Ma vie privée, mes idées, mon oeuvre...

OVH a lancé une nouvelle alerte ce soir à ses clients inscrits sur leurs mailings listes.

Une nouvelle fois une vague massive de scans de phpMyAdmin (et d'autres softs open source) est en cours depuis plusieurs jours et des attaques anciennes ont été lancées sur les machines vulnérables.

Je viens de contrôler les logs de mes machines, elles font partie de celles qui subissent régulièrement les scans. Pour le moment aucun n'a abouti à une attaque, mais j'en ai raz le bol de mettre à jour les softs chaque semaine sur tous les serveurs. Par conséquent, je viens de retirer phpMyAdmin de mes hébergements.

Comme indiqué sur le site d'Olf Software à compter de ce jour phpMyAdmin est interdit sur mes machines et je fournirai dans les jours qui viennent une version isolée sur une machine séparée pour tous mes clients.

Si vous avez installé phpMyAdmin sur l'un de vos sites ou serveur, chez moi ou ailleurs, pensez soit à le protéger par htaccess (le dossier complet, pas juste le programme de connexion), soit à le retirer purement et simplement et utiliser la version fournie par votre hébergeur.

Dans les logs de scans, j'ai trouvé des perles qui démontrent que les développeurs de ces logiciels open source n'ont (ou n'avaient) aucune notion de sécurisation de quoi que ce soit. Ca saoule de voir des bidouilleurs avoir un tel potentiel de nocivité sur l'internet en général juste par manque de réflexion... sur des logiciels que nous sommes trop nombreux à considérer comme des références et à installer massivement !

Quoiqu'on en dise, les logiciels propriétaires ont un gros avantage par rapport aux logiciels open source : leurs failles ne sont pas décelables facilement car leur source n'est pas lisibles par ceux qui passent leur temps à chercher un moyen d'attaquer tout le monde. Ok les logiciels open source sont corrigé plus vite, mais voilà, leurs utilisateurs ne sont pas au courant ou ne font pas les mises à jour, ce qui revient au même par rapport aux logiciels propriétaires.

Voici quelques rappels pour vos sites :

• n'utilisez que des logiciels à jour et vérifiez qu'ils le restent
• appliquez systématiquement tous les correctifs disponibles (même si ceux ci entraînent d'autres bogues)
• n'utilisez que le strict nécessaire, évitez d'installer tout et n'importe quoi juste parce que quelqu'un vous a dit que c'était bien, si ce n'est ni utile, ni utilisé
• lorsque vous faites des tests, faites les en dehors de vos sites, soit en local (WAMP, EasyPHP et d'autres solutions vous permettent de travailler sans serveur sur PC comme sur Mac) soit sur un hébergement séparé du reste et que vous effacez complètement après vos tests

Si vous programmez :

• testez systématiquement tous les paramètres que l'on passe à vos programmes,
• n'utilisez JAMAIS de chemin d'accès en paramètre ni de nom de fichier sans l'avoir au préalable contrôlé (les trucs du style ?page=modele/mapage.html est à proscrire car on peut très bien mettre ?page=/etc/htpasswd et afficher les mots de passe du serveur quand celui-ci 'est pas sécurisé)
• utilisez systématiquement une fonction d'échappement lorsque vous passez des paramètres à une requète SQL : mysql_real_escape_string() est à privilégier par rapport à tout le reste

Et pensez systématiquement à faire des sauvegardes de votre travail, que votre hébergeur en fasse de son côté ou pas (et je rappelle au passage que je n'en fais pas pour les données de mes clients, donc prenez vos précautions).

Une dernière chose : sauf cas particulier sur lesquels je n'ai pas eu le choix, safe_mode et openbase_dir sont configurés sur tous les hébergements que je propose.

Ce n'est pas pour le plaisir d'embêter mes clients à gérer proprement les chemins d'accès aux programmes ou les droits sur les fichiers, c'est qu'à force de voir des failles dans des sites de clients qui en impactaient d'autres, j'ai été contraint de les mettre en place. Ca vous saoule pour créer des dossiers via Apache, c'est normal, mais il y a des façons d'éviter le soucis et de rester sécurisé grâce à ces protections. Ne les désactivez que si je vous l'autorise et que si nous n'avons pas trouvé d'autre solution.

Bizarrement, les logiciels qui ont un soucis avec le safe_mode sont justement des logiciels open source alors que des développements faits maisons, proprement, l'ont rarement...

