Richard Dern a écrit 198 commentaires

Oui, je vois que ta notion du propre inclue du javascript apparemment, alors faut savoir : pas d'attribut html et pas de js, on a pas avancé sur les défauts de BS quoi…

Tu m'as mal compris, mais apparemment tu cherche la petite bête alors allons-y.

Oui, je peux avoir du HTML dans un tooltip avec BS à la condition que:

• je mette ce HTML dans un data-: pas propre
• je mette ce HTML dans du JS: pas propre
• j'écrive un bout de code qui me permet d'extraire du HTML de ma page et l'injecter dans un tooltip: propre, et c'est ce que permet de faire SUI sans avoir besoin, de la part du dev, d'écrire la moindre ligne de code JS en plus

Le choix de SUI de massacrer l'ergonomie

Massacrer l'ergonomie ? Parce qu'ils me proposent des couleurs que je suis libre d'adopter ou non ?

Tu ne crois pas que tu exagère ?

À ce compte là, Google et son material design, ça doit être une catastrophe pour toi.

Ok, mettons, je suis un horrible personnage, je juge les gens sur leur utilisation des smartphones et des réseaux sociaux. Ça change quoi pour toi ? En quoi ce que je dis te gène si profondément ?

En effet. On me reproche de ne pas assumer mes positions alors voilà, j'assume: en effet, je condamne l'utilisation des données personnelles à des fins commerciales, et je je condamne l'insouciance des utilisateurs à ce sujet.

Ben faudrait savoir, tu dis plus haut que BS est inutilisable sans avoir la doc sous les yeux…

… C'est pour ça que je dis:

c'est une partie de la doc que je ne consulte jamais

Pour les tooltips avec du markup propre, voir ici.

Enfin pour les couleurs, je dis juste que j'apprécie le choix que m'offre SUI, c'est tout. C'est-à-dire que si, par exemple, je veux une couleur particulière pour une icône spécifique, ça m'est utile que SUI me propose une palette de 13 couleur précises étant donné que je ne serai pas moi-même capable de trouver une couleur cohérente par rapport au reste.

Tu ne peux pas.

Mais je n'ai qu'un mot à dire: SuperFish.

BS n'utilise plus la balise depuis un moment pour les icones

C'est exact, effectivement ça a été changé dans la doc, mais comme c'est une partie de la doc que je ne consulte jamais, ça explique pourquoi je t'ai donné l'impression de ne pas avoir utilisé BS depuis longtemps alors que je l'utilise tous les jours :)

dropdown

Je ne parle pas des menus mais des <select></select> à peu près utilisables.

tooltips

Semantic UI rend plus simple l'utilisation de tooltips avec du HTML dedans. Avec BS, faut passer par JS ou mettre du HTML dans un attribut data-, ce qui n'est pas très propre.

trop de couleurs perturbent l'utilisateur plus qu'autre chose et j'imagine mal avoir treize couleurs différentes sur une page de back-end

Évidemment, mais au moins je peux plus facilement me composer un scheme (enfin, plus varié), étant donné que je suis bien incapable de trouver des couleurs qui vont ensemble par moi-même.

tu crois vraiment que toi dans ton coin est arrivé à cette idée géniale, et que pas un des centaines d'ingénieurs sécurité chez Microsoft, Mozilla, Google et autres n'y a pensé avant ? Tu ne t'es jamais demandé pourquoi ça n'a pas été fait ?

Donc selon toi tout est déjà fait et il n'y a plus rien à changer ? On est arrivés au point où plus rien ne peut être inventé ou amélioré ? Et encore moins si on ne bosse pas dans une grande boîte américaine ?

Tu ne demande pas de laisser le choix, tu veux forcer les gens a prendre une decision qu'ils ne sont pas en mesure de prendre.

Ben oui, l'informatique c'est technique. J'en ai 150 par jour au boulot des utilisateurs obligés de prendre des décisions qu'ils ne sont pas en mesure de prendre (format de fichier, appliquer une mise à jour, télécharger un document, lire un simple mail). Heureusement que pour l'instant, ça se limite à des choses qui ne touchent pas à la sécurité.

Ben apparemment, c'est que qu'ici on n'a pas compris alors que je le précise à chaque fois: l'utilisateur ne validerait le certificat qu'à la première connexion, comme actuellement. Et si le certificat change, c'est au client (navigateur, outil console, etc.) d'avertir l'utilisateur que le certificat a changé et qu'il peut y avoir un risque de sécurité.

