Site en maintenance suite à la grosse faille PHP

[Alendir]

Sinon voilà ce qu'il faudra faire de votre part une fois le site en ligne : du TEST :
Dépôt et modification d’un livre, validation (pour les modos), délégation (créer un compte, demander la publication de sa première oeuvre et au passage tester le système de séries), commentaires et abonnements automatiques des auteurs, signalements, recherche et téléchargements.

[Sisyphe]

Oui, nous testerons tout! Je voulais précisément retélécharger une version corrigée de mes AVH, alors c'est parfait. J'appuierai sur tous les boutons pour vérifier que ça fonctionne. Mais... euh... les signalements... ça veut dire qu'il faudra signaler les livres de quelqu'un pour faire le test? Je vais signaler ceux de Grattepapier pour l'empêcher de gagner encore les prochains Yaz...

[PetitPeyre]

J'ignore en particulier ce qu'impliquerait le fait de laisser le site ouvert malgré les risques de piratage. Nous ne téléchargeons pas de données confidentielles sur Littéraction et les AVH sont déjà en accès libre. J'imagine cependant qu'une faille de sécurité pourrait laisser un hackeur s'introduire dans l'architecture du site et la bousiller, ce qui rendrait ensuite sa récupération et sa migration compromises. Si c'est le cas, évidemment, il vaut mieux laisser le site en maintenance quelque temps, même si, pour le reste, il n'y a pas grand-chose à dérober, je suppose.

détrompe toi ! il y a quelque chose de très précieux pour les hackers : l'association email/mdp
alors oui, les mdp sont hachés[1], mais comme la plupart des internautes sont des grosses faignasses inconscients des implications d'avoir le même mdp sur plusieurs sites, bin ils ont le même mdp sur plein de sites. et pour peu qu'il soit trop simple[2] il peut se faire péter d'un petit coup de rainbow table[3]. enfin... je dis ça, je dis rien, je suis pas là pour donner un cours de piratage.

après, pour la refonte du site, il y a 2 écoles :

1. a l'ancienne, tout a-la-mano (avec les outils/framework modernes, pas tout codé from scratch comme en 1850 non plus 😉)
   
2. utiliser un service offrant (offrant... façon de parler 🙄) de construite un site à base de templates customisables
   

dans mon jeune temps j'aurais foncé tête baissée dans le "1" :  j'étais un jeune chien fougueux et les options "2" étaient pour le moins... frustres. mais le temps à passé, je ne souffre plus (enfin... plus trop 😁) du syndrome NIH[5] comme disait mon chef d'alors, et ma vie est maintenant pleine de choses hors informatique. et les options "2" sont devenu bien plus puissantes. maintenant je choisirais donc une option "2".

alors certes, c'est un peut plus cher qu'un simple hébergement (OVH, autre), et on peut moins tuner tout au quart de poil de cul près. mais on peut faire évoluer plus facilement et c'est pas à nous de gérer les maj, migrations,  backup, patch de sécurité, etc.

j'ai pas d'exemple (récent) en tête, il faut que je me rencarde sur les dernières nouveautés. mais si l'idée intéresse du monde je peux regarder. même si c'est pour dire non à la fin.

---

TL;DR
Too Long, Didn't Read : version courte des explications pour ceux qui n'ont pas le temps (ou la motivation) de lire l'explication complète en lien.

[1] transformé de manière non réversible 
[2] trop court, ou un mot du dictionnaire même transformé en leet[4], etc.
[3] fichier géant contenant les version hachées de millions de mdp pour remonter de la version hachée au mdp.
[4] manière d'écrire password  p@$$w0rd
[5] c'est pas moi qui l'ai fait donc c'est nul

[PetitPeyre]

pour ceux intéressés par la partie technique de la faille php (en anglais)
https://www.php2shell.com/