Tout ceci étant dit, prenez vos précautions dès maintenant si vous avez un logiciel open source sur votre site : vérifiez que les accès à sa configuration n'utilisent pas les mots de passe par défaut, que le dossier d'admin est bien sécurisé et que le logiciel concerné est à jour.

Y a un truc qui m'éclate à chaque fois que l'essence se met à manquer dans les esprits des gens ou à la pompe : le gouvernement s'évertue à dire qu'il n'y a pas de problème et les gens vivent le contraire.

Ca me fait toujours penser à la France vue par les rois en balade qui était toujours bien différente de la France vécue par le peuple.

Les dirigeants de notre pays sont-ils si déconnectés de la réalité qu'ils n'arrivent pas à assumer le bordel qu'ils ont déclenché ?

Ce qui est tout aussi fou, c'est de voir des automobilistes faire des kilomètres pour faire un plein et laisser leur moteur tourner dans les files d'attente, les embouteillages, etc. N'ont-ils pas réalisé que le simple fait de parcourir la campagne à la recherche d'une pompe à essence disponible leur coûtera d'autant plus d'essence ?

De même, je suis étonné que les supermarchés aient encore des denrées dans leurs étalages, en général, ce sont les premières choses qu'on stocke lorsqu'on pense qu'un pays sera bloqué. Là, les gens se focalisent sur l'essence. Je trouve ça tellement stupide (surtout en Ile de France où des moyens de transports publics sont disponibles, même si ça peut allonger le temps de trajet et que c'est galère en période de grève).

En revanche, les blocus des dépôts d'essence me semblent toujours être une bonne chose. Ca devrait rappeler que d'ici à ce qu'on soit à la retraite (à 60 ans, à 62 ans ou à 75 ans), le pétrole aura disparu de nos voitures ou sera inabordable. Toute l'économie, les usagers en particulier, devraient réfléchir plutôt que de se taper dessus pour une goutte de pétrole. L'effet Mad Max vers lequel nous allons de plus en plus est évitable : à chacun d'entre nous de faire en sorte qu'on ne tombe pas dans le panneau.

Dès à présent le pétrole devrait être réservé aux usages pour lesquels nous n'avons pas d'alternative. C'est un gros boulot, de nombreux investissements et aussi beaucoup d'emploi possible. Bien entendu, certains lobbys empêchent que ça se produise, mais il en va de la vie de tous les occupants de cette planète !

C'est fou comme l'effet papillon peut être amplifié en rumeur bien saoulante et polluante dès que ça touche à un sujet sensible.

Prenons l'exemple qui fait couler beaucoup d'octets sur ma twitlist depuis deux jours : Burger King réinvestirait le marché français.

Bizarrement, ça fait des mois qu'on l'entend dire régulièrement, mais à la limite je m'en fous. A l'époque où ils avaient encore des restaurants sur Paris, j'avais testé et finalement en était revenu à Quick. Me demande bien pourquoi d'ailleurs, mais passons.

Ce qui m'affole, c'est que tout ça vient de la simple création d'un compte Twitter au nom du fast food américain, avec comme raison la distribution de goodies pour la promotion de la marque en France avant son grand retour tant attendu (mais par qui ???).

Burger King ferait-il peur à Quick et McDo ?

Feront-ils les mêmes erreurs que leur homologue franco-belge et proposeront-ils des viandes discriminatoires ?

Nous offriront-ils à nouveau des hamburgers végétaliens ou bios (comme semble vouloir le faire Quick) ?

Et puis surtout, car c'est la question la plus importante, que viendrait faire Burger King dans un pays déjà saturé en fast food et distributeurs de repas rapides et dégueulasses ? Surtout qu'ils s'y sont déjà cassé les dents !

Moi, je trouve qu'ils sont très bien où ils sont. Qu'ils viennent pas embêter Ronald et Quickie, Flinchy et leurs potes. Ca sert à rien de venir nous pourrir encore plus nos rues et contribuer au remplissage des salons d'attente des instituts d'amaigrissement !

Bon, ce qui est amusant c'est que le buzz s'entretient en chanson comme on peut le voir sur le blog de Julien. (au passage, je tiens à dire que j'aime bien le jaune, surtout s'il a un coeur fondant de chocolat... M'Ms for ever, même whoper !)

Suite au billet de Stéphanie Hétu qui pousse une gueulante bien justifiée contre certaines pratiques utilisant des raccourcisseurs d'URL, je voulais apporter ma pierre à l'édifice, et tant qu'à faire détailler un peu plus que juste en commentant son article.

