Re: Accès à des documents par une URL non sécurisée: Spip est-il naturellement proté gé ?
Maïeul <[email protected]>
| Newsgroups | gmane.comp.web.spip.devel |
|---|---|
| Message-ID | <[email protected]> |
Le 29/06/2018 à 08:40, Hervé Le Dantec a écrit : > Bonjour, > > « CNIL : 75 000 euros d’amende pour une faille de sécurité, sans mise en > demeure préalable » > > > Après avoir lu cet article de NextImpact, en lien ci-dessous, où l’on > évoque notamment l’accès à des documents par une URL non sécurisée, je > me demandais si Spip est-il naturellement protégé ? > > > Dans cadre d’un site en https, bien entendu. > > > Vu le nombre de sites d’associations parmi les sites Spip et les > conséquences parfois mortelles de telles sanctions financières pour une > association, un éventuel guide « Sécurité et RGPD » sur Contrib serait > sans doute une bonne idée. > > > http://www.nextinpact.com/news/106793-cnil-75-000-euros-damende-pour-faille-securite-sans-mise-en-demeure-prealable.htm > > Cordialement, > > Hervé > Envoyé de mon iPhone > > Bah ca depend. Tu as plusieurs problèmes différents. 1. Classiquement dans SPIP tu met en ligne volontairement les documents. Si une association est assez bete pour mettre en ligne, en tant que document joint à un article, des documents confidentiels, c'est son problème. 2. Cependant, on pourrait concevoir de mettre des documents confidentiels pour par exemple un intranet, avec accès restreint. Dans ce cas, les documents sont protégés. 1. Si le .htacesss fonctionne 2. Si les zone sont bien configurés. 3. Si les mots de passes sont assez severes 4. Si par ailleurs il n'y pas de faille côté herbergeur lui-même 3. Un autre cas: l'envoi de document par CVt-upload+formidable : normalement c'est protégé sur un hebergeur standard qui permet au .htaccess de fonctionner. Mais bien sûr, cela dépend encore une fois de la protection hebergeur/des mots de passes choisi Mais globalement, SPIP est concu pour gérer du contenu editorial publique, pas pour faire de la gestion de donnée personnel (privé). Que ce soit en terme d'utilisabilité pour ces besoins ou de sécurité, c'est pas forcément le meilleur utile. Maïeul _______________________________________________ liste: http://listes.rezo.net/mailman/listinfo/spip-dev doc: http://www.spip.net/ dev: http://trac.rezo.net/trac/spip/ irc://irc.freenode.net/spip