CapCowork 1.2.6: auditoría de seguridad completa y facturación de las reservas más fiable

Una versión de seguridad

Esta versión reúne el contenido de la 1.2.4, que no se distribuyó.

El módulo se ha revisado de principio a fin desde el punto de vista de la seguridad. Cada observación se ha corregido y acompañado de su prueba de no regresión, para que no vuelva a aparecer. Es lo esencial de esta versión, y la razón para actualizarla sin esperar.

Lo que esto cambia concretamente en una instalación:

• el token anti-CSRF se exige en el registro de llegada en recepción, la generación de los pases de día, la conversión de una solicitud y las reparaciones de administración;
• los códigos QR de los pases de día y las acreditaciones de visitante se extraen del generador aleatorio criptográfico;
• las páginas y el menú de los pases de día están sujetos a su propio permiso;
• la limitación de los formularios anónimos se cuenta por dirección IP en base de datos: un robot que elimina sus cookies ya no la elude;
• los fallos SQL se registran en lugar de ignorarse, las ordenaciones de lista se toman de una lista blanca y se refuerza el escapado de las salidas.

Reservas, pedidos y facturas

Una reserva solo se confirma cuando el pedido se valida realmente, y se marca como facturada cuando la factura se paga realmente. Las dos vías comprueban el permiso que exigen, y un pedido ya facturado marca sus reservas.

El vínculo entre una reserva y su pedido se guarda ahora realmente: sobrevive al guardado de la ficha.

La detección de los conflictos de reserva falla en modo cerrado en caso de error SQL, en lugar de dejar pasar la reserva, y respeta el tiempo de preparación declarado en el espacio.

Portal, multiempresa y publicación

• se acabó el bucle de redirección detrás de un proxy que termina el TLS;
• las direcciones del portal se derivan de la raíz configurada;
• la cookie de idioma se emite como «secure»;
• la entidad solo se fija mediante la cabecera DOLENTITY cuando la configuración del servidor lo permite, y los objetos creados se guardan en la entidad que los crea;
• una sola regla de publicación de los espacios, compartida por el catálogo, el formulario de reserva, los eventos y las imágenes. Los espacios en mantenimiento se rechazan en todas partes, y un lugar privado ya no se filtra por sus eventos.

Correcciones visibles en el día a día

Los anuncios vuelven a ser modificables tras su creación, las casillas de eliminación de la foto y de la imagen de portada funcionan de nuevo, y la ordenación de los tipos de coworkers está reparada. Las fechas sobreviven a un guardado de ficha, el consumo del monedero de créditos es atómico y firmado, y las tareas programadas ya no utilizan SQL propio de MySQL.

El juego de demostración genera una contraseña al azar en cada ejecución, restaura la política de contraseñas y los ajustes del portal cuando se purga, y su purga se limita a la entidad actual.

Pruébelo

Pruebe CapCowork en un Dolibarr instalado en menos de 20 segundos, con un espacio de coworking de demostración ya completado: dolitest.fr/capcowork

Actualización

Suba la nueva versión y luego desactive y reactive el módulo. Los pases de día dependen ahora de su propio permiso, «Gestionar los pases de día»: concédalo a los usuarios que los generen, de lo contrario el menú desaparecerá para ellos. Compatible con Dolibarr 18 a 23.