Tout d'abord sur le principe : un raccourcisseur d'URL (aussi appelé URL shortener) permet de transformer des adresses à rallonge en adresses vivables.

Mon exemple préféré est un lien d'affiliation d'Amazon comme celui-ci :

http://www.amazon.fr/gp/redirect.html?ie=UTF8&location=http%3A%2F%2Fwww.amazon.fr%2Fs%3Fie%3DUTF8%26x%3D0%26ref%255F%3Dnb%255Fss%255Fb%255F1%255F7%26y%3D0%26field-keywords%3Dtemoins%2520de%2520jehovah%26url%3Dsearch-alias%253Daps%26sprefix%3Dtemoins&tag=eb00ks-21&linkCode=ur2&camp=1642&creative=19458

peut se transformer en

http://vasur.fr/ry9faf

C'est quand même nettement plus présentable, vous ne trouvez pas ?

Ceci dit, comme le dit Stéphanie, certains en abusent !

Un lien court permet non seulement de raccourcir une adresse Internet à rallonge, mais aussi de connaitre le nombre de clics dessus (statistiques de base), d'orienter les internautes sur un site unique ou sur plusieurs en alternance (pour des tests) et bien entendu de maintenir un lien en vie même si le site vers lequel il pointant au départ saute.

Reprenons mon exemple ci-dessus : le jour où Amazon cessera d'exister, je pourrai rediriger ce http://vasur.fr/ry9faf vers la même recherche chez Fnac.com (par exemple) ou sur Passion du livre. Ca permet que les personnes qui croisent mon lien court puissent toujours avoir quelque chose à l'autre extrémité.

A mon avis, les liens courts ne devraient pas être utilisés partout : ils perturbent le référencement, on dépend généralement d'un prestataire et au final on ne peut rien garantir à la personne à qui on le transmet.

Pour moi, hors thématiques de test, de camouflage d'url avec infos affiliés ou de statistiques, ces liens ne devrait être utilisés que lorsqu'il y a une raison : dans les ebooks, dans les emails et sur les réseaux sociaux ou sites de micro blogging comme Twitter.

Dans les ebooks, il est pratique de pouvoir gérer le lien afin qu'il soit pérenne et que quel que soit la date de clic d'un lecteur sur ce lien, il trouve toujours quelque chose en correspondance avec ce qu'il espère. Bien entendu, ça sous entend de maintenir les liens vers des thématiques ou sites équivalents lorsqu'on a connaissance de fermeture de sites dont vers lesquels on faisait des redirections.

Dans les emails pour s'assurer que les liens arrivent en entier. Trop de liens à rallonge arrivent sur plusieurs lignes et se retrouvent soit non clicables, soit partiellement et n'arrivent de toute façon pas sur la page que l'on voulait. Dans ce cas, et exclusivement dans ce cas, je conseille de raccourcir ses adresses.

Sur les réseaux sociaux pour des raisons de maintenance des liens, mais là encore, ce n'est pas une obligation. De toute façon un site comme Facebook s'en fiche si un lien publié un an plus tôt ne fonctionne plus et personne ne retombera jamais dessus... donc on s'en fout ! Mieux vaut mettre le lien vers la bonne page et montrer l'adresse aux internautes, histoire qu'ils aient une idée du site sur lequel on les envoi.

Sur les sites de microblogging, la raison est simple : on n'a pas le choix... Pas assez de place pour à la fois s'exprimer et mettre un lien.

Une dernière chose, beaucoup plus technique : si vous n'avez pas envie de vous embêter à stocker des statistiques sur les clics de vos internautes, utilisez plutôt un script maison, fait lien par lien, sur votre nom de domaine. Il suffit de ces 3 lignes en PHP :

<?php
     header("location: http://monlienlong");
?>

et d'appeler ce fichier monliencourt.php ou de le nommer index.php et le mettre dans un dossier monliencourt (pour éviter le .php lorsque vous citez ce lien)

Si vous avez envie d'avoir des statistiques et que ce lien vous appartient, qu'en plus vous voulez le gérer plus tard et pouvoir en modifier la destination, prenez plutôt un script à vous sur un nom de domaine créé pour l'occasion. Ca vous évitera la mésaventure d'un blacklistage suite à spamming comme l'ont subi les utilisateurs de url-ok.com ou de perdre tous vos liens si le prestataire en qui vous aviez confiance ferme son site ou se fait hacker, tous les liens pouvant être redirigés vers des sites pornos sans que vous ne vous en rendiez compte !

