[MoodleBox] Intérêt ou non du https

Re: [MoodleBox] Intérêt ou non du https

par Nicolas Martignoni,
Nombre de réponses : 9
Avatar Développeurs Avatar Développeurs de plugins Avatar Documentation writers Avatar Moodleurs particulièrement utiles Avatar Testeurs Avatar Traducteurs

Salut Daniel,

Voici les réponses que je peux te donner.

> Peut-on désactiver l'obligation du https  en modifiant ce plugin?

Il faut te renseigner auprès du développeur du plugin. En général, l'auteur d'un produit est la meilleure source pour avoir des infos correctes.

> Doit-on prévoir le https dans nos MoodleBox ?

Si c'était simple à faire, cela serait déjà fait (voir ce ticket, qui explique tout en détails: https://github.com/martignoni/moodlebox/issues/27#issuecomment-364878523). En effet, peu à peu, tous les navigateurs vont afficher des avertissements avec les serveurs web qui n'utilisent pas https. Ceci n'est pas très convivial, et ça fait peur aux utilisateurs.

Malheureusement, contrairement aux informations de Stéphane, la situation n'est pas du tout simple, pour plusieurs raisons (désolé, c'est long).

  1. Pour avoir un vrai certificat, il faut un « vrai » nom de domaine (à savoir un qui se termine par une extension valide, ce que « .home » n'est pas). Il faudrait donc changer le nom de domaine de la MoodleBox, par exemple moodlebox.me au lieu de moodlebox.home. Ce n'est pas un gros problème technique, mais imposerait un changement d'habitude des utilisateurs, ce qui n'est pas optimal.
  2. Avec un véritable nom de domaine, par exemple moodlebox.me, il n'est pas trop compliqué d'obtenir un certificat valable. Cela nécessite toutefois que lors de la génération du certificat, la MoodleBox soit connectée à Internet (pas grave, on peut le faire).
  3. Malheureusement, les certificats LetsEncrypt sont limités à une durée de 3 mois, ce qui signifie que tous les 3 mois, chaque MoodleBox devrait réclamer un nouveau certificat. Là est le problème. Je n'entre pas dans les détails, mais ce n'est pas faisable, car le détenteur du nom de domaine (en l'occurence moi, pour moodlebox.me) devrait valider pour chaque MoodleBox le renouvellement de chaque certificat. Ceci n'est pas faisable, à moins que je trouve un sponsor pour quelques centaines de milliers d'euros sourire.
  4. J'ai testé aussi la solution d'un certificat auto-signé. Cette solution n'est malheureusement  pas viable, car les navigateurs avertissent également que le certificat est auto-signé, et en plus l'app mobile de Moodle ne fonctionne pas avec de tels certificats.

J'ai beaucoup investi de temps pour essayer de trouver une solution plug-and-play, malheureusement sans succès jusqu'ici.

> Y-a-t-il une solution de contournement ?

Contournement pour accéder au plugin RTC ? Même réponse que pour ta première question.

Nicolas

Moyenne des évaluations Utile (1)
En réponse à Nicolas Martignoni

Re: [MoodleBox] Intérêt ou non du https

par stephane ngov,

Malheureusement, les certificats LetsEncrypt sont limités à une durée de 3 mois, ce qui signifie que tous les 3 mois, chaque MoodleBox devrait réclamer un nouveau certificat.


Il est vrai de ce que Nicolas dit, par contre on peut mettre en place une tache cron qui va automatiquement recharger le certificat


https://www.ekito.fr/people/lets-encrypt-installation-et-renouvellement-automatique-des-certificats/

Si on utilise le https, il faut obligatoirement acheté un nom de domaine.


Mais il est vrai dans le cas d'un non administrateur il est difficile de mettre en place le https,

en faisant un procédure à la lettre avec cerbot, on peut y arriver. Mais si c'est accompagné d'un tuto, c'est faisable.





