mot de passe

Février 2015

Bonjour,
Lors de la toute première installation de spip, comment est créé le mot de passe ?
Est-il généré automatiquement ou bien demande ton a l’utilisateur de le créer ?
Cette question parait Anodine mais j’ai besoin de savoir car je me demande si spip peut utiliser le même mot de passe que celui de mon ftp chez mon hébergeur ...
Si oui est-ce automatique et est-ce judicieux ?
Merci éclairer un futur utilisateur de spip ☺
Cordialement

Résolu

Par note Par date Par date chronologique

Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

Bonjour,

Le mot de passe est demandé lors de l’installation, et on peut le changer par la suite.

Tu peux donc utiliser celui du FTP de ton hébergeur, mais ça n’est pas du tout conseillé en termes de sécurité...

Cordialement
Indiquez l’intérêt que vous portez à cette réponse

0

Hello_2222

Février 2015

Bonjour,

Merci pour ta réponse.
Comme tu le dis, et comme je l’ai effectivement vu par ailleurs sur un autre forum, cela n’est pas conseillé.
Par contre, peux-tu me dire en quoi exactement ? En quoi la sécurité serait-elle affectée ?
Quel serait le(s) but(s) de mettre comme mot de passe de la partie administrative du site crée avec SPIP ==> le mot de passe du FTP ?

Cordialement.
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

C’est une régle de base en sécurité informatique : ne pas utiliser le même mot de passe partout.

La raison est simple : si tu utilises le même mot de passe partout, un pirate qui arriverait à le trouver (malware sur ton PC, intrusion chez ton hébergeur, etc.) aurait alors accés à tous tes comptes avec les conséquences que l’on peut imaginer...

Pas simple à gérer, d’ailleurs la plupart des gens utilisent le même partout...
Indiquez l’intérêt que vous portez à cette réponse

0

Hello_2222

Février 2015

Bonsoir et un grand merci pour ta contribution !!
A ce propos, je suis en discussion sur un conflit que j’expose :
1. Une société A a fait faire son site internet par une Société B (B utilise SPIP)...
2. Rupture commerciale entre les 2 sociétés.
3. La société A demande ses codes à la société B.
4. La société B lui donne les codes de l’hébergement (FTP, Base de Données, etc), par contre ne donne rien au sujet du login/pswd concernant le site construit avec SPIP.
5. La société A insiste et B refuse en prétextant que les codes mentionnés plus haut suffisent pour entrer dans la partie admin du site (en allant dans la base de donnée ? en allant voir dans les fichiers ?)...
Je fais donc appelle à nouveau à la communauté pour m’éclairer sur le sujet : Peut-on, dés lors que l’on a les codes hébergeurs (FTP, Base de Donnée), retrouver les login/pswd du "back-office" du site crée par SPIP ??

J’aimerais beaucoup avoir la réponse :-)

Merci et bon weekend !
Cldt.
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

Si tu as les codes FTP et de la BDD, je dirais que B a raison :

Profite en pour sauvegarder les répertoires IMG et squelettes, lister les plugins utilisés et sauvegarde également la BDD.
Note la version de SPIP utilisée et télécharge la chez SPIP.

Ensuite supprime le fichier connect.php, uploade les fichiers de SPIP puis relance l’install de spip (tonsite.tld/ecrire), à l’étape de la BDD donne les coordonnées de la base puis choisis la base.
Ensuite dans le déroulement de l’install tu mets tes login/pwd et ça roule.
(je viens de tester en local et ça a fonctionné)

N’oublie pas ensuite de supprimer les comptes admin précédents, sinon B aura toujours les droits...
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

J’ai oublié : à part le fichier connect.php que tu supprimes, pas la peine de toucher aux autres.
Tu fais juste un upload en écrasant les fichiers existants avec ceux de la bonne version de SPIP précédemment téléchargée.

Donc pas besoin de retrouver les login/pwd précédents pour reprendre la main sur le site.
Indiquez l’intérêt que vous portez à cette réponse

0

Hello_2222

Février 2015

Oh joli, effectivement je n’y avais pas pensé !
C’est donc techniquement possible et assez simple pour un technicien du WEB j’imagine...
Ceci-dit, j’insiste (excuses !) : peut-on retrouver le login/pswd de la partie administrative du site en allant "fouiller" dans les répertoires (je dirais non, sinon trop simple), voire dans la base de données (je dirais non, pour les mêmes raisons), mais la réponse m’intéresse tout autant :-)
Merci à nouveau de ton aide précieuse.
Cldt.
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

le login oui dans la base de données (table spip_auteurs), le mot de passe y est aussi mais crypté donc inutilisable. Pas d’autre possibilité.

