Les bricoles du web - Dotclear

Nouvelle extension My URL Handlers

Sacha — Thu, 17 Jul 2008 20:22:00 +0200

À qui s'adresse cette extension^[1] ?

À tous les utilisateurs avancés de Dotclear qui souhaitent personnaliser certaines URL de leur blog.

Par exemple, avec cette nouvelle extension, il est possible de renommer l'URL du flux RSS http://example.com/feed/rss2 en http://example.com/flux/rss2.

Vous pouvez renommer aussi bien les URL par défaut de Dotclear que celles des extensions.

Note : Si vous n'arrivez pas à modifier l'URL d'une extension, merci de contacter d'abord l'auteur de cette extension, et l'auteur me contactera si je peux faire quelque chose de mon côté.

Aperçu de l'interface d'administration

Installation

L'extension est compatible avec Dotclear 2.0^[2].

Il vous suffit de télécharger l'archive Zip depuis le dépôt dcPlugins, l'installer, et configurer les URL à votre guise :)

P.-S. Note aux développeurs

Cette extension est possible grâce à une conception géniale de Dotclear qui prévoit (presque) tout. Si vous avez une extension qui réécrit les URL par défaut de Dotclear pour proposer son propre gestionnaire, vous pouvez les réécrire de la façon suivante (exemple pour post) :

$core->url->register('post',
	$core->url->getBase('post'),
	sprintf('^%s/(.+)$',$core->url->getBase('post')),
	array('classeDuPlugin','methodeDuPlugin'));

Cet exemple, au lieu d'écrire l'URL "post" en dur, utilise l'URL qui a été définie précédemment pour le gestionnaire d'URL "post". En temps normal, cela revient au même, mais si l'utilisateur a modifié l'URL du gestionnaire "post", c'est l'URL de l'utilisateur qui sera utilisée. Si vous voyez d'autres finitions à faire, discutons-en ensemble.

Notes

[1] Notez l'emploi du mot extension plutôt que plugin : il est temps d'harmoniser le vocabulaire employé pour désigner les bidules qui s'installent avec un fichier Zip sur Dotclear

[2] Si vous avez une version plus ancienne, vous pouvez essayer d'installer une ancienne version de My URL Handlers, qui ne gère pas les URL des extensions. Aucun support ne sera assuré.

Lightbox officiel, la revanche

Sacha — Fri, 29 Feb 2008 23:29:00 +0100

De nombreux plugins du type Lightbox pour Dotclear ont vu le jour, comme Lightbox JS, dcLightbox, dcjQueryLightBox, et même moi je n'ai pas résisté à créer Litebox.

Et pour compléter cette liste, Olivier a récemment écrit un plugin nommé Lightbox tout court. L'avantage du plugin d'Olivier est d'être extrêmement simple et clair. Toute la configuration se résume à une case à cocher dans les Paramètres du blog.

Il n'y a plus rien à bidouiller, toutes les images qui apparaissent sous forme de lien sont automatiquement prises en compte par Lightbox (en utilisant jQuery). C'est tout bonnement génial :-)

Le plugin est déjà installé sur les blogs Phénix.net, on peut le tester par exemple sur mon billet avec quelques photos prises lors des vacances de Noël. Son installation nécessite la dernière version en développement de Dotclear, et il est disponible sur le serveur SVN.

dcPlugins : deux nouveaux membres rejoignent le projet !

Sacha — Sun, 03 Feb 2008 11:50:00 +0100

Le projet dcPlugins accueille deux nouveaux membres, Osku et Fran6t.

Bienvenue Osku, bienvenue Fran6t !

Et ce n'est pas tout !

Osku, bien connu pour ses magnifiques thèmes, a déjà eu le temps de développer un plugin, il s'appelle Carnaval et il permet de mettre en valeur certains commentaires de votre blog.

N'hésitez pas à le tester.

Live Counter, pour afficher le nombre de visiteurs connectés sur votre blog

Sacha — Fri, 30 Nov 2007 21:55:00 +0100

À la demande de Jean-François, j'ai conçu encore un plugin Dotclear. Cette fois-ci il s'agit d'un compteur, qui sait compter le nombre de visiteurs en ligne.

Intégration dans la partie publique

Widget Visiteurs connectés

Fichier template

Vous avez deux fonctions template pour afficher le nombre de visiteurs connectés.

{{tpl:ConnectedUsers}} renvoie le nombre de visiteurs connectés (plus grand ou égal à 1).