En réponse à stephane ngov

Re: [MoodleBox] Intérêt ou non du https

par Nicolas Martignoni,
Avatar Développeurs Avatar Développeurs de plugins Avatar Documentation writers Avatar Moodleurs particulièrement utiles Avatar Testeurs Avatar Traducteurs

> Il est vrai de ce que Nicolas dit, par contre on peut mettre en place une tache cron qui va automatiquement recharger le certificat 

Non, ce n'est pas possible avec la MoodleBox, en raison du nom de domaine qui ne va pas, et du fait que le nom de domaine est partagé par toutes les MoodleBox's.

Ce serait possible si chaque utilisateur de MoodleBox a son propre nom de domaine pour chacune de ses MoodleBox's.

Merci de ne pas induire les utilisateurs de MoodleBox en erreur fâché, même si ce que vous dites est juste pour tout serveur Unix.

En réponse à Nicolas Martignoni

Re: [MoodleBox] Intérêt ou non du https

par Daniel Méthot,
Avatar Moodleurs particulièrement utiles

Bonjour,

Je vois que c'est un peu complexe.incertain

Mais avant de poster ce sujet, j'avais parallèlement contacté le concepteur du plugin, et c'est de ce côté que je commençais à travailler.

Je pense en effet que si ce plugin pouvait fonctionner sans imposer le https ce serait l'idéal.

En réponse à Daniel Méthot

Re: [MoodleBox] Intérêt ou non du https

par Patrick GUYARD,

Bonjour à tous,

Ne nous serions nous pas un peu égarés dans ce fil de discussion, en mélangeant deux choses ? Les questions liés aux plugins d'édition avec enregistrement RTC d'une part, et la question du serveur MoodleBox sous protocole HTTPS d'autre part ?
Je me permets les quelques remarques ci-dessous :

  1. Le plugin initialement cité dans la question de Daniel  (https://moodle.org/plugins/atto_recordrtc) fonctionne très bien sur un site n'utilisant pas le protocole HTTPS. Je l'ai testé ainsi, avec un Moodle 3.3.  à partir d'un client Firefox. Rappelez-vous cette discussion encore assez récente.

  2. Donc le problème rencontré par Daniel n'est pas à proprement parlé lié au protocole HTTPS, mais plutôt à la compatibilité du protocole RTC avec les navigateurs Internet récents. En effet, l'évolution des spécifications des navigateurs Internet courants empêchent désormais les connexions RTC non chiffrées. C'est notamment le cas de Chrome.
    Pour trouver une solution, il ne s'agirait donc pas de "modifier" le plugin, mais de définir un nouveau cahier des charges techniques excluant le protocole RTC, en lui préférant un protocole compatible avec les exigences des nouveaux navigateurs. Ce serait donc un nouveau plugin...
    Je suppose, Daniel, que cela peut répondre à votre question : "Peut-on désactiver l'obligation du https  en modifiant ce plugin ?" .

    Cela doit aussi répondre en partie, mais seulement provisoirement à votre question "Existe-t-il une solution de contournement ?" :
    - Oui : tant que "cela se trouve sur le marché", il suffit d'utiliser un navigateur Internet qui n'interdit pas l'enregistrement via le protocole RTC non sécurisé. Ou dans la mesure ou cela serait encore possible, il faut configurer les options de votre navigateur pour autoriser la fonction d'enregistrement RTC .

    En outre, je viens à l'instant de faire un essai via un téléphone GSM, sous Firefox, et cela fonctionne, malgré un message d'avertissement.

    Même essai avec Chrome sous Android : impossible de poursuivre après l'avertissement "votre navigateur ne permet pas l'enregistrement lors d'une connexion non sécurisée".

    Donc pour l'heure, il faudrait recommandé l'utilisation de Firefox si vous voulez utiliser l'enregistrement via connexion RTC.

  3. Attention, ce plugin d'enregistrement RTC à utiliser avec l'éditeur ATTO (il existe aussi une version pour TinyMCE) n'est pas le plugin d'activité de communication directe RTC, qui nécessite en plus une connexion avec un serveur tiers RTC.
    Désolé, je n'ai pas encore testé cette activité. Je ne m'aventurerais certainement pas sur un quelconque pronostic, ni négatif ni positif, quant aux risques de refus des nouveaux navigateurs Internet.

