Intérêt du HTTPS - Page 1

flanker a souhaité poursuivre une discussion dérivée dans un nouveau sujet. La discussion initiale a eu lieu dans le sujet topics/150713-mises-a-jour-de-yaronet/92#post-2743 tandis que la discussion dérivée continue dans le sujet topics/188077-interet-du-https où les messages en rapport ont été copiés.

C'est déjà fait pour les pages d'authentification, pour le reste pas de raison de forcer une redirection vers https donc c'est pas prévu

Zeph (./2739) :
pour le reste pas de raison de forcer une redirection vers https

Comment ça ?

./2740 : OK je regarde dans la journée

./2741 : pour moi seules les pages qui demandent un mot de passe sont assez critiques pour interdire l'accès http, je veux laisser les utilisateurs choisir http ou https pour tout le reste ; on en parle dans un autre sujet si vous voulez, pas ici.

Mettre du HTTPS partout est utile pour que yN ne puisse pas être un vecteur d'attaque via du MITM, alors que le site lui-même n'est absolument pas intéressant. C'est quelque chose qui est régulièrement utilisé : un script JS est changé à la volée et la nouvelle version contient un piège.

Et, sur un plan totalement différent, Google référence moins bien le http que le https (c'est un choix qu'ils ont fait pour pousser le https).

oui, aussi

Zeph > quels avantages y a-t-il à rester en HTTP quand du HTTPS est dispo ?

Les seuls que je vois sont :
- ça demande moins de puissance de traitement côté serveur et client (mais est-ce que c'est vraiment significatif pour un site comme yN, avec les machines modernes ?)
- c'est plus compatible avec les vieux navigateurs (même question : y a-t-il vraiment des utilisateurs qui sont concernés maintenant que j'ai abandonné Firefox 2 ?)

Pour le reste, être en HTTPS est avantageux du point de vue sécurité : outre ce qu'a dit Flan, ça permet aussi d'éviter qu'on puisse intercepter tes messages privés, par exemple.
D'ailleurs, la tendance sur le web est à la généralisation du HTTPS partout.

Je suis conscient des avantages de HTTPS, et l'intégralité du site est accessible en HTTPS donc pas de souci à ce niveau : vous pouvez d'ors et déjà utiliser exclusivement des URLs en HTTPS (et je pourrai ajouter une option dans le profil pour forcer une redirection automatique si vous voulez vraiment être sûrs de ne plus utiliser la version HTTP).

Mais la question n'est pas de savoir ce qu'apporte HTTPS par rapport à HTTP ou l'inverse, on parle ici d'interdire l'accès en HTTP au site pour tout le monde. Pour le moment je n'ai pas d'argument en faveur de cette limitation à part celui de Nil sur le référencement.

Présenté comme ça, c'est vrai que c'est gênant d'empêcher quelqu'un qui veut délibérément utiliser du HTTP de le faire.

Le truc c'est plutôt d'éviter que quelqu'un qui ne fasse pas attention (ou qui ne maîtrise pas ces questions) utilise la version HTTP, alors qu'il pourrait avoir une meilleure sécurité en utilisant la version HTTPS.

Je vois une solution possible, mais un peu bancale : la première fois qu'on visite le site via une URL HTTP, on aurait une page qui indique qu'on va être redirigé automatiquement vers la version HTTPS dans 5 secondes, avec deux liens : "passer en HTTPS" (pour ne pas avoir à attendre la fin du délai) et "rester en HTTP". Le choix serait mémorisé dans un cookie.

Ça me semble beaucoup plus compliqué que la solution d'une option dans le profil. J'y vois l'avantage qu'on peut avoir le mode "forcer HTTPS" activé ou non selon le navigateurs ; ça peut être utile pour les gens qui ont des scripts qui ne sont pas prévus pour fonctionner en HTTPS mais veulent quand même forcer la version HTTPS depuis leur navigateur principal (et encore, selon comment est implémentée la redirection ils pourraient la suivre et ça casserait tout). Ceci dit ça me semble assez marginal et l'option globale par profil serait quand même à la fois plus simple à implémenter et moins confuse pour les utilisateurs.

Je pensais plutôt à ça pour les utilisateurs non logués ; pour ceux logués, je suis d'accord qu'une option de profil est la meilleure solution (mais je croyais que Folco t'avais dégoûté à vie de ce machin ? )

Zerosquare > et on appellerait ça HSTS ?

./12 : Ah non, je refuse surtout les options de profil qui ont un effet sur l'interface, parce qu'il n'y a pour le moment pas moyen de les implémenter sans avoir des dépendances trop fortes entre l'interface et le modèle de données, que je trouve par ailleurs raisonnablement limitées. Quand j'aurai le temps de m'attaquer à ça et revoir les options déjà existantes (choix de police et masquer les avatars) ça ne posera plus vraiment de problème. Mais ici c'est une option qui n'a rien à voir avec l'interface donc pas de problème

./13 : sauf que HSTS ne laisse aucun choix, après avoir suivi une URL HTTPS (même par erreur) c'est vraiment la plaie pour repasser en HTTP :/

Zeph > OK

Flan > je ne connaissais pas

(Merci d'avoir demandé, j'osais même plus )

(Boah, faut pas avoir peur, il y a plein de choses qu'on ne sait pas ^^)

Zeph (./14) :
Quand j'aurai le temps de m'attaquer à ça et revoir les options déjà existantes (choix de police et masquer les avatars)

Tu veux virer ces merveilleuses options ?

Non au contraire j'aimerais en ajouter d'autres comme par exemple la possibilité de cacher le logo du site pour rendre le bandeau plus discret

Tu cherches à planquer Boo sous le tapis, avoue

(ça ne pourrait pas être gérée par une skin spécifique, genre une qui ferait ressembler yN à un document bureautique ? ^^)

Une skin excel aussi serait bien! XD

quelle merveilleuse idée

(y'a un mode comme ça sur nextinpact)

Vous me fournissez la CSS ?

Je te dirais bien de demander à Ximoon, mais un Excel orange et bleu, ça risquerait de paraître suspect ^^

(Sinon on peut déjà ouvrir des pages dans les IDE ##trifflote##)

Boah, il suffit comme moi de dire que c'est un site où on peut poser des questions techniques

Avec le https c'est plus crédible, oué