<tpl:ConnectedUsersIf> est un block permettant de faire quelques tests avant d'afficher le nombre de visiteurs. Il accepte cinq paramètres :

expires spécifie le temps d'expiration au delà duquel un visiteur n'apparaît plus comme connecté.
number vérifie si le nombre de visiteurs connectés correspond à celui qui est spécifié.
min vérifie si le nombre de visiteurs connectés est supérieur ou égal à la valeur spécifiée.
max vérifie si le nombre de visiteurs connectés est inférieur ou égal à la valeur spécifiée.
operator permet en plus de spécifier si toutes les conditions précédentes doivent être vérifiées (valeur and) ou si l'une des conditions suffit (or).

Exemple

L'exemple si-dessous n'affiche rien si un seul visiteur est connecté au site, affiche "Seulement n visiteurs en ligne." si n ne dépasse pas 10, ou encore "n visiteurs connectés." dans tous les autres cas. Le temps d'expiration est fixé à 10 minutes.

<tpl:ConnectedUsersIf min="2" max="10" expires="10">
	Seulement {{tpl:ConnectedUsers}} visiteurs en ligne.
</tpl:ConnectedUsersIf>
<tpl:ConnectedUsersIf min="11">
	{{tpl:ConnectedUsers}} visiteurs connectés.
</tpl:ConnectedUsersIf>

Configuration avancée

Il est possible de désactiver le cache du navigateur client afin d'afficher une information toujours d'actualité. Il est également possible de spécifier un dossier spécifique pour stocker les données du plugin. Seul l'administrateur peut configurer ces options par l'intermédiaire du plugin about:config (si absent, téléchargeable ici).

Télécharger le plugin

Choisissez la version la plus récente sur le serveur de téléchargements.

Un patch de sécurité pour Dotclear

Sacha — Fri, 30 Nov 2007 00:00:00 +0100

Deux raisons justifient ce patch :

Il existe un problème de sécurité dans Dotclear qui permet d'exécuter du code JavaScript sur le navigateur de l'administrateur du blog à son insu.
L'information sur l'adresse IP d'un commentaire ou d'un rétrolien est facilement falsifiable. De même, tous les filtres Antispam basés sur la vérification de l'adresse IP sont dérisoires pour un spammeur utilisant cette vulnérabilité Dotclear.

Description technique

La fonction realIP() de la classe http de Clearbricks renvoie un contenu (censé être l'adresse IP du client) qui peut être modifié arbitrairement par le client en précisant les en-têtes HTTP CLIENT_IP ou X_FORWARDED_FOR sur son navigateur web (p.ex. en utilisant l'extension Modify Headers pour Firefox). De plus, il est possible d'assigner du code JavaScript à CLIENT_IP qui sera exécuté sur le navigateur de l'administrateur du blog au moment de la prévisualisation d'un commentaire ou de l'édition d'un article existant^[1].

Correction rapide

Le moyen le plus simple de corriger cette faille de sécurité est d'éditer le fichier inc/clearbricks/common/lib.http.php. Il faut de remplacer la fonction realIP() (lignes 129 - 189) par celle-ci :

	public static function realIP()
	{
		if (isset($_SERVER['REMOTE_ADDR'])) {
			return $_SERVER['REMOTE_ADDR'];
		}
		else {
			return null;
		}
	}

Vous pouvez également télécharger le fichier lib.http.php joint à ce billet et le mettre à la place de l'ancien fichier.

Patch pour la version SVN

La correction rapide suffit parfaitement pour corriger cette faille de sécurité. Ce qui suit s'adresse donc à des personnes qui connaissent bien au moins les bases de la programmation et qui souhaitent faire une correction "plus propre". Si ce n'est pas votre cas, il est plus sûr d'opter pour la correction rapide, qui est équivalente.

Le patch se situe dans les documents annexes à ce billet.

Un exploit ?

Je ne montre pas ici la manière dont cette vulnérabilité peut être exploitée pour, par exemple, se connecter en tant qu'administrateur sur un blog vulnérable. Cependant c'est faisable sans trop de peine. Si je ne m'en suis pas occupé, c'est parce que mon temps libre est limité et j'ai autre chose à faire que de montrer les conséquences qu'une omission de cette correction peut avoir.

Notes

[1] La preuve, suite à un incident (involontaire de ma part), brol m'a poliment proposé d'utiliser mon propre blog pour mes essais de merde. Que brol soit rassuré, j'utilisais mon propre blog pour le faire, c'est juste que j'avais oublié de désactiver l'extension qui me permettait de faire ces essais quand je visitais son blog.