Après la manip que je t’ai décrite, tu les retrouves également dans les auteurs de SPIP (pas le mdp mais tu peux par contre le changer).

Par contre je ne vois pas quel est l’intérêt de les retrouver puisque tu en auras créé un autre ?
Indiquez l’intérêt que vous portez à cette réponse

0

Hello_2222

Février 2015

Ta question est pertinente :-)
Effectivement, en ayant recréé un autre mot de passe, pourquoi tenter de connaitre l’ancien ? :-)
Je cherchais à le faire pour voir la véracité des affirmations que l’on m’a dites. Et visiblement, je peux vérifier qu’il n’est pas possible de retrouver le mot de passe dans la base de donnée (hormis un mot de passe crypté inutilisable).
Le plus simple aurait-été que la société B donne ce fameux "login/mot de passe" car pour un novice, ce n’est pas évident de réinstaller SPIP "...
As-tu une idée de comment en général, réagissent les société de type B (pour ne pas les nommer "Agence de site internet" !). Personnellement, il me paraitrait normal de donner les codes au client novice (société A) pour qu’il puisse changer basiquement ses pages internet correspondant à son activité, mais je me trompe peut-être ?
Cldt.
Indiquez l’intérêt que vous portez à cette réponse

0

Pierrox

Février 2015

si, vous changer le mail de l’auteur en bdd et vous faite une demande de changement de mot de passe :)

Pas tester mais en théorie ça doit le faire :)
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

Je ne suis pas choqué que B ne veuille pas donner ses codes, moi-même je ne donnerai pas les miens pour un site dont je céderai la gestion...
B aurait par contre pu créer facilement un compte admin pour A, sans divulguer le mdp de son compte, ce qui aurait facilité la manip pour A.

Après, la manip que j’ai décrite prends 3 mn à réaliser (mais pas pour un novice ;-)).
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

La manip de brain_damage est effectivement plus simple, mais à tester :)
Indiquez l’intérêt que vous portez à cette réponse

0

Pierrox

Février 2015

Oui, ça fonctionne je viens de tester.

Donc en bdd vous changez le mail de l’admin et vous allez sur la page de login faire un "mot de passe oublié" et saisir le mail que vous avez entré en bdd.

La seul condition c’est que le site doit pouvoir envoyer des mails. si les mail n’arrive pas. il faut regarder la colonne cookie_oublie correspondant à l’auteur et aller sur la page

http://mon_site.com/spip.php?page=spip_pass&p="valeur de cookie_oublie sans les quotes"
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

Avec tout ça notre ami Hello_2222 devrait s’en sortir ;)
Indiquez l’intérêt que vous portez à cette réponse

0

Hello_2222

Février 2015

EXCELLENT brain_damage et Philivert de m’avoir donné deux méthodes qui marchent !!! (je viens de tester la dernière méthode : ok)
Je reviens par contre sur ce que tu dis Philivert :
"B aurait par contre pu créer facilement un compte admin pour A, sans divulguer le mdp de son compte, ce qui aurait facilité la manip pour A"
Si j’ai bien compris, la société B aurait pu créer un nouvel auteur avec un login disons "B_Admin" en mettant le statut ADMIN et en cochant la case "Donner à cet administrateur les droits de webmestre"... et donner à A les identifiants (ici B_Admin) avec le mot de passe que B a créé pour l’occasion, n’est-ce pas ?
Si tel est le cas, quelle est la différence avec le fait que B cede directement son login et mot de passe ?
Désolé si j’abuse, mais tant que je gagne, je joue :-)
Au plaisir.
Cldt.
Indiquez l’intérêt que vous portez à cette réponse

0

Philivert

Février 2015

Tu as bien compris ;)

Pas de différence, sauf qu’ils ne te communiquent pas leur mot de passe (celui qui est peut-être le même pour tous leurs comptes...)
Indiquez l’intérêt que vous portez à cette réponse

0

Hello_2222

Février 2015

Parfait Philibert, un GRAND merci !!
Sans oublier le coup de main efficace de brain_damage (oups le cerveau endommagé ? lol).
A bientôt sur le forum sans doute ;-)
Cldt.