d'écrire mon nouveau message à ce moment !

Je vais leur faire confiance et vous faire confiance également !