[Problème] Captcha a disparu

[jmgroud]

Bonjour

Je travaille depuis "quelque temps" sur la migration d'un site vers Joomla 4. Pas toujours facile mais bon ! J'avance petit à petit.

J'ai eu l'occasion de tester différents Captcha pour ne plus prendre celui proposé par Joomla par défaut (le re-Captcha de Google). Par la suite, après ces tests et d'autres développements annexes, je me suis aperçu que le captcha par défaut avait disparu, pourtant :

Configuration globale / Site / Captcha par défaut : "CAPTCHA - reCAPTCHA"

Utilisateurs / Gestion / Paramètres / Utilisateurs : Paramètres généraux (CAPTCHA - reCAPTCHA)

Ce qui est bizarre, c'est que le "reCAPTCHA" s'affiche pour la création d'un utilisateur ainsi que pour l'envoi d'un formulaire de contact.

Il ne s'affiche plus uniquement lors du processus de connexion d'un utilisateur et la connexion reste possible comme si le captcha n'était pas actif à ce moment-là.
Le captcha s'affichait il y a quelques jours mais j'avoue qu'il y a eu tellement de modifications que je ne sais pas à partir de quand ce problème est arrivé.

Comment peut-on expliquer cette disparition uniquement sur le module de connexion ?

J'ai installé d'autres captcha pour vérifier si c'était associé uniquement au "reCAPTCHA", et j'ai le même problème.
J'imagine donc un soucis de paramétrage Joomla ou de template (j'utilise une base "Kraken" avec Gantry bien remis à jour pour Joomla 4).

Des idées ?
Merci d'avance pour vos retours.
Jean-Marie

[RobertG]

Bonjour,

Je n'ai aucune notion de captcha sur le formulaire de conneion en standard. Je ne vois aucun paramètre dans la gestion des utilisateurs ni dans le module et la page de connexion.
N'utilisais-tu pas une extension qui gérait ça ?

[jmgroud]

Bonjour RobertG

J'avais installé d'autres extensions captcha que j'ai désinstallé depuis. Je n'ai pas désactivé les plugins mais bien désinstallé les extensions.
Je n'ai pas installé d'extension spécifique qui modifierait le principe de prise en compte des captcha à différents endroits de Joomla, que ce soit pour la gestion des utilisateurs, des contacts, etc..

C'est en effet un problème très bizarre car rien n'indique cette différence de prise en compte entre la création d'un utilisateur (le captcha s'affiche) et la connexion d'un utilisateur (le captcha ne s'affiche pas), en tout cas pas à ma connaissance.
Ce qui est bizarre, c'est que tout fonctionne correctement :
- Lorsque le captcha s'affiche pour la création d'un utilisateur, je dois remplir le captcha sinon la validation du formulaire ne se fait pas.
- Lorsque le captcha ne s'affiche pas pour la connexion d'un utilisateur, l'identifiant et le mot de passe suffit à s'identifier.

Sauf si j'utilise un captcha invisible pour la connexion et un captcha visible pour la création ce qui signifierait pouvoir utiliser 2 captcha différents entre ces deux processus (et je ne vois pas comment ceci pourrait arriver), Joomla ou éventuellement le template n'arrive pas à créer le formulaire de connexion avec cette zone de sécurité, en tout cas c'est ce que j'imagine à mon niveau.

Je me demandais si je pouvais ré-installer l'extension "reCaptcha" apporté de base avec Joomla mais je n'ai pas trouvé l'extension à télécharger de façon indépendante. Je n'y crois pas trop car lorsque j'installe un autre captcha (une autre extension), je rencontre le même soucis.
Peut-être en réinstallant par dessus mon site existant une mise à jour de Joomla qui pourrait réinitialiser certains fichiers exécutables php ou de configuration. Il faudrait dans ce cas prendre une mise à jour la plus grande possible mais qui ne me fasse pas prendre de risque. Dois-je prendre une mise à jour 4.2.x vers 4.2.8 ou mieux une 4.x.x vers 4.2.8 ou autre ? Là, je ne sais pas trop.
Si vous maitrisez ce processus de mise jour, pensez-vous que cette opération pourrait remettre en place certaines choses ? et si oui, quelle version de mise à jour je devrais prendre ?

Merci d'avance pour vos retours.
Jean-Marie

Il y a forcément une explication quelque part...

[Eddy.vh]

Bonjour.

Comme Robert, je n'ai jamais entendu parler d'un système de captcha sur un formulaire de connexion. Quel en serait l'intérêt d'ailleurs ? Si le formulaire de création de compte est protégé par le Captcha, les comptes créés sont des personnes qui se sont enregistrées et seules ces personnes peuvent valider une connexion.

Bonne journée.

[woluweb]

Je crois qu'il a en tête ce que certains CDN font, càd temporiser (ou peut-être mettre un captcha) s'il y a suspicion que le trafic est suspect.
Exemple ici avec joomlashack.com :

[daneel]

Bonjour,

oui ça existe depuis longtemps !!

Il existe bon nombre de plugin tiers pour appliquer recaptcha au module de connexion.



L'intérêt initial est de protéger contre les tentatives de type "brute force".
C'est à dire la soumission en masse du formulaire de connexion. Ce qui n'est pas si bête !

Exemple avec AuthCaptcha pour Joomla 3 et Joomla 4 :
(fonctionne parfaitement avec les deux plugins recaptcha, y compris invisible.)

https://github.com/BkrBkr/AuthCaptchaForJoomla

archive à installer (n'oubliez pas d'activer le plugin après installation ) : https://github.com/BkrBkr/AuthCaptch...tags/1.0.3.zip

Ce plugin ne fait qu'ajouter le captcha au formulaire du module alors que celui-ci est déjà présent sur les pages
de création de compte, etc... Pas de paramètres supplémentaires, il fait le job !

