CapCowork 1.2.6 : audit de sécurité complet et facturation des réservations fiabilisée

Une version de sécurité

Cette version rassemble le contenu de la 1.2.4, qui n'a pas été diffusée.

Le module a été relu de bout en bout du point de vue de la sécurité. Chaque constatation a été corrigée et accompagnée de son test de non-régression, pour qu'elle ne revienne pas. C'est l'essentiel de cette version, et la raison de la mettre à jour sans attendre.

Ce que cela change concrètement sur une installation :

• le jeton anti-CSRF est exigé sur l'enregistrement d'arrivée à l'accueil, la génération des passes jour, la conversion d'une demande et les réparations d'administration ;
• les QR codes des passes jour et les badges visiteurs sont tirés du générateur aléatoire cryptographique ;
• les pages et le menu des passes jour sont soumis à leur propre permission ;
• la limitation des formulaires anonymes est comptée par adresse IP en base : un robot qui jette ses cookies ne la contourne plus ;
• les échecs SQL sont tracés au lieu d'être avalés, les tris de liste sont pris dans une liste blanche et l'échappement des sorties est renforcé.

Réservations, commandes et factures

Une réservation n'est plus confirmée que lorsque la commande est réellement validée, et marquée facturée que lorsque la facture est réellement payée. Les deux chemins vérifient la permission qu'ils exigent, et une commande déjà facturée marque bien ses réservations.

Le lien entre une réservation et sa commande est désormais réellement enregistré : il survit à l'enregistrement de la fiche.

La détection des conflits de réservation échoue fermée en cas d'erreur SQL, au lieu de laisser passer la réservation, et respecte le temps de préparation déclaré sur l'espace.

Portail, multi-société et publication

• plus de boucle de redirection derrière un proxy qui termine le TLS ;
• les adresses du portail sont dérivées de la racine configurée ;
• le cookie de langue est émis en "secure" ;
• l'entité n'est fixée par l'en-tête DOLENTITY que lorsque la configuration du serveur l'autorise, et les objets créés sont rangés dans l'entité qui les crée ;
• une seule règle de publication des espaces, partagée par le catalogue, le formulaire de réservation, les événements et les images. Les espaces en maintenance sont refusés partout, et un lieu privé ne fuit plus par ses événements.

Corrections visibles au quotidien

Les annonces redeviennent modifiables après leur création, les cases de suppression de la photo et de l'image de couverture fonctionnent de nouveau, et le tri des types de co-workers est réparé. Les dates survivent à un enregistrement de fiche, la consommation du portefeuille de crédits est atomique et signée, et les tâches planifiées n'utilisent plus de SQL propre à MySQL.

Le jeu de démonstration tire un mot de passe au hasard à chaque exécution, restaure la politique de mot de passe et les réglages du portail lorsqu'il est purgé, et sa purge reste limitée à l'entité courante.

Essayez-le

Essayez CapCowork sur un Dolibarr installé en moins de 20 secondes, avec un espace de coworking de démonstration déjà rempli : dolitest.fr/capcowork

Mise à jour

Déposez la nouvelle version, puis désactivez et réactivez le module. Les passes jour dépendent désormais de leur propre permission, "Gérer les passes jour" : accordez-la aux utilisateurs qui en génèrent, sans quoi le menu disparaît pour eux. Compatible Dolibarr 18 à 23.