Permissions utilisateur

[Nick Rivers]

Bonjour,  

Problème à priori simple mais je préfère demander confirmation et vérifier que je n'ai rien oublié.

Un membre du forum a posté une capture d'écran d'un message posté dans le forum des Administrateurs. Ce membre n'a pas les permissions requises pour voir/lire/écrire/répondre dans ce forum.

Voici les paramètres du forum Administrateur :



Le membre en question ne fait bien sûr pas partie des administrateurs du forum. En outre voici ses permissions particulières :



J'ai vérifié dans le panneau de sécurité, il n'y a pas eu de modification des permissions de ce membre ou du forum administrateur depuis la date du message capturé.

Mes deux questions sont donc :

Ai-je oublié de vérifier un paramètre ?
Est-ce que cette capture peut avoir été prise par quelqu'un d'autre qu'un administrateur ?

Merci.

[Chacha]

Bonjour et Bienvenue sur le Forum des Forums Forumactif Vu que vous êtes nouveau, voici quelques sujets importants : Sécurité : mail de fondation - Ce qu'il ne faut pas faire Questions/Réponses fréquentes - Listing Trucs et astuces - Listing La fonction Rechercher La FAQ de Forumactif.com N'hésitez pas à ouvrir un nouveau sujet si vous ne trouvez pas votre réponse

Ai-je oublié de vérifier un paramètre ?

Bonjour,

Par acquis de conscience, vérifiez dans la gestion des groupes que ce membre ne figure pas dans celui des "administrateurs avec la couronne" :

Est-ce que cette capture peut avoir été prise par quelqu'un d'autre qu'un administrateur ?

Absolument pas, seuls les administrateurs ont accès au panneau d'administration.

Conseillez donc par précaution aux autres administrateurs de modifier leur mot de passe et adresse e-mail.


Cordialement.

[Nick Rivers]

Par acquis de conscience, vérifiez dans la gestion des groupes que ce membre ne figure pas dans celui des "administrateurs avec la couronne" :

J'ai re-vérifié, il n'y figure pas.

Est-ce que cette capture peut avoir été prise par quelqu'un d'autre qu'un administrateur ?

Absolument pas, seuls les administrateurs ont accès au panneau d'administration.

Conseillez donc par précaution aux autres administrateurs de modifier leur mot de passe et adresse e-mail.

Merci. Je voulais avoir confirmation de cela.

Bonne journée.

[Chacha]

Bonjour, Le topic est replacé à la demande de l'auteur du sujet. A bientôt sur ForumActif

[Nick Rivers]

Thx


Donc suite à mon dernier post, les admins ont vérifié leur compte mail et changé leur mdp.

J'ai questionné le posteur de la capture en MP, ce à quoi il m'a répondu :

Vu ton faible niveau en informatique, je te certifie qu'il est possible de se connecter avec un compte admin sans trop se fatiguer!
Plus marrant, si j'ai eu du mal à me connecter avec un compte quasi inactif (celui de ***) c'est très facile de se greffer sur un compte déjà identifié!
Cerise sur le gâteau, on peut même lire les MPs!

"se greffer sur un compte déjà identifié" signifie quoi ? Qu'il se connecte sans avoir besoin des identifiants/mdp ? Avec un identifiant de session dans l'url ? Mais je n'en vois aucun lorsque je me connecte. En ayant récupéré un cookie de session ?
Tout cela me parait un peu gros et je trouve que ça sent le bluf, qu'en pensez vous ?

Sinon j'imagine qu'il n'y a pas moyen de connaitre les IP avec lesquelles un compte s'est connecté sans poster ?

Cordialement.

[Chacha]

Re,

La seule possibilité de se connecter au panneau d'administration, c'est de connaître les identifiants d'un administrateur.

"se greffer sur un compte déjà identifié" signifie quoi ? Qu'il se connecte sans avoir besoin des identifiants/mdp ? Avec un identifiant de session dans l'url ?

Si un administrateur s'est connecté au panneau d'administration depuis un PC accessible au public, (genre Cyber café, ou même de chez lui), sans cliquer sur "Déconnexion", la session admin reste ouverte, si quelqu'un passe derrière lui, il pourrait avoir accès au PA.

Je vous conseille de lire (et faire lire aux autres administrateurs), ce qui suit :

Points importants, à lire impérativement : Les sujets importants traitant de la fondation et de la sécurité de votre forum.

• L'importance de garder l'email de fondation secret !
  Pour des raisons de sécurité, l'email de fondation doit être gardé secret. La plupart des "piratages" connus sur nos forums se font grâce à l'adresse email de fondation. Si cette adresse reste inconnue, vous diminuerez fortement les risques.
  
  
• SÉCURITÉ : Ce que vous ne devez jamais faire!
  Tous ce que vous ne devez jamais faire si vous souhaitez que votre forum soit le plus sûr possible : ne jamais donner sa clé de session, ne pas utiliser de serveur proxy public, ne pas donner son mot de passe, etc.
  
  
• J'ai reçu un email de Forumactif, est-ce vrai ?
  Forumactif peut être amené à vous envoyer un email dans différents cas, résumés par ce sujet. En aucun cas votre mot de passe ne vous sera demandé par Forumactif. Vous êtes donc invités à ne pas répondre à cet email, si vous en recevez-un.
  
  
• Phishing et emails malveillants.

Tout cela me parait un peu gros et je trouve que ça sent le bluf, qu'en pensez vous ?

C'est possible, mais mieux vaut être prudent.

Sinon j'imagine qu'il n'y a pas moyen de connaitre les IP avec lesquelles un compte s'est connecté sans poster ?

Non cela n'est pas possible, sauf en pouvant vérifier dans le "Qui Est En ligne" au moment précis où cela se passe.


Cordialement.

[Nick Rivers]

Si un administrateur s'est connecté au panneau d'administration depuis un PC accessible au public, (genre Cyber café, ou même de chez lui), sans cliquer sur "Déconnexion", la session admin reste ouverte, si quelqu'un passe derrière lui, il pourrait avoir accès au PA.

Chacun poste de son PC à domicile et les distances géographiques sont suffisamment grandes pour éliminer une utilisation directe du PC.

Je vous conseille de lire (et faire lire aux autres administrateurs), ce qui suit :
(...)

Je connais et j'ai lu tout cela ; je vais le faire suivre aux autres admins.  


Merci en tout cas pour les réponses. Je vais attendre un chouïa avant de mettre en résolu si vous le permettez.

[Nick Rivers]

Ce coup-ci je ne vous embête plus. Du moins pour ce sujet.  

Merci en tout cas.