HTTP Redirect, un nouveau plugin pour Dotclear

Sacha — Fri, 23 Nov 2007 00:00:00 +0100

Si jamais vous avez besoin de déplacer proprement certains billets de votre blog ailleurs, ce plugin sera pour vous d'une certaine utilité, car il permet de spécifier une URL de redirection pour chaque billet. Le plugin utilise l'en-tête HTTP Location accompagnée du code de statut 301, Moved Permanently pour déplacer définitivement le contenu ailleurs.

Utilisation

Plutôt simpliste, il vous suffit d'écrire la nouvelle adresse dans le champ URL de redirection, et les visiteurs seront automatiquement redirigés.

Il est également possible d'affecter des adresses de redirection à plusieurs billets à la fois par l'intermédiaire du menu Action se trouvant en bas de la liste des billets.

Si vous souhaitez cacher ces billets de la partie publique, il suffit de mettre l'état de chaque billet sur non publié^[1]. La redirection continuera de fonctionner.

Installation & mise à jour

Suivez la procédure normale d'installation et de mise à jour.

Notes

[1] Comprenez bien que cocher la case Cacher revient à mettre le billet hors ligne.

Comment gérer proprement ses plugins Dotclear

Sacha — Thu, 22 Nov 2007 00:00:00 +0100

Pour être sûr qu'un plugin s'installe ou se met à jour correctement, il suffit d'appliquer quelques règles simples. Un plugin Dotclear idéal ne devrait demander que les étapes suivantes pour s'installer ou se mettre à jour.

Installation d'un nouveau plugin

Si un plugin incompatible existe^[1], le désinstaller.
Installer le nouveau plugin^[2].
Aller dans le Tableau de bord^[3].
Configurer le plugin selon la méthode décrite dans sa documentation.

Mise à jour

Retirer le plugin de la partie publique du blog et le désactiver si possible^[4]. Cela peut être fait de plusieurs façons :
- En retirant les widgets du plugin
- En éditant les fichiers template des thèmes utilisés
- En modifiant la configuration du plugin (certains plugins ont une option permettant de les désactiver)
S'assurer de disposer d'une archive de l'ancienne version pour pouvoir revenir en arrière en cas de problème.
Supprimer le plugin.
Installer la nouvelle version du plugin.
Aller dans le Tableau de bord^[5].
Ajuster le configuration du plugin pour le réintégrer dans la partie publique.

Désinstallation

Désactiver le plugin dans la partie publique.
Supprimer le plugin.

Notez cependant que les plugins peuvent laisser des paramètres de configuration sur votre installation Dotclear, même une fois désinstallés. Ceci permet de retrouver vos paramètres si vous décidez finalement de remettre en place un plugin désinstallé.

Notes

[1] Il peut s'agir des plugins différents remplissant la même fonctionnalité.

[2] Pour installer un plugin, vous pouvez télécharger un paquetage d'installation automatique à travers le menu Extensions, onglet Ajouter une nouvelle extension. Ou bien encore manuellement via le serveur FTP, en plaçant le contenu de l'archive dans le dossier plugins.

[3] Cette étape est importante. Certains plugins contiennent des fichiers d'installation qui sont exécutés à ce moment-là. Vous êtes notifié si une installation a lieu.

[4] N'ignorez jamais cette étape, même si elle peut paraître un peu fastidieuse. Cela évite des erreurs sur votre blog, comme par exemple celle-ci : Callback not found for widget [Nom-du-plugin].

[5] Étape importante, car elle permet de lancer une procédure de mise à jour automatique.

Dotclear - Éliminez le spam dans les rétroliens avec... Rétrocontrôle

Sacha — Tue, 30 Oct 2007 14:22:00 +0100

J'ai remarqué que l'une des choses heureuses dans Dotclear est l'absence presque totale de messages indésirables dans les commentaires. Mais pour les rétroliens malheureusement, ça ne fait que proliférer.

Jusque la semaine dernière, j'enregistrais plus de 100 rétroliens indésirables par jour et par blog. Tous arrêtés par mon filtre, Rétrocontrôle. Mais la liste des messages indésirables commençait à m'agacer. Puis un jour, Da Scritch proposa d'adapter Spamtimeout de Laurent Simon à Dotclear 2.

Et ça, c'était une très bonne idée, car depuis que j'ai ajouté la fonctionnalité d'adresse de rétrolien jetable à Rétrocontrôle, plus de spam, nulle part !

Ça sera l'occasion de réouvrir les rétroliens pour ceux qui étaient contraints de les fermer. La documentation est disponible sur Phénix.net.

Télécharger Rétrocontrôle.

Dotclear - Suivez les commentaires en temps réel avec Jabber !