Je peux vous recommander le script que j'ai créé et que j'utilise : il est fiable et léger, en plus d'avoir une version gratuite. Téléchargez le sur http://www.vasur-lescript.fr/

Si vous partagez des adresses publiques, ne vous embêtez pas à le faire avec vos scripts, prenez bit.ly ou un autre plus classique. ils ont déjà probablement le lien en question en mémoire et vous en partagerez l'adresse raccourcie avec les autres personnes qui l'ont diffusée.

Voilà, je crois que j'ai dit tout ce que je voulais sur le raccourcissement d'URL. Maintenant, à vous de voir si vous les utilisez ou pas et surtout si cela vous semble pertinent de le faire à la lecture de mon article et de celui de Stéphanie qui donne des arguments que je n'ai pas évoqués ici.

Très cher gouvernement français, tu ponds des lois débiles, inapplicables et obsolètes pour la protection des oeuvres musicales et autres en ligne tout en augmentant les taxes sur les support numériques (sans doute pour financer la lutte contre le piratage ou les campagnes débiles et inutiles de communication aux péages des autoroutes cet été)...

Normalement, si le piratage baisse et que les plateformes légales (qu'on attend toujours) vendent, la taxe pour la copie privée sur les supports numériques (disques durs, DVD, CD, clés USB, ...) n'a plus lieu d'être. En tout cas pas avec ces gammes de tarifs car 20 euros sur un disque dur de 1 To, c'est quand même du vol. Faut pas croire que tout acheteur d'un disque de 1 To s'amuse à y mettre de la musique dessus ! Je veux bien être solidaire des artistes, mais pas des compagnies qui ponctionnent tout l'argent au passage sans reverser une part honnête aux ayants droits.

On attend toujours aussi le logiciel que HADOPI devait fournir afin de protéger les internautes et leur permettre de prouver qu'il ne sont pas coupables des infractions qu'on les accuse de faire.

Non seulement HADOPI ne sert à rien, et je pèse mes mots, mais en plus les personnes susceptibles de donner des informations aux internautes et aux curieux manquent cruellement d'intelligence ou de formation !

Vous allez dire que je généralise, mais si tous les hotliners sont comme le gars qu'a eu la rédaction de PC Inpact en ligne, on n'est pas sortis de l'auberge. Il ne comprend pas ce qu'on lui demande, répond à côté et ne réalise même pas qu'il se plante en répondant.

HADOPI depuis le départ cumule les aberration informatiques et législatives. Ca ne semble pas s'arranger. Alors si vous décidiez d'arrêter la blague, ça ferait le plus grand bien à tout le monde et en plus on ferait des économies sur les impôts des contribuables !

Plutôt que d'investir dans la lutte contre le piratage d'oeuvres musicales et de films (parce que dans tout ça, les logiciels et les photos, on les oublie, comme d'habitude).

Vous feriez mieux de faire la promotion de sites Internet faciles à utiliser pour acheter les-dites oeuvres dans une bonne qualité.

Vous devriez également faire en sorte que les fameux ayants droits arrêtent de se foutre de la gueule des consommateurs en appliquant des tarifs aléatoires et très variables d'un lieu à un autre.

Vous devriez aussi faire en sorte que lorsqu'on achète un truc en ligne, légalement, on soit en droit de le consulter où on veut (c'est quand même la moindre des choses) sans avoir à être emmerdés par une histoire de format de fichier, encore moins de DRM !

Cet enregistrement (forcément illégal puisque le hotliner n'a pas été prévenu) m'a fait bondir. Les nombreux couacs et le manque d'organisation dans la mise en place de la haute autorité, en plus des retards et des coûts aléatoires aussi. Le fait qu'au final on commence à attaquer les internautes avant même que les logiciels permettant qu'ils se défendent n'est pas non plus à négliger.

Plutôt que de dépenser nos sous dans des trucs idiots, fondés sur des bases techniquement pas viables, faites un peu les choses de façon intelligente pour une fois sur Internet : faites la promotion de sites légaux et de contenus légaux, et arrêter de vouloir à tout prix engraisser des compagnies de production vieillissantes qui n'ont pas su s'adapter aux changements des modes de consommation !

Le monde du SEO est amusant et coquin.

Je ne veux pas dire par là que ça couche dans tous les sens, non (ou alors on m'a pas prévenu), mais en revanche c'est plein de rigolos, de gens rigolos et de gens taquins !

Prenons un exemple tout bête : ce mois-ci devait sortir un logiciel miracle pour apparaître en première page sur le moteur de recherche où il faut être, à savoir Google.