Je ne comprends pas pourquoi ma suggestion déchaine tant la colère de certains: c'est un peu le workflow d'une connexion ssh: la première fois que tu te connecte à un nouveau serveur ssh, le client demande d'accepter la clé (RSA/DSA etc.) du serveur, et si cette clé change, le client en averti l'utilisateur.

Bon je vais prendre le problème différemment.

Quand tu sors ton smartphone à table avec des invités, je juge: c'est un manque de respect.
Quand tu sors ton smartphone en réunion professionnelle, je juge: c'est un manque de respect.

Je te l'accorde, le problème n'est pas spécifique aux smartphones et existait avant, comme le gars devant son match de foot, que sa femme doit appeler trois fois avant qu'il se mette à table avec elle, c'est un manque de respect aussi (envers la femme, je précise, au cas où…).

Par contre, quand je dis que je suis chagriné par l'usage que les gens font d'Internet, des nouvelles technos, des RS, ce que tu veux, j'exprime un sentiment, un avis, une opinion qui n'engage que moi.

Et pour ce qui est de "glorifier un passé imaginaire", c'est vrai, je trouve que certaines situations modernes sont moins biens que certaines situations passées. En l'occurrence, monétiser la vie privée des gens, je trouve que c'est une mauvaise chose, et c'est précisément ce qui est fait avec les RS "grand public", sur lesquels 1.5 milliards de personnes se trouvent quotidiennement, généralement via leur smartphone.

Oui, je m'inquiète pour eux, à cause des dérives des entreprises capitalistes dont la plupart des utilisateurs n'a pas conscience, pas plus qu'ils n'ont conscience que leur vie peut basculer à cause d'un article qu'ils auraient produit, ou une photo d'eux qu'un contact aurait lâché publiquement.

Et ça, je me demande bien pourquoi ça te pose un problème.

• ne pas rentrer d'infos perso sur un site des bois quand son browser ne la laisse meme pas voir la page

Donc si je comprends bien, pour toi, un site avec un certificat auto-signé est forcément un "site des bois", et en plus on laisse le navigateur décider pour nous si on doit y accéder.

Un logiciel qui décide pour nous ce qui est bien ou pas pour nous.

Personnellement, je préfère qu'on me laisse le choix. Qu'on m'informe dans un premier temps (première acceptation du certificat), puis qu'on m'avertisse en cas de changement du certificat, mais qu'on me laisse le choix.

Donc ce n'est pas spécialement ma proposition qui tient pas la route, c'est aussi toutes les initiatives qui proposent des certificats gratuits, du genre Let's Encrypt, en tout cas les initiatives qui ne réclament pas ce background check. En fait, si j'ai bien compris comment Let's Encrypt fonctionne, c'est que leur autorité est approuvée par une autre, ce qui fait que si Let's Encrypt génère un certificat pour une personne malintentionnée, bah on l'a dans l'os parce que le certificat sera accepté d'office par le client.

Désolé je vais répondre par une question mais ce n'est pas rhétorique: et les CA, elles font comment pour le savoir ?

Et toi tu penses sérieusement que ta grand mère vérifie systématiquement que sa connexion est sécurisée avant de balancer ses infos sensibles n'importe où ? Nos grand-mères ne savent pas ce qu'est le HTTPs ni une connexion sécurisée.

Au moins ce que je propose a le mérite d'informer et de réclamer une action de l'utilisateur, et, présenté correctement, peut l'amener à réfléchir au lieu de faire n'importe quoi et cliquer n'importe où sans savoir à quoi s'attendre.

aies l'humilité de te demander pourquoi tout le monde dans l'industrie informatique pense différemment de toi

Tu as raison, Tor, bittorrent, bitcoin, etc. n'ont pas été créés par des gens pensant différemment des autres.

Mon raisonnement c'est qu'à l'heure actuelle, si quelqu'un te montre un passeport en carton mais que l'État te dit qu'il est valide, tu l'accepte dans la joie et la bonne humeur, sans même chercher à comprendre.

Au moins, s'il y a une étape de validation systématique, c'est de ta responsabilité d'accepter un passeport en carton.

Je l'explique dans mon article:

Par ailleurs, cette page d'avertissement devrait être nettement moins agressive. Par exemple, parler de certificat inconnu lors de la première visite, plutôt que de certificat invalide, et opter pour une mise en page évoquant l'information plutôt que l'avertissement. Et parler de changement de certificat lorsqu'on visite un site dont le certificat ne correspond plus à celui déjà accepté auparavant, en optant cette fois pour la mise en page traditionnelle, afin d'avertir l'utilisateur que, cette fois, il y a danger. Peut-être même afficher directement le certificat au lieu de devoir l'afficher dans une boîte de dialogue.

