Chapril » banner.chapril.org

Lors que je me connecte à listes.chapril.org :
- je tombe sur la page https://sympa.cluster.chapril.org/sympa/lists :-/
- y a un miaou en bas à gauche.

Le nginx n'avait pas été reloadé

Pour info : http://www.bortzmeyer.org/gzip-compression-apache.html

Je confirme la résolution du problème suite au Nginx reload \o/

Actuellement, le code de la bannière est inclus depuis un fichier. J'approuve (centralisation…).

Ce fichier a pour nom « banniere-chapril ». Proposition d'appliquer un nommage uniquement en anglais par souci d’homogénéité et de cohérence. Suggestion de renommer en « chapril-banner ».

À propos du non chargement du CSS dans pouet.chapril.org, en regardant les logs réseaux (inspecteur Firefox) :

21:34:34,895 Content Security Policy: Les paramètres de la page ont empêché le chargement d’une ressource à https://www.chapril.org/Banner/chapril-banner.css (« style-src https://paste.chapril.org »). 1 (source inconnue)

Du coup, recherche web : https://www.bart-konieczny.com/fr/blog/securite-des-applications-web/explication-content-security-policy

Et ça se confirme :

cpm@ocmstar (21:53:28) ~ 21 > curl -v https://pouet.chapril.org/about 2>&1 |grep -i security
< Content-Security-Policy: default-src 'none'; font-src 'self'; media-src 'self'; style-src 'self' 'unsafe-inline'; script-src 'self'; img-src 'self' data:; connect-src 'self' wss://pouet.chapril.org; frame-ancestors 'none';

Hypothèses :
1) désactiver le CSP : oui, mais où ?
2) ajouter des location dans la conf nginx pour faire croire que les ressources sont locales.

Dans /etc/nginx/sites-enabled/pouet.chapril.org :

location / {
add_header Referrer-Policy "strict-origin-when-cross-origin";
add_header Content-Security-Policy "default-src 'none'; font-src 'self'; media-src 'self'; style-src 'self' 'unsafe-inline'; script-src 'self'; img-src 'self' data:; connect-src 'self' wss://pouet.chapril.org; frame-ancestors 'none';";
try_files $uri @proxy_static @proxy;
}

J'ai appliqué la solution n°2 (mettre les ressources en relatif) et ça semble bien fonctionner.
L'inconvénient est qu'il faut deux include par fichier de configuration (1 pour le location /Banner et un pour les filter), pas très joli.