[sympa-fr] Re: liens mailto de confirmation et sender

[LALOT Dominique <adresse@cachée>]

adresse@cachée a écrit :
> LALOT Dominique wrote:
> > Bonjour,
> >
> > Je viens de perdre un peu de temps sur quelque chose qui peut perturber:
> >
> > On peut cliquer sur ce genre de lien
> >
> > mailto:adresse@cachée?subject=CONFIRM%20630b604c246b40f50e74f4a855ae2f58 
> >
> >
> > Problème: lorsque l'on a plusieurs identités et qu'on n'est pas en 
> > forme, ou pas trop doué, on oublie qu'en cliquant dans un mail à 
> > destination d'un compte, on va répondre avec l'identité par défaut.
> >
> > Ne serait il pas possible de rajouter un from=xxx dans le lien?. (Je 
> > ne connais pas bien la syntaxe)
> > Je pense que ça éviterait quelques désagréments.. 
> On va plutôt essayer de s'attaquer de front au problème des identités 
> multiples d'une même personne. le principe général sera de supprimer 
> du code actuel ce qui existe déjà et qui basé sur un cookie et de 
> gérer des "alternative email" dans une table dédiée. Il sera alors 
> possible dans les scénario de préciser si l'on souhaite que l'adresse 
> testée dans les condition (genre is_subscriber) doit être celel 
> strictement de la personne authentifiée ou bien si le test s'applique 
> avec une des "alternative email".
>
> La grosse difficultée sera de proposer une interface utilisateur 
> claire pour collecter les différents email d'une personne. Le 
> provisionning via annuaire LDAP serait aussi très utile.
>
> Quand tout ceci sera fait, on devrait ne plus avoir le genre de soucis 
> que tu décris.
Salut Serge

Je répond avec un peu de retard, cause vacances..

C'est aussi qque chose que j'attendais depuis des années. Ce sera bien 
utile. Par contre, je ne sais pas comment ou pourra l'intégrer dans le 
LDAP. J'ai été obligé de bloquer le champ mail pour des raisons de 
sécurité sous la forme canonique. Si on utilise un autre champ 
alternate, je ne vois pas bien comment opérer dans un cadre SSO CAS + LDAP

Pour le lien mailto, le from n'est pas interprété par thunderbird, donc 
c'est à l'utilisateur de faire attention, ou à sympa de se dire que si 
le MD5 est validé, on peut s'affranchir de revérifier l'identité. A 
réfléchir, est ce que ça poserait des pbs de sécurité?.
1. from correct -> MD5 envoyé
2. Retour MD5 avec from incorrect

Qui peut donc répondre en 2?, à part le bon user avec une mauvaise 
identité?. Ne peut on pas faire sauter la vérif du from en 2.

Cordialement

Dom
> Serge Aumont

--
Dominique LALOT
Ingenieur Systeme et Reseaux
http://annuaire.univmed.fr/showuser.php?uid=lalot