est-ce important ? ou pas ?

[cpatrist2]

Bonjour,

je ne sais pas si cela est important mais depuis les derniers changements
je n'ai plus de time-out sur ma connexion.

je peux rester connecté toute la journée même si je suis inactif.

Seul la fermeture du navigateur me déconnecte. (et bien sûr aussi le bouton "déconnexion")


pat.

[Lionel Palazzi]

J'en ai eu assez de cette demi heure de connection (sauf sur la page de rédaction de message ou la demie heure se rallonge toute les minutes..)
Je suis passé à 24 (ou 36h) je ne sais plus. A la base c'était pour tester, et j'ai un peu oublié de l'enlever...

En théorie, il existe un risque mais je vais bientot l'éliminer. Je connais la technique.
Le risque est qu'un site mal intentionné, se serve du fait que votre session est ouverte et ai développé un programme
pour vous faire executer des commandes dans votre compte cybermailing. Encore faut il que ce site existe et que
vous le visitiez !

Le risque existait avant, et existe sur de nombreux sites, sauf qu'au bout d'une demi heure, vous êtes déconnécté automatiquement,
ce qui limite le risque de tomber sur cet éventuel site pirate.

Nous ne sommes pas si gros, et l'intérêt de l'opération est limitée.

Pour ne courrir aucun risque, quand vous quittez, déconnectez vous.
Ce doit être un réflèxe et ce conseil est valable pour tout site !

De toute façon, je devrais avoir implémenté la parade d'ici une semaine ou 2.
peut être même d'ici quelques jours seulement.
Je le ferai savoir ici.

[Lionel Palazzi]

J'ai remis tout cela au clair avec un très bon niveau de sécurité.

Les sessions durent 10 heures. Si vous cliquez ou rafraichissez, la fin de la session est repoussée de 10h de plus.

Pour empêcher toute forme d'exploitation malveillante (comme décrit dans mon message plus haut), un système de jetons est utilisé.
Ainsi seul l'accès normal à l'interface peut permettre de lire ou d'écrire des données.
Un site qui tenterait de vous faire exécuter des commandes via des appels ajax pour exploiter le fait que votre session est toujours ouverte
n'y parviendrait pas car il n'aurait pas le bon jeton.

J'espère avoir bien mis des jetons partout, mais si ce n'était pas le cas, prevenez moi en me décrivant la situation et je les ajouterai
rapidement.