Sacha — Tue, 30 Oct 2007 13:40:00 +0100

Si vous êtes blogueur, vous utilisez sans doute déjà RSS, qui vous notifie des nouveaux commentaires apparus sur votre blog. RSS, c'est bien, c'est simple et pratique. Mais pour ceux qui veulent encore plus que ça, j'ai fait Jabber Notifications 2.

Notifications en temps réel
Plus besoin de gérer les flux RSS multiples, car les notifications sont activables pour :
- vos billets
- les billets de votre blog par défaut
- tous vos blogs
- tous les blogs de la plateforme Dotclear dont vous êtes le super-administrateur
Pas de trafic inutile généré par un agrégateur RSS

Initialement écrit par Olivier Tétard, le plugin a été réécrit pour avoir une nouvelle interface utilisateur et une nouvelle bibliothèque Jabber, qui a l'avantage d'être plus rapide.

Installer et configurer

Commencez par télécharger le plugin et l'installer.

La configuration se passe aux deux endroits :

Pour les administrateurs de la plateforme Dotclear, un nouvel item dans le menu Extensions apparaît et permet de configurer le compte Jabber nécessaire à l'envoi des notifications.
Pour les utilisateurs, une section Notifications Jabber est disponible dans les Préférences utilisateur.

Le plugin est jeune, soyez indulgents. :p

Notes de version

Dernière version : 2.4-beta1 du 20 février 2008

Possibilité d'utiliser une connexion sécurisée SSL / TLS (Compatibilité avec Gmail, voir commentaire #14)

Anciennes versions : ~~2.1~~ du 31 octobre 2007

Corrections, amélioration des performances (x3), nettoyage du code de la bibliothèque Jabber

Dotclear - Envie de couleurs ? Invitez Arlequin sur votre blog !

Sacha — Sun, 14 Oct 2007 16:55:00 +0200

Dans la série Les blogs qui ne parlent que des blogs, voici un billet sans doute très utile qui s'adresse à tous les blogueurs utilisant Dotclear 2. Mais venons au fait : qui est Arlequin et que peut-il faire pour vous ?

Arlequin, c'est un aiguilleur au service de vos visiteurs qui choisit un habillage à leur goût.

Arlequin, c'est donc une façon très simple d'utiliser plusieurs thèmes sur un seul blog.

Démonstration

Dans les menus de navigation de ce site, vous trouverez cette section :

Cliquez sur le thème de votre choix pour changer l'habillage du blog.

En savoir plus

Si ce plugin vous intéresse, consultez sa fiche sur plugins.da.

Dotclear - Personnaliser l'affichage de derniers commentaires

Sacha — Sat, 15 Sep 2007 19:39:00 +0200

Dcom, c permet de personnaliser l'affichage du widget Derniers commentaires. Si vous êtes intéressés, voici le paquetage d'installation et la documentation.

Je dévoile ici quelques exemples d'utilisation.

Astuce : afficher le contenu du commentaire dans des infobulles

Méthode 1 : attribut title de la balise HTML a

On peut ajouter un titre au lien vers le commentaire, c'est alors le navigateur qui se chargera d'afficher l'infobulle. C'est une bonne méthode, simple et correcte. On peut utiliser le format d'affichage suivant :

<a href="%5$s" title="%4$s">%2$s - %3$s<br/>%1$s</a>

Méthode 2 : créer notre propre infobulle en CSS

La méthode précédente a quelques inconvénients : la plupart des navigateurs coupent les attributs title trop longs et l'apparence de cette infobulle ne peut pas être personnalisée.

Le site PêUR propose cette méthode en trois étapes :

Choisissez ou créez l'image correspondante à la mise en forme de votre infobulle et placez-la dans le dossier de votre thème sous le nom infobulle.gif.
Modifiez la feuille de style de votre thème (via le fichier custom.css s'il existe) en y ajoutant le code suivant :

a.tooltip em {
    display:none;
}
a.tooltip:hover {
    border: 0;
    position: relative;
    z-index: 500;
    text-decoration:none;
}
a.tooltip:hover em {
    font-style: normal;
    display: block;
    position: absolute;
    top: 20px;
    left: -10px;
    padding: 5px;
    color: #000;
    border: 1px solid #bbb;
    background: #ffc;
    width:170px;
}
a.tooltip:hover em span {
    position: absolute;
    top: -7px;
    left: 15px;
    height: 7px;
    width: 11px;
    background: transparent url(infobulle.gif);
    margin:0;
    padding: 0;
    border: 0;
}

La dernière étape consiste à utiliser le format d'affichage suivant dans le widget Dcom :

<a href="%5$s" class="tooltip"><strong>%3$s</strong> - %2$s<em><span></span>%4$s</em></a>

Dotclear - Changer le mot de passe administrateur

Sacha — Wed, 08 Aug 2007 09:47:00 +0200

Vous avez oublié votre mot de passe administrateur de votre blog Dotclear 2. Vous ne pouvez plus le changer parce que votre serveur ne peut pas vous envoyer de mail ou alors parce que vous avez saisi une adresse e-mail incorrecte !