Voyant l'annonce et la vidéo de démonstration, plusieurs experts en référencement se sont dit que ce serait intéressant de voir si ce logiciel est vraiment utile et ils ont fait le test.

Un simple article référencé en première page de Google sur 400 millions de concurrents. Tout ça en moins de quelques jours ! C'est fou, non ?

Bien entendu, ça a été réalisé sans tricher, juste en utilisant des outils à disposition de chacun d'entre nous. Tous les webmestres peuvent avoir leurs articles référencés en premier sur Google lorsqu'ils ont les connaissances pour y parvenir... Et dans le cas qui nous occupe, la connaissance est vraiment basique, comme l'explique Sylvain Deauré dans le how-to qu'il a réalisé à l'occasion de ce test.

Si vous désirez savoir comment référencer un article de blog ou un produit très simplement en première page de votre moteur de recherche favori, et je dirais quasiment "sans les mains", lisez cet ebook qui vous explique comment Sylvain a réussi l'exploit d'y parvenir sur son article référencé en à peine deux jours et compte bien y rester !

Et si cela ne vous suffit pas et que vous voulez devenir expert en SEO (vous savez, les technologies d'optimisation du référencement), je ne peux que vous encourager à nous rejoindre sur Code SEO, un forum dans lequel nous partageons des trucs et astuces white hat, mais aussi parfois un peu plus sombres ;-)

Ah, j'allais oublier un détail : le résultat de ce test ayant démontré que le logiciel miracle ne servait à rien dans le cas présent, nous attendons toujours de savoir ce qu'il fait vraiment... et m'est avis que ça ne dépassera jamais les multiples techniques SEO dévoilées par des experts !

Vous l'avais-je déjà dit ? Je hais les spammeurs !!!

J'ai passé et perdu la journée à faire du ménage dans ma boite à lettres professionnelle : 47911 emails supprimés et la boite à lettre qui a planté toute la journée jusqu'à il y a à peine une demi-heure. Je suis passé de 1,1 Go d'emails à 435 Mo.

D'un autre côté, entre deux plantages et lenteurs pour filtrer les emails à virer, ça m'a aussi permis de faire un peu de vide dans les 1 mètres de revues et autres publicités papiers accumulées sur mon bureau. C'est fou ce que ça fait du bien d'avoir un peu de place derrière moi pour y réfléchir à nouveau.

Le hic dans tout ça, c'est que je n'ai pas pu avancer sur les développements qui étaient prévus pour aujourd'hui, du coup un jour de retard de plus...

L'avantage, c'est que mon ordinateur tourne un peu plus vite, forcément, 600 Mo de swapping en moins, ça se ressent !

Par ce beau temps pluvieux, je voulais vous montrer une activité de plein air qui a de l'avenir : piloter un hélicoptère avec son téléphone mobile.

C'est l'AR Drone qui lance les hostilités avec son application iPhone / iPad.

Joli gadget, vous ne trouvez pas ?

L'engin ne coute pas excessivement cher pour un jouet pour adulte qui nécessite un appareil d'Apple pour fonctionner (ce qui gonfle beaucoup l'addition finale et réserve le tout à une élite friquée).

Ce n'est pas demain que l'on verra ces appareils dans les cours d'école et heureusement car au delà du côté jouissif de piloter un appareil volant et pouvoir regarder ce qu'il voit, il y a aussi des usages plus obscurs...

J'en avais déjà causé pour les drones en général, mais celui ci tout particulièrement offre des opportunités non négligeables pour des groupes terroristes voulant disperser des produits chimiques dans un endroit où ils n'auraient même plus besoin de se trouver.

La miniaturisation et les gadgets ça a du bon, mais il y a toujours un revers à la médaille... Espérons qu'ils continueront à préférer jouer les martyrs plutôt que d'utiliser les nouvelles technologies pour propager la mort.

En voyant cette publicité pour l'iPad d'Apple, et suite aux réactions récurrentes des personnes auprès desquelles j'utilise le mien, je me posais une simple question : combien de personnes ayant vu ou touché l'iPad ont réussi à ne pas l'acheter dans les jours qui ont suivi ?

Dans mon entourage, ça se compte sur les doigts de deux mains, mais le taux de conversion manipulation / achat est très proche du 1...

Bravo Apple !

Me demande quand même ce que ça va donner quand de vrais concurrents seront sur le marché (et je ne parle pas d'Archos qui pour moi reste un lecteur multimédia sans intérêt).