Protocoles détectés par la reconnaissance des URLs - Page 1

La reconnaissance automatique des URLs semble accepter des protocoles autres que HTTP(S) et FTP et Gopher ! :
topics/61689-jeu-videz-votre-presse-papier/989#post-29668

Est-ce que c'est normal ? Si oui, y'a pas de risque pour la sécurité ? (je sais qu'un navigateur bien conçu ne devrait pas autoriser l'utilisation de protocoles potentiellement dangereux depuis une page web distante, mais sait-on jamais...)

C'est voulu, mais j'avoue que pour la sécurité je ne me suis pas posé beaucoup plus de questions que toi. Si vous pensez vraiment qu'il y a un risque, c'est pas bien difficile à retirer

Franchement, je ne vois pas l'intérêt de limiter artificiellement les protocoles autorisés.

Zeph > avec les grosses failles récentes d'Edge, basées justement sur des protocoles non standards, ça me paraîtrait prudent de filtrer (même si sur le papier, ce n'est pas la responsabilité du site web, mais celle du navigateur).

Moui, mais comme dit Kevin le choix me semble un peu artificiel, j'autorise quoi comme protocoles ? Juste http/https ? Autre chose ? Pourquoi ftp plus que n'importe quel autre par exemple ?

http, https, ftp. Je ne connais pas d'autre protocole qui soit couramment utilisé (et encore, ftp est devenu rarissime).

tout a fait.
ca aurait le mérite d'empêcher file:// et tel://

Comme 0^2, je me demande si on ne pourrait pas virer également ftp. En voit-on beaucoup sur yN ?

Je pense que la réponse est 'non, y'en a peu, mais ca nous agacera quand l'url sera pas détectée'

Bon OK, je changerai ça. En revanche le changement est plus simple si je termine ça d'abord, donc ça attendra que je m'en occupe en premier ^^

Et gopher://?

non.

Et irc:// ?

Pour moi les choix les plus logiques sont soit "on accepte tout" soit "HTTP(s) uniquement" (parce que le site lui-même n'est consultable qu'en HTTP, ça reste cohérent). Je ne vois aucune raison d'accepter arbitrairement une poignée de protocoles supplémentaires comme FTP, IRC ou Gopher si on accepte pas tout.

Faisons un vote, ça sera plus simple :

Pas "tous" mais y'a des urls en mailto: ou webdav: maintenant qui tournent,

On ne peut pas plutôt tout accepter sauf une liste explicite des protocoles qui posent des problèmes de sécurité ? (j'avoue que je ne connais pas le critère)

Le problème c'est qu'il y a plein de protocoles rares et potentiellement dangereux (l'exemple d'Edge est parlant, mais les autres navigateurs ont leurs protocoles perso aussi, sans parler des applis tierces). Donc blacklister paraît difficile.

À défaut de FTP, je vote pour HTTP(S) uniquement.

Mais les navigateurs affichent en bas où pointe le lien, à l'utilisateur de voir si c'est un lien raisonnable ou pas.

test

D'ailleurs, le tag url n'accepte actuellement que les liens avec //, donc des URLs comme man:rm (Konqueror, affiche la manpage de rm) ou javascript:alert('toto') (devrait passer partout, normalement) ne sont pas acceptés.

D'ailleurs, le comportement de QupZilla (qui ne gère malheureusement pas nativement Gopher) est intéressant: si je clique sur le lien "view with Gopher" sur http://www.calcforge.org:70/, il m'ouvre Konqueror avec la page Gopher, mais si je clique sur le lien "test" du message ci-dessus, il m'ouvre un tab avec un message d'erreur.

L'adresse n'a pas été reconnue, eh oui, le temps du VAX, du PDP11, et de gopher sont révolus, donc ca sert carrément a rien de le supporter dans yaronet puisque les navigateurs ne savent rien en faire.

A ce propos firefox n'affiche plus les URL en bas de la page quand on fait hover sur un lien

c'est très génant, je faisais ca tout le temps?

edit: c'est revenu après redémarrage, mais j'ai aussi ajouté une extension pour montrer ca en tooltip.

Ca serait pas mieux de plutot avec une blacklist plutot que de faire une whiteliste?

Il y a tellement de protocole qui peuvent etre utiles (je vois pas pourquoi bloquer ftp par exemple?) tor, ssh, irc, svn, git, http (bien sur), sftp, ...

Je pense qu'il est largement plus simple de faire une blacklist (peu d'entree a mettre) qu'une white liste qu'il va falloir constament mettre a jour poru ajouter le protocole X ou Y.

Les protocoles a blacklister sont "chrome", "about", celui de microsoft dont j'ai oublie le nom..

Kevin: "//" fait partie de la RFC pour les URLs, si ca n'y est pas ce n'est pas une URL. Donc yN a raison sur ce point,

Combien de ces protocoles ont-il réellement été utilisés, en pratique ?
De plus, le problème vient justement que certains protocoles ne sont pas spécialement connus : faire la blacklist me semble compliqué :/

Kevin Kofler (./18) :
donc des URLs comme [...] javascript:alert('toto') (devrait passer partout, normalement)

Heu... oui mais là non, je te laisse comprendre tout seul pourquoi ce type d'URL ne sera pas accepté par yAronet sans même que je fasse un sondage

[edit] Voilà c'est modifié, seules les URLs en http et https sont maintenant reconnues.

Merziph !