Va t'on faire prendre un risque trop important pour 99,999% de la population à cause d'un message d'alerte trop complexe pour satisfaire le désir de pinaillage technique de qq geeks ?

Je crois qu'il y a au moins un paragraphe de ce que j'ai écris que tu n'as pas lu ou pas compris.

Je trouve justement qu'il est bien plus risqué que le navigateur ne pose aucune question quand un certificat est signé par une autorité racine, et qu'au contraire, à la première connexion, il devrait demander à l'utilisateur ce qu'il veut faire, sous une forme informative et non sous la forme d'une erreur, sauf si le certificat a changé depuis la première connexion.

En conséquence, la notion même de certificat auto-signé n'a même pas besoin d'être abordée par le navigateur lorsqu'il demande à l'utilisateur s'il veut accepter ou non le certificat.

Sauf que ta solution de remplacement est carrément plus nulle car comment valider soi-même que le mec qui te présente un certificat est bien celui qu'il dit être ?

Oui donc au final il y a toujours quelqu'un qui prend la décision de dire si c'est ok ou pas. Personnellement, je n'aime pas l'idée de trouver un autre responsable que soi-même en cas d'erreur, parce que finalement c'est de ça dont il s'agit, pas tellement l'identification.

2/ Refuser de faire confiance aux tiers ad-hoc, pour finir par accepter les certificats à l’aveugle, c’est space comme logique.

C'est là toute l'idée: ne pas accepter de certificat à l'aveugle, même s'ils sont signés par une autorité de certification.

Pourquoi inconscient ?

Un certificat de base, c'est 10 balles chez Gandi : https://www.gandi.net/ssl/grid?lang=fr. Le prix que tu donnes me parait plutôt concerner un certificat wildcard (*.mondomaine.com).

Chez Thawte, l'exemple le moins cher que je donne, le certificat à 99 euros est pour un domaine unique avec une garantie de $500'000. Chez Gandi, c'est 72 euros avec une garantie de $250'000 d'après les grilles tarifaires. Donc a priori, les tarifs sont équivalents en réalité.

Un cadenas vert dans un navigateur ou l'acceptation transparente d'une connexion https en console, il n'y a pas vraiment de différence pour moi.

Et c'est pourquoi je m'insurge contre le concept d'autorité de certification sur lequel on n'a pas de contrôle :)

Tu confonds depuis ta première réponse avis et jugement. Je ne te blâme pas: beaucoup de gens font de même.

À savoir une machine à cash sur la vie privée des gens en leur faisant croire qu'ils sont plus heureux comme ça. Et que ça marche.
Et alors ? Ce n'est pas ton problème je crois. C'est leur vie privée, pas la tienne.

Oh je sais bien que tu as raison, mais pourquoi es-tu aussi perturbé de mon inquiétude pour le monde ? N'est-ce pas légitime pour un humain d'exprimer ses sentiments relatifs à sa propre espèce ?

Avec un certificat auto-signé, d'office il est évident que je ne cible pas le commun des mortels.

Même LinuxFR, il n'y a pas si longtemps que ça, avait utilisé des certs auto-signés (cela posait des soucis pour les images notamment, si je ne me trompe pas). Ok maintenant le cert est signé par Gandi, sauf erreur de ma part, mais il n'empêche que c'est arrivé :)

Après j'ai une réflexion poussée sur le sujet que j'évoque sur mon site.

Pour ce qui de l'auto-publication, j'ai mis un truc en place via le flux atom, qui ne fait pas ce qu'il faudrait (convertir les keywords en hashtags et les rajouter à la fin du post). Du coup je voulais faire un truc moi-même, mais je reste bloqué à l'étape où il faut leur refiler mon numéro de portable pour pouvoir créer une app et avoir les tokens d'authentification, puisque je n'ai pas de portable, pour rappel :)

Mais en gros, c'est l'idée, mais je voudrai m'assurer que le site distant sur lequel j'auto-reposte soit ok avec ces pratiques. Il y a quelques années en arrière ce n'était pas très bien vu alors vu que j'ai raté le coche des RS je ne sais plus maintenant…

@GuieA_7: Juste un petit HS: j'aime beaucoup ce que tu as réalisé sur OGA.