  4. Au sujet d'une configuration avec protocole HTTPS de la MoodleBox : je n'ajoute pas à ce qu'a écrit Nicolas, car je ne suis pas encore compétent au sujet de cette boite magique que je rêve de me procurer un jour !

    Mais concernant la question "doit-on prévoir à terme l'utilisation du protocole HTTPS pour la MoodleBox ?", il y a fort a parier que "oui" compte-tenu de l'évolution des navigateurs Internet "grand public". J'imagine d'ailleurs que c'est pour cela que Nicolas a déjà fait tant d'effort pour chercher la solution...

P.G.

Moyenne des évaluations Utile (1)
En réponse à Patrick GUYARD

Re: [MoodleBox] Intérêt ou non du https

par stephane ngov,

bonsoir, je ne sais pas si ça peu aider, pour la simplicité du http en https


https://www.mister-wp.com/tutos/https-cloudflare-ssl/


cloudflare donne gratuitement du "https" sans rien configurer  ?  en plus on gagne en rapidité de chargement des page web, à testé ...


https://www.techrevolutions.fr/votre-site-en-https-en-3-minutes-grace-a-cloudflare

En réponse à Patrick GUYARD

Re: [MoodleBox] Intérêt ou non du https

par Daniel Méthot,
Avatar Moodleurs particulièrement utiles

Merci Patrick pour ta réponse très détaillée.

Je ne pensais pas que le blocage provenait du navigateur...

J'ai fait mes tests avec Chrome (sous Mac) qui est habituellement connecté à ma MoodleBox de test.

Je vais essayer avec Firefox et si j'ai un blocage je verrai si on peut "passer outre".

Si tu rêves vraiment d'une MoodleBox, il t'en coûte moins de 100€ (avec l'alim, le boitier et la carte microSD d'excellente qualité). Sachant que l'image est fournie par Nicolas ICI.

PS: Au fait cela me fait penser que, venant de faire une livraison de quelques MoodleBox (modifiées, configurées et équipée de cours...)  au Mali, je vais, de ce pas, verser ma contribution, comme il se doit dans la communauté des logiciels libres. clin d’œil

En réponse à Daniel Méthot

Re: [MoodleBox] Intérêt ou non du https

par Nicolas Martignoni,
Avatar Développeurs Avatar Développeurs de plugins Avatar Documentation writers Avatar Moodleurs particulièrement utiles Avatar Testeurs Avatar Traducteurs

je vais, de ce pas, verser ma contribution, comme il se doit dans la communauté des logiciels libres.

Contribution bien reçue. Grands mercis !

Nicolas

En réponse à Daniel Méthot

Re: [MoodleBox] Intérêt ou non du https [Résolu]

par Daniel Méthot,
Avatar Moodleurs particulièrement utiles

Bonjour,

Effectivement, en utilisant Firefox, et malgré le message indiquant que les échanges ne peuvent se faire qu'en https ou en local on peut toutefois démarrer un enregistrement et l'intégrer dans Moodle.


Peut-être parce que connecté à la MoodleBox on est en local ?

J'y suis connecté actuellement en WiFi (évidemment).

En tout cas je vois qu'on va pouvoir utiliser les plugins RTC pour Atto et Tiny directement avec la MoodleBox.

Donc pas besoin de passer en https.

Et merci Patrick pour cette piste, car je ne pensais pas que cela était lié au navigateur...sourire

Je vais regarder si je peux désactiver ce blocage dans Chrome, au moins pour l'adresse moodlebox.home

En réponse à Daniel Méthot

Re: [MoodleBox] Intérêt ou non du https

par Patrick GUYARD,

La MoodleBox, j'en rêve encore comme on fait un caprice, car pour l'instant je n'en aurais pas vraiment l'utilité. Je ne désespère pas cependant de trouver une idée un jour, dont la solution serait "la MoodleBox !".
J'ai d'ailleurs déjà quelques sujets en tête, mais ce sera pour plus tard.