[RobertG]

Bonjour,

C'est bien ce qu'on a dit : pas en standard, mais via une extension spécifique.

[daneel]

Bonjour,

C'est bien ce qu'on a dit : pas en standard, mais via une extension spécifique.

oui mais l'important c'est aussi d'expliquer le pourquoi.

On peut choisir le plugin de captcha depuis la configuration générale, ce qui le fait apparaître dans la création de compte, ceci
afin de lutter principalement contre les faux comptes ou les tentatives de mot de passe. C'est le coté natif sous joomla.

Le fait d'ajouter un captcha au formulaire d'authentification comme le propose le plugin spécifique AuthCaptcha, c'est aussi pour se protéger en plus contre les attaques brute force.

De mon avis, la création de faux comptes reste un vrai problème surtout avec l'usage de forum comme kunena donc un captcha peut sembler indispensable,
sauf que cela pénalise les véritables utilisateurs (sans compter la gestion du consentement lié au RGPD). Même invisible, le captcha a tendance à afficher la selection de recherche d'image comme challenge un peu trop souvent. Alors imaginez les difficultés dès la connexion...

Il faut donc faire la part des choses surtout que les attaques brute force peuvent être bloqués par d'autres moyens que le captcha, égalementau niveau serveur
ou des services commes ceux de Cloudflare ( Cloudflare protège plus de 30% des sites à travers le monde... une coupure de cloudflare et c'est internet qui HS... ).

De mon avis, le captcha invisible ou non reste un moyen mais il est loin d'être infaillible surtout qu'il vous rend dépendant de Google.
De préférence, n'hésitez pas à voir les alternatives de protection assez simple à mettre en oeuvre.

[jmgroud]

Bonjour à vous tous

Un grand merci à toutes les personnes ayant apportées leur "grain de sel" à ce sujet.
J'ai appris que Joomla n'affichait pas de base le captcha à la connexion, mais uniquement lors de la création d'un compte (et autre...) et qu'il fallait donc l'installation d'une autre extension pour ajouter cette fonctionnalité.
Je vais donc tester avec l'extension "AuthCaptcha" (ou autre s'il en existe d'autres non payantes...).

Concernant "Cloudflare" côté serveur, je vais me renseigner auprès de mon hébergeur (si c'est bien lui qui est censé s'en occuper et/ou me proposer ce service).
Si j'ai bien compris, il n' a pas d'extension Joomla mettant en place côté serveur cette protection "Cloudflare" ?

Encore un grand merci à vous tous.
Je vais essayer d'avancer et si tout revient dans l'ordre je mettrai mon sujet au statut "REGLE".

[daneel]

Si j'ai bien compris, il n' a pas d'extension Joomla mettant en place côté serveur cette protection "Cloudflare" ?

Non, c'est un service à la base qui agit au niveau des dns, c'est à dire qu'il est présent entre le navigateur client et le serveur.
Si votre hébergeur ne propose pas cette solution nativement, vous pouvez le faire en suivant la procédure d'inscription

https://www.cloudflare.com/fr-fr/

Mais ce n'est pas tout ! SharkyKZ a même intégré le captcha de cloudflare dans joomla en remplacement de recaptcha :

https://github.com/SharkyKZ/joomla-turnstile-plugin

[jmgroud]

Très bien daneel, merci pour ces informations.

[jmgroud]

Je reviens vers vous après mes tests avec l'extension "AuthCaptcha".

L'installation s'installe correctement et 'reCaptcha' fonctionne à la fois dans les formulaires prévus par Joomla et en plus dans les formulaires de connexion.
C'est très bien, mais malheureusement j'ai un message d'erreur lorsque j'active cette extension avec une autre extension que 'reCaptcha', par exemple 'keyCaptcha ou 'jGraphic Captcha Protection'). Tous ces Captcha fonctionnent dans les formulaires suivant la configuration de Joomla avec 'AuthCaptcha' désactivé.

Exemples avec 'jGraphic Captcha Protection'

Si je garde les 2 plugins captcha activés (reCaptcha + 'jGraphic Captcha Protection' avec 'reCaptcha' choisi dans les paramètres de Joomla.
0 Too few arguments to function PlgCaptchaJgraphiccaptchaprotection: onDisplay(), 0 passed in /homepages/27/d203673211/htdocs/felicite19-Joomla4/libraries/src/Plugin/CMSPlugin.php on line 279 and exactly 3 expected

Si je désactive le reCaptcha et que je choisis 'jGraphic Captcha Protection' en tant que Captcha par défaut dans les paramètres de Joomla, j'ai la même erreur.

Si j'active 'jGraphic Captcha Protection' et 'reCaptcha' avec 'reCaptcha' comme captcha par défaut

- Message d'erreur
- Le module de connexion ne fait apparaître aucun captcha
- Tous les autres formulaires font apparaître 'reCaptcha' comme prévu.

Si je désactive 'jGraphic Captcha Protection' et garde 'reCaptcha' activé avec 'reCaptcha' comme captcha par défaut

- L'erreur disparaît
- 'reCaptcha' réapparaît dans le module de connexion (normal car 'AuthCaptcha' est toujours activé)
- Les autres formulaires continuent de fonctionner comme prévu
DANS CETTE CONFIGURATION TOUT FONCTIONNE

Si je désactive 'jGraphic Captcha Protection' et garde 'reCaptcha' activé avec 'reCaptcha' comme captcha par défaut

Si j'arrive à bien comprendre ce fonctionnement, il y a un lien direct avec le module qui en fait, arrive à gérer le 'reCaptcha' mais les autres plugins...
Bizarre non ?