Plus de balises html dans les messages

[Lauranna]

Détails techniques

Version du forum : phpBB2
Poste occupé : Membre
Navigateur(s) concerné(s) : Mozilla Firefox
Personnes concernées par le problème : Tous les utilisateurs
Problème apparu depuis : environ 2-3 jours
Lien du forum : https://under-the-moon.forumactif.com

Description du problème

Bonjour!

Je suis membre du forum sus mentionné, mais le problème s'est produit aussi sur d'autres. J'utilise un code de message, sous la forme suivante, pour les dialogues entre autre

Code:

<link href="https://cssheberge.pagesperso-orange.fr/forumsRP.css" rel="stylesheet" type="text/css"><p class="aly" title="" alt="">BLABLABLA

<aly>LES PAROLES DE MON PERSO</aly></p>

Il se trouve que il y a 2-3 jours, toutes mes balises <aly></aly> (et les autres, y a pas que celles là) étaient supprimées de mon code. C'est revenu, et là depuis ce matin rebelotte, sur plusieurs forums. Idem pour un code sous forme de

Code:

<style>le css du message</style>

<div class="RPMess">BLABLABLA</div>

Serait-ce du a une MAJ de forumactif? Que dois-je faire pour retrouver mes codes de messsages SVP?

[Lauranna]

Plus exactement, si la balise style n'est plus autorisée, comment puis-je garder mes codes de RP?

[Gaara du désert]

Bonjour,

J'ai le même souci, j'ai voulu éditer le journal de mon personnage et catastrophe, tous mes CSS importés sous la forme :

Code:

<link rel="stylesheet" href="adresse" />

Sont supprimés et rendent donc mon journal totalement inutilisable... J'espère que ça va vite rentrer dans l'ordre !

[Invité]

Hello les ami(e)s,

peut être cette mise à jour ? :

https://forum.forumactif.com/t403194-nouveau-protegez-le-html-dans-les-messages-de-vos-forums#3363016

a++

[Lauranna]

Bah j'ai cru comprendre que c'était une MAJ, oui, mais pour tous ceux qui utilise des codes personnalisés, c'est la CATA!

[Invité]

Bah, tu as étais voir dans ton P.A?

a++

[MasDan]

Bonjour Lauranna,

Une explication, pour les balises HTML non autorisés, ce trouve ici.

À noter, à votre PA, une solution vous est proposée pour permettre de laisser l’accès au HTML.

[Neptunia]

Bonjour ^^

Plus exactement, si la balise style n'est plus autorisée, comment puis-je garder mes codes de RP?

Si l'administration du forum concerné ne fait rien, vous pouvez toujours recourir aux balises lframe tant que celles ci sont encore autorisées.

[chattigre]

Ou demander à FA de ne pas considérer la balise style comme potentiellement dangereuse ^^
Je doute que la balise iframe soit autorisée ^^

[Luzz]

Bonjour,

Nous allons voir ce qu'on peut faire, mais pour le moment une modification immédiate de notre liste des balises HTML protégées nous pose problème.

S'il s'agit, comme vous le dite, d'un affichage catastrophique, vous pouvez, en attendant, autoriser l'utilisation du HTML non protégé sur votre forum (en toute connaissance du risque que ça représente). Mais une bonne solution serait de trouver rapidement une façon de fonctionner avec les codes HTML qui ne sont pas dangereuses pour vos forums.

Je doute que la balise iframe soit autorisée ^^

La balise iframe EST autorisée

[Lauranna]

style ou linkref, une membre se plaint du même pb: ses polices googlefont sont plus acceptées.

Et je ne suis pas admin sur ce forum.

[mSyx]

En toute honnêteté, cette mise à jour risque de tout faire foirer. Ça va également bien m'embêter. x_x

[Gaara du désert]

Bonjour,

Si je comprends le principe, la liste des balises autorisées me laisse perplexe : interdire les "style" empêche les membres d'intégrer leurs CSS dans le message, ils doivent donc passer par des "class" pour avoir le bon rendu ? Sachant que les "link" sont aussi interdites, comment est-on censés faire ?? Demander aux admin d'ajouter nos CSS personnels à ceux du forum ? Sachant que la page CSS est déjà limitée en taille, j'ai du mal à comprendre comment ce serait viable... Ou alors j'ai raté un épisode et les balises sus-citées sont utilisables ?

