Journal sncf.com, un site sécurisé... ou pas

Posté par LeJulien le 14/11/09 à 15:06.

-2

nov.

2009

Un problème de sécurité sur http://www.12-25-sncf.com ?
Des pages parlant de la sécu comme "en savoir plus" sont bien en HTTPS.
https://www.programmefid.com/static/crmco/card/fr/pp_detailS(...)
Par contre, des pages sur lesquelles on retrouve des formulaires contenant des informations confidentielles sont en HTTP (adresse, mail...).
http://www.12-25-sncf.com/carte/commande/achatcarte.aspx?s=t(...)
Selon un participant au forum, lors du renouvellement de sa carte, aucune page n'était en HTTPS (même lorsque ses coordonnées bancaires étaient demandées !). Malheureusement, il n'est pas possible de poster un lien vers le formulaire de paiement.

Source:
http://www.zataz.com/forum/index.php?showtopic=11099

# CB not found

Posté par Benjamin G. ( Prae ) (page perso) le 14/11/09 à 15:13. Évalué à 0.

Sauf erreur de ma part, mais aucune coordonnées bancaires n'est demandées sur la page indiquée.

Répondre
- [^] # Re: CB not found
  
  Posté par LeJulien le 14/11/09 à 15:20. Évalué à 2.
  
  C'est écrit dans le journal est sur le forum. Pas possible de poster un lien vers le formulaire qui demande les coordonnés. Mais bon... rien que le lien donné, c'est pas génial pour le respect de la vie privée.
  
  Répondre
  - [^] # Re: CB not found
    
    Posté par jujubickoille (page perso) le 14/11/09 à 16:10. Évalué à -1.
    
    En même temps, la page en https est aussi accessible, certes, ce n'est pas une excuse...
    
    Répondre
  - [^] # Re: CB not found
    
    Posté par Benjamin G. ( Prae ) (page perso) le 16/11/09 à 14:32. Évalué à 1.
    
    > (même lorsque ses coordonnées bancaires étaient demandées !).
    
    Sauf erreur de ma part, mais à aucun moment tu ne précises qu'il ne demande pas de coordonnées bancaires.
    Ou alors la demande de CB est après la validation du premier formulaire.
    
    Répondre
# Et l'attribut "action" du formulaire ?

Posté par allcolor (page perso) le 14/11/09 à 22:36. Évalué à 3.

Car si il pointe vers du https, tout ce qui sera envoyé le sera alors crypté avec SSL. Que la page contenante ne soit pas https n'est pas grave en soit (par contre pour l'information utilisateur c'est vraiment puant je l'accorde)

Répondre
- [^] # Re: Et l'attribut "action" du formulaire ?
  
  Posté par yellowiscool (page perso) le 15/11/09 à 14:05. Évalué à 5.
  
  Cela pause un problème de sécurité, car si un code javascript d'une publicité change l'attribut action du formulaire, il n'y a aucun avertissement.
  Envoyé depuis mon lapin.
  
  Répondre
  - [^] # Re: Et l'attribut "action" du formulaire ?
    
    Posté par allcolor (page perso) le 15/11/09 à 14:27. Évalué à 1.
    
    Bah ça c'est le fait d'afficher une pub sur une page sécurisée le problème... la même pub sur la même page en https qui change l'action vers un autre site https ça fera pas de warning non plus.
    
    Répondre
# Pareil sur voyages-sncf.com

Posté par Victor STINNER (page perso) le 15/11/09 à 02:47. Évalué à 3.

Il y a environ un mois, je voulais m'authentifier sur voyages-sncf.com en HTTPS. J'étais sur https://espace-client.voyages-sncf.com/, mais les données étaient envoyées en HTTP (et non pas HTTPS). Maintenant, il me semble que j'avais manuellement remplacé http:// par https:// dans la barre d'adresse. Peut-être que c'était une erreur de ma part, mais ça m'avait choqué.

Chaque fois que je vais sur ce site, je me prend la tête (soit il est en panne, soit il y a un soucis avec mon navigateur web).

Répondre
- [^] # Re: Pareil sur voyages-sncf.com
  
  Posté par Thierry Thomas (page perso) le 17/11/09 à 14:42. Évalué à 3.
  
  Ils ont besoin de compétences tellement pointues pour tenter de remettre tout ça d'aplomb qu'ils n'arrivent pas à recruter !
  
  [http://pro.01net.com/editorial/508584/voyages-sncf-com-les-p(...)]
  
  Répondre
  - [^] # Re: Pareil sur voyages-sncf.com
    
    Posté par windu.2b le 18/11/09 à 22:41. Évalué à 4.
    
    Ça, c'est juste parce que personne ne veut avoir la honte de devoir marquer sur son CV qu'il a bossé pour voyages-sncf !
    
    Répondre
# linuxfr.org pas saicure

Posté par Victor STINNER (page perso) le 15/11/09 à 02:50. Évalué à 1.

En même temps, bien que ça soit indiqué : l'authentification linuxfr se fait en HTTP (si on surfe en HTTP).

Répondre

Envoyer un commentaire

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.