Ça y est, c'est la catastrophe

Pas de panique

Il n'y a pas de quoi s'inquiéter, nous avons le hack pour débloquer la situation. C'est simple et rapide, il n'y a rien à bidouiller. :)

Tout réparer en deux minutes

Téléchargez votre fichier passwd.php^[1]
Transférez-le dans le dossier admin/ de votre installation Dotclear
Dans votre navigateur web favori, allez sur

http://votre-site.tld/votre-installation-dotclear/admin/passwd.php

C'est tout, il ne vous reste plus qu'à suivre les instructions affichées. :) Drôlement simple n'est-ce pas ?

N'oubliez pas de retirer le fichier passwd.php de votre serveur quand vous aurez fini.

P.-S. C'est Moe qui m'a donné l'idée de faire la chose dans ce forum. Vous pouvez également regarder le code source de ce script.

Notes

[1] Remarque : ce fichier passwd.php est généré automatiquement pour n'autoriser l'accès qu'à votre adresse IP. Éditez-le si votre adresse IP change.

Rendre la saisie de l'e-mail optionnelle dans Dotclear

Sacha — Thu, 19 Jul 2007 18:40:00 +0200

Certains visiteurs préfèrent ne pas saisir leur adresse e-mail quand ils commentent des blogs. Certains sont même allés jusqu'à prétendre que cela baisse le nombre de visites sur leur blog. Quoi qu'il en soit, si vos visiteurs se sentent gênés à l'idée de saisir leur adresse e-mail, vous remarquerez avec raison qu'il n'y pas d'option dans Dotclear permettant de désactiver la vérification de l'e-mail.

La raison ? La vérification d'email évite certains spams et idem pour la prévisualisation, répond-on sur le forum Dotclear. Mais Dotclear a déjà un système antispam intégré efficace qui fonctionne grâce aux champs cachés (peut-être sur l'idée de Ploum).

Télécharger Email Optionnel

Lien de téléchargement

Configuration

Pour désactiver la vérification de l'adresse e-mail dans les commentaires, il suffit d'aller sur la page Paramètres du blog et cocher la case correspondante à Adresse e-mail optionnelle.

Support

Si vous comprenez l'anglais, utilisez cet espace. Autrement, un commentaire si-dessous fera aussi bien l'affaire.

Les bricoles du web - Dotclear

Nouvelle extension My URL Handlers

À qui s'adresse cette extension[1] ?

Aperçu de l'interface d'administration

Installation

P.-S. Note aux développeurs

Notes

Lightbox officiel, la revanche

dcPlugins : deux nouveaux membres rejoignent le projet !

Et ce n'est pas tout !

Live Counter, pour afficher le nombre de visiteurs connectés sur votre blog

Intégration dans la partie publique

Widget Visiteurs connectés

Fichier template

Exemple

Configuration avancée

Télécharger le plugin

Un patch de sécurité pour Dotclear

Description technique

Correction rapide

Patch pour la version SVN

Un exploit ?

Notes

HTTP Redirect, un nouveau plugin pour Dotclear

Utilisation

Installation & mise à jour

Notes

Comment gérer proprement ses plugins Dotclear

Installation d'un nouveau plugin

Mise à jour

Désinstallation

Notes

Dotclear - Éliminez le spam dans les rétroliens avec... Rétrocontrôle

Dotclear - Suivez les commentaires en temps réel avec Jabber !

Installer et configurer

Notes de version

Dotclear - Envie de couleurs ? Invitez Arlequin sur votre blog !

Démonstration

En savoir plus

Dotclear - Personnaliser l'affichage de derniers commentaires

Astuce : afficher le contenu du commentaire dans des infobulles

Méthode 1 : attribut title de la balise HTML a

Méthode 2 : créer notre propre infobulle en CSS

Dotclear - Changer le mot de passe administrateur

Ça y est, c'est la catastrophe

Tout réparer en deux minutes

Notes

Rendre la saisie de l'e-mail optionnelle dans Dotclear

Télécharger Email Optionnel

Configuration

Support

À qui s'adresse cette extension^[1] ?