[mSyx]

Bonjour,

Si je comprends le principe, la liste des balises autorisées me laisse perplexe : interdire les "style" empêche les membres d'intégrer leurs CSS dans le message, ils doivent donc passer par des "class" pour avoir le bon rendu ? Sachant que les "link" sont aussi interdites, comment est-on censés faire ?? Demander aux admin d'ajouter nos CSS personnels à ceux du forum ? Sachant que la page CSS est déjà limitée en taille, j'ai du mal à comprendre comment ce serait viable... Ou alors j'ai raté un épisode et les balises sus-citées sont utilisables ?

Elles sont bien interdites, donc plus de CSS personnalisé. Le mieux à faire aurait été de pouvoir interdire des membres/groupes à y avoir recours plutôt que de faire les choses comme ça.

[The koch]

Bonjour,

Je lis dans l'annonce de la mise à jour que le propriétaire du forum a le choix de désactiver le HTML protégé pour tous les membres.

Par conséquent, il suffit de demander à l'équipe du ou des forums en question de changer ce paramètre dans le PA. Vous reviendrez alors au comportement initial qui accepte les balises citées.

[Gaara du désert]

Bonjour,

Nous l'avons bien compris, cependant les mise à jour étant censées améliorer les services et simplifier la vie des administrateurs, je ne pense pas qu'il soit très probant d'imposer de telles choses et de demander aux gens de les désactiver si elles ne plaisent pas/ne fonctionnent pas. À mon sens, il serait plus logique de faire le contraire en laissant la possibilité d'activer cette gestion du HTML de la même manière qu'il est possible ou non d'avoir un forum en https.

[mSyx]

Re,
À la limite, ouais: laisser cette option désactivée par défaut et laisser le choix aux administrateurs de l'activer ou non.. mais là.. erf.

[Mafdet Mahes]

Bonjour

Cette mise à jour fait en effet beaucoup de dégât d'affichage. En tant qu'admin j'ai donc coché la case qu'il faut pour que les membres de mon forum ne soient pas obligés d'abandonner leur modèle de fiches qui est souvent du chinois pour pas mal d'entre eux. (suffit de voir le nombre de fois où l'on me demande de "réparer un cade cassé par erreur")

Les membres des forum ne sont pas des experts en codages HTML / CSS, et moi-même je ne sais pas comment gérer si on retire la balise <style>. Il est impensable d’héberger les CSS de tout le monde sur la page dédiée à cela des forums. L'Iframe n'est pas une solution simple.

On perd aussi toutes les polices importées. J'en ai hébergée qq unes sur mon forum, mais juste celles liées à la "déco" du forum et 2-3 autres sympas, car c'est fastidieux.

Ma fiche bug sur un forum où je suis simple membre et où je me vois mal demander à l'admin d'aller bouger ses curseurs pour ma mise en page... C'est un forum qui utilise peu ou pas de fiche.

Vous demandez à ce que nous modifions nos codes sans nous donner la liste exhaustives des balises autorisées, sans donner des solutions pratiques pour remplacer ce qui n'est plus accepté.

Pour exemple ce code ci-dessous où je perds la police du titre et la rotation de l'image. Je ne sais pas faire en codage dit sécurisé. Je suis preneur si on m'indique la méthode.

Avant

Code:

<link href='http://fonts.googleapis.com/css?family=Teko' rel='stylesheet' type='text/css'><br><br><center><div style="width:90%; background-color:#8a8b8b;box-shadow: #c7cacd 0px 0px 2px; border: solid 1px #463723;"><img src="https://i.servimg.com/u/f58/14/34/47/24/jonath10.jpg" style="transform:rotate(5deg);margin-left: 65%;margin-top:-105px;border: solid 5px #292a2a; height: 150px; box-shadow: 1px 1px 5px #000;"/><div style="width: 90%; margin-top:-30px;background-color: #fff; color:#171818;text-align: justify;padding: 15px; font-family: verdana;box-shadow: inset 2px 2px 5px 0px #000;letter-spacing: 0pt;word-spacing:0.4pt;line-height:1.2";><br><div style="text-align: center;font-size:38px;font-family: 'Teko', sans-serif;text-shadow: 2px 2px 5px #4c5663;color:#2f1f09;border-bottom: 1px dotted #10346e;">TITRE.</div>
BLABLA

