je viens de créer une nouvelle instance en 5r via notre sim de dev
La création de l’instance s’est bien passée. Par contre, je n’arrive pas à me connecter en designer => erreur 401.
J’ai cette erreur dans simplicite.log : 2023-09-25 16:58:08,385|SIMPLICITE|ERROR||http://dev-sim:10808/rhsocial|/rhsocial|ERROR|system|com.simplicite.webapp.servlets.OAuth2Servlet|doGet||Event: Unknown Simplicite OAuth2 code
com.simplicite.util.exceptions.AuthenticationException: Unknown Simplicite OAuth2 code
at com.simplicite.webapp.servlets.OAuth2Servlet.callback(OAuth2Servlet.java:385)
at com.simplicite.webapp.servlets.OAuth2Servlet.doGet(OAuth2Servlet.java:1120)
at javax.servlet.http.HttpServlet.service(HttpServlet.java:529)
j’ai vérifié en base, le user designer est bien créé et a le pwd bf3121a518f403c3bdd6ec1ddaf40743
C’est parce que l’instance est accédée en http://.
Suite à différents audits de sécurité le web.xml du template d’instance 5.3 a désormais une config sécurisée des cookies par défaut:
Jusqu’en 5.2 on livrait cette config en commentaires.
L’ideal est donc de travailler en https:// si c’est possible. Sinon il faut mettre en commentaire ce bloc <cookie-config> (ça peut s’automatiser via un hook du SIM)
Bonjour,
Dans l’attente de basculer en https, nous voudrions commenter de manière automatique le tag et tout ce qu’il y a dedans. Je suis novice en la matière mais j’ai écrit un script “crb-configure-cookie.sh” que je souhaite référencer dans le hook post-upgrade. Cependant, je bute sur le ciblage du tag et son remplacement par le même contenu entouré des balises :
####################################################################
Gestion de la configuration web.xml
Test CMO le 26/09/2023
Suite à différents audits de sécurité le web.xml du template d’instance 5.3 a désormais une config sécurisée des cookies par défaut (cf. Pb de connexion à nouvelle instance)
L’idéal est de travailler en HTTPS mais on peut aussi commenter le bloc
pour surcharger cette configuration sur une instance Simplicité:
sudo vi /home/nom_appli/tomcat/webapps/nom_appli/WEB-INF/web.xml
commenter le bloc
##############################################################
On fait un backup de la config actuelle
cp -rpn /home/$1/tomcat/webapps/$1/WEB-INF/web.xml /home/$1/tomcat/webapps/$1/WEB-INF/web.xml.backup
On commente la config des cookies
echo “Commentaire des lignes relative à la config des cookies”
sed -i ‘{$!{N;s/.*\n.allow.<cookie-config/>//;ty;P;D;:y}}’ tomcat/webapps/$1/WEB-INF/web.xml
exit 0
Cela dit, il serait vraiment préférable d’exposer vos instances en https://, par exemple avec un certificat gratuit LetsEncrypt (cf. https://letsencrypt.org/).
En effet:
les navigateurs modernes commencent à mettre des contraintes sur les sites en http://
utiliser https:// est désormais systématiquement une recommandation forte, voire une obligation, dans tous les audits de sécurité (notamment pour protéger le cookies de session d’une éventuelle interception pouvant conduire à une usurpation d’identité)
PS: Au sujet des recommandations de sécurité, il y a aussi d’autres points à regarder/adapter à vos cas d’usage dans le document suivant: security guidelines
Oui, on est actuellement sur une solution temporaire pour notre environnement de dev, en attendant de pouvoir voir avec les personnes concernées. Merci pour votre aide et les ressources désignées.
