La sortie de Dotclear 1.2.7 était motivée par la correction d'un vilain CSRF et quelques XSS publiées à la sauvage début juillet. Si les XSS sont relativement simple à maîtriser dans ma configuration, le CSRF visant l'interface d'administration se montrait un peu plus épineux à écarter sans toucher au code. Pour comprendre pourquoi, je vous recommande la lecture de l'excellent article écrit par Renaud Feil et Louis Nyffenegger pour le dernier SSTIC. Une mise à jour s'imposait donc.

Grosso modo, pour régler le problème, les auteurs ont ajouté un cookie aléatoire à toute les requêtes d'administration. Résultat : quasiment tous les plugins doivent faire l'objet d'une mise à jour sous peine de voir chaque opération finir en eau de boudin au son cryptique mais à présent classique de :

Precondition failed

C'est exactement ce que certains d'entre vous ont pu constater pendant que je jouais avec le plugin Dotmap supposé compatible avec cette nouvelle version et qui, pour une raison que j'ignore, a mis en l'air la soumission des commentaires jusqu'à ce matin. Désolé.

Heureusement, pas mal de contributeurs s'y sont collés, ce qui a rendu la transition rapide. Pour le reste, il a fallu mettre les mains dans le cambouis pour les faire fonctionner, sinon sauver les fonctions d'administration essentielles. Ce fut le cas de Météo et dcSOAPCulture en particulier. Il faut encore que je me colle à Spamclear, qui remplit bien sa tâche de filtrage des commentaires, mais dont pas mal de fonctions d'administration restent bloquées. Ennuyeux, n'est-ce pas ? Ou alors attendre que son auteur le mette à jour. Quoi qu'il en soit, j'ai mis en ligne les modifications que j'ai faites sous forme de patches.

Globalement, la mise à jour s'est faite dans une relative simplicité, demandant tout de même un peu de retroussage de manches. La seule méthode conseillée étant le remplacement pur et simple de l'ancienne installation par une nouvelle toute fraiche et de rapporter une à une toutes les modifications qui auraient pû être faites... Super. La génération du patch de la version 1.2.6 à 1.2.7 n'est pas possible faute de Trac disponible pour la branche 1.2. Il faut donc se le faire tout seul. Grand merci, saï...

J'ai également mis en place le plugin Personnalisation d'URLs, dont une mise à jour est à présent disponible, pour simplifier les URLs des billets. Ça marche nickel. L'ancien format d'URL est cependant toujours reconnu avec un joli 301 Moved Permanently vers la bonne adresse.

N'ayant pas apporté d'énormes modifications au Dotclear de base, le résultat s'est avéré fonctionnel quasi-immédiatement. Ouf. Cette nouvelle version apporte dans la foulée quelques améliorations, comme un vrai plugin de Ping par exemple et le traitement de groupe tant attendu pour les commentaires. Bémol, le traitement individuel a disparu dans l'opération...


Seconde opération, l'ajout du plugin Comback, fort heureusement compatible avec cette nouvelle version 1.2.7. Le principe est de permettre à l'auteur du blog de répondre à ces lecteurs sans avoir à éditer leur prose en bon vieux HTML ou à poster lui-même de nouveaux commentaires. L'idée est plutôt bonne je trouve en ce qu'elle sépare clairement vos remarques de mes réponses et qu'elle ne fait pas courir le compteur de commentaires pour rien. Aussi ai-je adopté ce greffon et converti toutes mes réponses. Je ne vous poste pas ici le script qui m'a permis de le faire tellement il est affreux[1], d'autant qu'il a fallu reprendre nombre de réponses à la main pour les éclater et reventiler sur les commentaires adéquats. Je ne sais pas si j'ai gagné du temps à l'avoir fait ainsi, j'aurais peut-être mieux fait de tout faire à la main. Mais je suis finalement assez content du résultat. Sauf que...

Sauf que la version 1.4 disponible actuellement souffre d'un léger bug dans la génération du son flux RSS, lequel affiche les commentaires non publiés. Je me suis donc armé de courage pour ajouté la condition SQL qui manquait pour corriger cet affront, et comme j'ai bien lancé, j'en ai profité pour ajouter le support des flux Atom. Vous trouverez le tout dans un petit patch que je mis en ligne ce week-end.

Notez que les flux Atom et RSS contenant ces réponses, qui ne sont techniquement pas des commentaires, sont disponibles à des URLs spécifiques :

Les flux natifs de Dotclear ne font pas apparaître les réponses. Le changement est fait en page de garde, mais comme j'ai la flemme de modifier les fichiers originaux de Dotclear pour renvoyer vers ces nouveaux flux, il faudra que vous mettiez à jour votre aggrégateur ;)


Et pendant ce temps, dans le petit monde de la sécurité, les allemands découvrent les facéties du législateur avec leur équivalent de notre chère LCEN, TJX n'en finit pas de perdre de l'argent suite à son piratage d'il y a six mois et le réseau Skype est partiellement tombé pendant plus vingt-quatre heures. De croustillants sujets que je pense développer dans les prochains billets...

Notes

[1] Preuve que le concept de honte ne m'a manifestement pas complètement abandonné...