</div><br></div>
</center>

Après la moulinette imposée :

Code:

<center><div style="width:90%;background-color:#8a8b8b;border:solid 1px #463723;"><img src="https://i.servimg.com/u/f58/14/34/47/24/jonath10.jpg" style="margin-left:65%;margin-top:-105px;border:solid 5px #292a2a;height:150px;" alt="jonath10.jpg" /><div style="width:90%;margin-top:-30px;background-color:#fff;color:#171818;text-align:justify;padding:15px;font-family:verdana;letter-spacing:0pt;word-spacing:.4pt;line-height:1.2;"><br /><div style="text-align:center;font-size:38px;font-family:Teko, sans-serif;color:#2f1f09;border-bottom:1px dotted #10346e;">TITRE.</div>
BLABLA

</div><br /></div>
</center>

[Neptunia]

Après la moulinette imposée :

Code:

<center>...</center>

Feraient bien aussi d'interdire cette satanée balise <center> obsolète depuis le siècle dernier (1997) pour forcer les gens à coder proprement !

Les membres des forum ne sont pas des experts en codages HTML / CSS, et moi-même je ne sais pas comment gérer si on retire la balise <style>. Il est impensable d’héberger les CSS de tout le monde sur la page dédiée à cela des forums. L'Iframe n'est pas une solution simple.

Ils feront ce qu'ils ont toujours fait. Aller chercher leur code sur un forum les proposant en libre service. Nul doute que ces fofos vont commencer à produire des codes compatibles avec cette nouvelle sécurité.

[mSyx]

Les membres des forum ne sont pas des experts en codages HTML / CSS, et moi-même je ne sais pas comment gérer si on retire la balise <style>. Il est impensable d’héberger les CSS de tout le monde sur la page dédiée à cela des forums. L'Iframe n'est pas une solution simple.

Ils feront ce qu'ils ont toujours fait. Aller chercher leur code sur un forum les proposant en libre service. Nul doute que ces fofos vont commencer à produire des codes compatibles avec cette nouvelle sécurité.

Pour se retrouver avec des codes vingt fois plus long ? Mouais, non merci :b

[Mafdet Mahes]

@Neptunia

Feraient bien aussi d'interdire cette satanée balise <center> obsolète depuis le siècle dernier (1997) pour forcer les gens à coder proprement !

Ils feront ce qu'ils ont toujours fait. Aller chercher leur code sur un forum les proposant en libre service. Nul doute que ces fofos vont commencer à produire des codes compatibles avec cette nouvelle sécurité.

Méchant tacle pour ceux qui ne sont pas nés une souris à la main, qui n'ont jamais eu de cours de codage, ou qui ont appris, comme moi, en analysant les fiches des autres, car on a envie de pouvoir personnaliser ou créer sa fiche, parce que l'on trouve sur les libre service ne nous convient pas. C'est un peu comme si je me moquais de toi sur ton ignorance sur un point évident pour moi de mon métier scientifique très particulier.

"Coder proprement" ne s'apprend pas sur le tas. < center > te semble obsolète, pas à mes yeux de néophyte. Ta réponse est hautaine, non constructive avec le message subliminal suivant : si vous êtes trop nuls en codage, allez chercher ce qui ressemble à ce que vous souhaitez chez quelqu'un qui sait faire.

Tu te moques de mon < center >, mais ne me donnes pas de solution sur l'import de police ni sur la rotation de mon image. Ta réponse est élitiste, méprisante sur le fond.

Je conçois que l'on donne aux admins un outils pour sécuriser leur forum, mais sur les forum de RPG où beaucoup de monde "bricole" des fiches, l'option HTML sécurisé ne devrait pas être validé par défaut. Ce ne sont pas des forum commerciaux.

