Site en maintenance suite à la grosse faille PHP

[Alendir]

Bonjour,

Bien qu'ayant fait une sauvegarde hier de la base de données et des fichiers au cas où le site se ferait piraté et perdrait du contenu, j'ai décidé de mettre en maintenance le site pour le moment. Il n'est même pas certain que cela le protège ceci dit... Comme vous avez pu le voir hier sur d'autres sites, des grosses failles dans le langage PHP ont été découverts et des correctifs ont été mis en place sur la plupart des sites Internet : 
https://www.lemonde.fr/pixels/article/20...08996.html

Cela ne peut se faire sur litteraction car sa version de PHP et son socle technique en général (CMS basé sur PHP) est trop ancienne : le site approche de ses 15 ans ! C'est pourquoi j'avais tâté le terrain pour une refonte il y a quelques années...
La seule option safe que je vois est d'auditer le code existant pour vérifier qu'il n'est pas déjà piraté puis faire une migration (donc une refonte : nouveaux fichiers source et base de données) vers une version à jour du CMS et de PHP. La seule bonne nouvelle est qu'avec les IA sera pourrait être plus rapide que plusieurs jours temps plein comme auparavant.

J'ouvre un sondage pour les différentes options même si j'en vois pas des masses d'acceptables ^^

[Alendir]

Ajout : A priori le site n'a pas été piraté : même si même le mode "maintenance" du CMS n'est pas forcément totalement sécurisé au moins les données sont safe et le code source n'est pas abimé pour une migration

[grattepapier]

@Alendir, merci beaucoup pour ta vigilance et ton post ! Cela tombe mal car le Yaz approche (début des votes début janvier). La bonne nouvelle c'est qu’il y a plein de personnes sur RDV1 (elles se reconnaitront...) qui ont des solides connaissances en informatique, et qu'effectivement avec l’IA le développement peut aller très vite. Il faut surtout bien dresser le cahier des charges, puis c'est la machine qui fera tout le développement, et qui nous sollicitera pour faire quelques arbitrages. A voir comment on s'organise : qui fait quoi et qui paie quoi. Je reste disponible pour ce projet si cela peut aider.

[Alendir]

Bof pas besoin de faire un cahier des charges, on a le site existant, je peux extraire ses règles mieux qu'une documentation à la main qui serait incomplète.
Après si vous voulez des nouvelles fonctionnalités enoyvez, pour le moment la seule différence que j'ai en tête c'est d'enlever des fonctionnalités inutiles, en l'occurrence les projets d'aventures qui ne sont plus utilisés et polluent la base. Mais hésitez pas à proposer de supprimer des fonctionnalités ou des pages, c'est le moment de faire le ménage !
Le coût en IA d'une migration est quand même assez élevé mais j'ai un gros forfait donc je vais en arbitrer une partie pour littéraction.

[linflas]

On a 200 sites arrêtés chez nous à cause de cette faille, ça patch de partout pour réparer, mais c'était une grosse nuit pour nos devs !

Concernant Litteraction, passer sur du Next.js ou Vue.js serait une bonne alternative (et en profiter pour refaire un peu le look / l'ergonomie aussi).

EDIT: je pensais aussi à MyBB qui est le moteur de ce forum, il y a aussi une mise à jour à prévoir ?

[Sisyphe]

Comme tout le monde pour l'instant, j'ai voté pour la refonte, mais je n'ai guère de compétences en informatique et la décision la plus éclairée ne peut qu'être prise par ceux qui ont une véritable compréhension des enjeux.

J'ignore en particulier ce qu'impliquerait le fait de laisser le site ouvert malgré les risques de piratage. Nous ne téléchargeons pas de données confidentielles sur Littéraction et les AVH sont déjà en accès libre. J'imagine cependant qu'une faille de sécurité pourrait laisser un hackeur s'introduire dans l'architecture du site et la bousiller, ce qui rendrait ensuite sa récupération et sa migration compromises. Si c'est le cas, évidemment, il vaut mieux laisser le site en maintenance quelque temps, même si, pour le reste, il n'y a pas grand-chose à dérober, je suppose.

Dès lors que l'opération représente un coût financier, il va de soi que la communauté se mobilisera. Mais je subodore que le coût se comptera d'abord et avant tout en temps de travail. Merci d'ores et déjà à l'administrateur du site, ne serait-ce que pour les soucis déjà accumulés.

Concrètement, que pouvons-nous ou devons-nous faire dans l'immédiat pour permettre à la migration de se faire dès que la chose sera possible? Ce serait vraiment dommage de devoir renoncer au Yaz de cette année. Nous n'avons pas de chance: l'échéance tombe assez mal pour nous.

En ce qui concerne la refonte, de mon point de vue, le site remplissait parfaitement sa fonction. Je dirais personnellement que la priorité est juste de récupérer ce dont nous profitions déjà avec bonheur.

