Re: [fr@sympa] [sympa-fr] Sécurisation accès interface SOAP

[David Verdin <adresse@cachée>]

Bonjour,

On 02/08/2022 13:59, MERILHOU Vincent wrote:

Bonjour,

est-il possible de sécuriser et limiter les accès via l'interface SOAP ?

Actuellement, l'authentification de l'application distante repose sur un nom d'application et un mot de passe.

Sauf erreur de ma part, lorsque l'on appelle le service (via sympa_soap_client par exemple), il est possible d'indiquer n'importe quelle adresse de propriétaire dans proxy_vars -> USER_EMAIL ?

Oui, si on utilise l'action AuthenticateRemoteAppAndRun. Mais pour qu'une application puisse effectuer cette opération, elle doit être déclarée dans le fichier trusted_application.conf, avec en effet un nom d'application et le hash md5 de son mot de passe. Mais, comme son nom l'indique, on y met des applications de confiance, dont on est raisonnablement sûr qu'elles ne vont pas autoriser ce type de comportement.

Pour les applications auxquelles on ne fait pas confiance, on peut demander une authentification native de Sympa : l'utilisateur doit fournir son adresse email et son mot de passe. C'est l'action login, si j'ai bonne mémoire, documentée ici : https://www.sympa.community/manual/customize/soap-api.html

Ensuite, on utilise le cookie de session récupéré après l'action login pour jouer des actions AuthenticateAndRun, qui utilisent ce cookie comme identifiant.

J'espère que ça peut t'aider.

Bonne journée,

Cordialement,

David Verdin

 

Version Sympa 6.2.54

 

Merci par avance pour vos réponses

 

Cordialement

 

Vincent MERILHOU

-- 
"Mieux vaut viser la perfection et la rater que viser la médiocrité et l'atteindre."
- Francis Blanche

David Verdin
Chef de Projet Collaboratif
Département PROduits NUMériques
Direction des Services Applicatifs
RENATER - Rennes

Attachment: smime.p7s
Description: S/MIME Cryptographic Signature