Laissez le choix aux admins d'activer ou non cette option en fonction de la nature de leur forum si cette précaution est importante ou non, au lieu de l'activer par défaut.
Faites une liste exhaustive de ce qui ne passe plus, pour qu'on puisse tenter de "réparer" ce qui peut l'être.
Merci de réviser votre politique d'application de cette mesure.

Code:

<bienveillance>.... </bienveillance>

[Neptunia]

Pour ma part, je ne suis pas née avec une souris dans la main (ça n'existait pas) et je n'ai jamais eu de cours de codage non plus, je suis autodidacte et fière de l'être.

Et comme nous n'avons pas élevé les cochons ensemble (pour ma part je n'en ai pas élevé du tout), je vous saurais gré de ne pas utiliser de familiarités tel que le tutoiement, merci.

Pour finir, ce n'est pas moi qui décrète l'obsolescence de telle ou telle balise, mais les standards du net -> MDN Web Docs

[Pinguino]

Bonjour,

Personne ne juge l'utilisation de certaines balises HTML. Un des principes de base de Forumactif est d'être accessible aux personnes sans aucune connaissance technique comme ceux ayant des compétences en la matière.

Je pense que tout le monde peut comprendre que cette modification est importante pour la sécurité de l'ensemble des forums. Si tel n'était pas le cas, l'équipe n'aurait pas passé du temps à travailler dessus. Certaines balises HTML représentent un risque pour l'ensemble de la communauté.

Dont malheureusement les balises <style> et <link> pour lesquelles l'équipe technique a étudié les possibilités sans trouver de solution pour les autoriser.

Lancer une option désactivée par défaut ne sert à rien ici, l'objectif étant de sécuriser le plus grand nombre de forums possibles. Il est donc important de partir sur une option plus restrictive de base.

Nous savons très bien que cette option va à l'encontre de certaines utilisations. Pas uniquement pour les forums RPG d'ailleurs, d'autres également sont impactés. Nous avons donc eu à cœur de proposer une solution (malgré le risque existant) afin de ne pas bloquer ces communautés en mettant en place une option qui permet à chaque forum de revenir à la situation initiale.

Alors oui, cela demande à l'admin d'aller dans son panneau d'administration et de cocher une case mais ce n'est pas non plus insurmontable par rapport au gain de sécurité pour le service. De plus, nous avons tenté de communiquer la modification le plus possible : annonce, tweet, post sur Facebook, push notification, visibilité dans le PA de chaque forum. Si nous ajoutons le retour des utilisateurs des forums aux modérateurs, je pense que les forums concernés vont rapidement réagir.

[mSyx]

Oy o/
On s'est retrouvés à en parler avec des admins de forums (RPG principalement) et beaucoup ont perdu leurs codes entre le moment où la mise à jour a été mise en place et celui où ils ont pu comprendre ce qui se passait. Pour ce genre de mise-à-jour, je pense qu'il serait préférable d'avertir un peu à l'avance pour éviter des mauvaises surprises :b

J'ai honnêtement encore un peu de mal à comprendre où du CSS peut poser un problème de sécurité. Les balises <script>, il me semble, étaient déjà interdites par défaut dans les messages (et tant mieux hein); du coup... je vois vraiment pas où est le principe de sécurité ici :l

[Mafdet Mahes]

Un des principes de base de Forumactif est d'être accessible aux personnes sans aucune connaissance technique comme ceux ayant des compétences en la matière.

Merci, je suis rassuré. J'ai eu un gros doute. Je comprends l'idée de sécurisation. Pour ma part, j'ai eu connaissance de la modif en cherchant à comprendre pourquoi les fiches des membres se mettaient à bugger, et en trouvant la réponse sur l'annonce de lundi en page admin où je ne vais pas chaque jour. Je ne fréquente pas les réseaux sociaux. Les forums de code en libre service vont mettre du temps à se mettre à jour. Cette option majeure de sécurité aurait pu être mise par défaut après un temps certain pour que les forums d'offre de codes puissent faire le ménage dans leur page et appelé à la vigilance.