[Alendir]

Linflas (les citations marchent plus?) => En vrai le site a assez peu de trucs dynamique en front, je vois pas trop ce qu'apporterait un framework front (ça serait intéressant pour des AVH lisibles directement en ligne dans des pages web, avec gestion auto de l'inventaire etc). La problématique est surtout la migration de la base de données et y'a pas de base de données dans des techno front
Là le seul moyen simple de migrer les données est de partir de la base drupal 7 et de la transformer en base drupal 11 (des modules existent pour ça) donc le CMS sera à jour (mais le code source est à refaire car la manière de coder n'est plus la même, après y'avait pas grand-chose) et PHP aussi

[Alendir]

J'ignore en particulier ce qu'impliquerait le fait de laisser le site ouvert malgré les risques de piratage. Nous ne téléchargeons pas de données confidentielles sur Littéraction et les AVH sont déjà en accès libre. J'imagine cependant qu'une faille de sécurité pourrait laisser un hackeur s'introduire dans l'architecture du site et la bousiller, ce qui rendrait ensuite sa récupération et sa migration compromises.  
=> Risque de vol de vos données personnelles type mail, mais sinon pas trop de risquse en dehors de perdre le site oui, c'est pourquoi je n'ai pas exclu l'option. Mais psychologiquement, c'est se dire qu'à tout moment le site peut se casser et qu'il faut avoir des backup très fréquentes, les garder longtemps etc et qu'un jour ou l'autre le problème arrivera et pas forcément à un moment idéal pour refaire un site (vacances...). Risque de réputation dans les moteurs de recherche aussi si le site est verolé

[Alendir]

Le seul coût sera mon temps a priori car je vais essayer d'utiliser mon surplus d'abonnement IA dessus (j'ai toujours éviter les projets de migrations qui sont ultra chiants et je ne vais pas commencer maintenant alors que je n'utilise plus le site depuis 10 ans ). Le serveur restera la même je pense (faut que je vérifie sa puissance vu qu'on upgrade le site web), je vais juste le reset pour repartir sur de bonnes bases
Mais c'est le moment, même si on pourra en parler plus tard, de dire s'il y a des choses à supprimer du site ou au contraire une feature qui tue qui manquerait

[Sisyphe]

Merci pour ces précisions, Alendir (et pour tout le reste également, ça va de soi, d'autant que tu n'utilises plus Littéraction). Si le reset suffit, ce serait une bonne chose.

En ce qui concerne la réputation du site s'il est vérolé, cela pourrait vite devenir une difficulté. SFR bloquait déjà l'accès à Littéraction, peut-être pour de mauvaises raisons, mais sans doute malgré tout aussi en raison de sa vétusté.

[grattepapier]

Après si vous voulez des nouvelles fonctionnalités envoyez, pour le moment la seule différence que j'ai en tête c'est d'enlever des fonctionnalités inutiles, en l'occurrence les projets d'aventures qui ne sont plus utilisés et polluent la base. Mais hésitez pas à proposer de supprimer des fonctionnalités ou des pages, c'est le moment de faire le ménage !

Mais c'est le moment, même si on pourra en parler plus tard, de dire s'il y a des choses à supprimer du site ou au contraire une feature qui tue qui manquerait

effectivement, en profiter pour supprimer les projets d'aventures, c'est une bonne idée....

Pour les fonctionnalités à rajouter je n'en vois pas, mais en termes d'UI/UX, peut être rendre plus accessible/directe/évidente l'accès à la recherche d'AVH (où l'on peut faire des recherches par genre par exemple) ?

... car là il faut aller se promener dans le menu, alors qu'à mon avis, 99% des utilisateurs ne viennent ici que pour rechercher et télécharger.

Donc avoir une grosse barre de recherche en page d'accueil avec possibilité de sélectionner des tags (par exemple sur le genre : SF, fantasy, historique, fantastique, humour... + la longueur en nombre de paragraphes : 50 ou -, 51 à 200, + de 200 par exemples) pour avoir accès à une préselection ce ne serait pas absurde...

[Sisyphe]

peut être rendre plus accessible/directe/évidente l'accès à la recherche d'AVH

Oui, je me souviens que lors de ma première connexion à Littéraction, j'avais mis un peu de temps à comprendre où se trouvaient les AVH à télécharger et je me demandais même si c'était bien le site qui permettait de le faire.

Bon, ce n'est pas très grave non plus, parce que les internautes qui viennent là n'y tombent pas normalement par hasard. Mais, si ça ne complique pas le travail de redémarrage du site, ce serait peut-être bien en effet de mettre davantage en valeur dès la page d'accueil l'accès aux AVH.

[Alendir]

grattepapier : oui le menu est mauvais, et le chemin pour créer un compte n'est pas évident non plus !! Au moins seuls les motivés y arrivent lol

[linflas]

Il faut vraiment le simplifier en effet. Le bandeau de news est inutile (et jamais à jour).
Juste aller sur la page de recherche "Toutes les aventures" suffit.

[Alendir]

Comment ça jamais à jour ? Que font mes esclaves ? Tu exagères je vois quand même une news qui date d'août
En vrai je pense supprimer la colonne de gauche mais du coup y'aura plus que ce block slider qui parlera d'actualités dans la homepage
Mais c'est vrai que ça peut mettre trop en valeur les news par rapport aux AVH