@Neptunia  navré pour le tutoiement. Votre message étant rédigé en phrases impersonnelles, je n'avais pas idée du niveau de distanciation que vous attendiez de la part des gens que vous linchez, (généralement, cette attitude rapproche, comme les cochons). Je suis admiratif de votre brillance en autodidacte, moins sur votre relation avec ceux qui ont la malchance d'être moins doués que vous. Toutefois je sais que vous êtes souvent d'une bonne aide. Je garde ceci en mémoire.

[Neptunia]

Neptunia  navré pour le tutoiement. Votre message étant rédigé en phrases impersonnelles, je n'avais pas idée du niveau de distanciation que vous attendiez de la part des gens que vous linchez, (généralement, cette attitude rapproche, comme les cochons). Je suis admiratif de votre brillance en autodidacte, moins sur votre relation avec ceux qui ont la malchance d'être moins doués que vous. Toutefois je sais que vous êtes souvent d'une bonne aide. Je garde ceci en mémoire.

Généralement je ne m'arrête pas à ce genre de détail, qui est abordé de façon différente selon notre culture. Mais là j'ai dit stop parce que j'étais clairement visée alors que strictement rien dans mon parcours ne m'a aidée à avoir une certaine aisance avec l'outil informatique.

Si j'utilisais des phrases impersonnelles (de façon involontaire) j'imagine que c'est au contraire parce que je ne visais personne en particulier.
Certaines balises telles que <font> ou <center> deviennent obsolètes. D'autres comme <marquee> n'ont jamais été standard et ma remarque visait simplement à signaler que tant qu'à agir en terme de sécurité, ça n'aurait pas été un mal de rendre plus difficile l'accès à ces balises dont le comportement n'est pas garanti dans la durée au niveau des navigateurs.

Sur ce forum on voit régulièrement des administrateurs se plaindre que l'éditeur de message leur défigure le code de leur page d'accueil, mais dans la plupart des cas, c'est parce que l'éditeur tentait de corriger un code erroné dès le départ. Ma remarque sur la balise <center> allait dans ce sens. Même si cette balise ne présente aucun danger.

Tu [...] ne me donnes pas de solution sur l'import de police ni sur la rotation de mon image. Ta réponse est élitiste, méprisante sur le fond.

J'avais expliqué un peu plus haut que la balise iframe serait une solution sur les fofos dont l'administration laisserait la sécurité en place. Cette solution n'est ni élitiste, ni méprisante en quoi que ce soit.
En ajoutant malicieusement tant que les iframes seront autorisées, parce que de mon point de vue, s'il n'y avait qu'une seule balise risquée, ça serait bien celle-ci qui permet d'appeler toutes les autres balises.

[mSyx]

En ajoutant malicieusement tant que les iframes seront autorisées, parce que de mon point de vue, s'il n'y avait qu'une seule balise risquée, ça serait bien celle-ci qui permet d'appeler toutes les autres balises.

Les <style> et autres ne viendront pas altérer les éléments en dehors de l'iframe. Ça reste une pseudo-alternative, mais franchement pas top.

[Neptunia]

Pas top mais mieux que rien ...

[Pinguino]

Bonjour,

J'ai honnêtement encore un peu de mal à comprendre où du CSS peut poser un problème de sécurité. Les balises <script>, il me semble, étaient déjà interdites par défaut dans les messages (et tant mieux hein); du coup... je vois vraiment pas où est le principe de sécurité ici :l

Vous comprendrez facilement que notre objectif n'est pas de donner des détails sur comment détourner ces balises. Toutefois, voici un retour de l'équipe technique :

• La balise style peut servir à insérer du javascript si mal utilisée, mais uniquement sur certains navigateurs.
  
• La balise link quand à elle est encore plus permissive, et peut permettre d'insérer un peu ce que l'on veut si on en abuse.
  
• A partir du moment ou on peut insérer un script dans la page (même par un de ces moyens détournés), rien n’empêche celui qui l'a écrit de prendre le contrôle de la session de celui qui visite la page où il est appelé par exemple.
  

[Chacha]

Bonjour,

Merci d'en revenir strictement au sujet de ce topic en respectant les points de vue de chacun et en évitant toute polémique.

S'il y a des divergences de vues personnelles, celle-ci doivent se faire par MP et non sur ce forum public !

Je vous invite à lire :

- Règles générales du forum.
- Charte de ce forum.

Cordialement.