Bonjour Marc,
Jai effectué des tests depuis le compte client pour me connecter à lESSM
en utilisant les credentials que tu mas fournis.
Par contre cette url fonctionne encore alors que les credentials ne sont pas
envoyés (je constate ca depuis ce midi)
(1) HYPERLINK
"http://neptss01.axime.com/essm/authenticate-level-2.do%3Bjsessionid%3D80744
141CC4A8AD6D78A7881BF1F8415?id=275&field(EMail)=xxx@yyy.zzz
&action=login"http://neptss01.axime.com/essm/authenticate-level-2.do%3Bjsess
ionid%3D80744141CC4A8AD6D78A7881BF1F8415?id=275&field(EMail)=guyomarch@miste
rgooddeal.com&action=login
Dois-je envoyer les credentials sur une url de ce type (1) ou sur HYPERLINK
"http://neptss01.axime.com/essm/"http://neptss01.axime.com/essm/ uniquement
?
Quel retour xml dois-je avoir si lidentification est correcte et dans le
cas inverse ?
Quand ce matin laccés était encore sécurisé, je narrivais pas à faire de
redirection vers lurl (1) sans que les credentials me soient de nouveau
demandé. Pourquoi et comment puis-je redirigé correctement ma popup une fois
authentifié avec winhttp ?
Gilles
_____
De : Marc VIDAL [mailto:xxx@yyy.zzz]
Envoyé : jeudi 7 septembre 2006 11:30
À : Gilles Vernay
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : Spam:RE: Spam:RE: Spam:RE: [MisterGoodDeal] Self Service : Sécurité
du login client
Bonjour,
Nous avons des modifications sur le serveur du Self Service Eptica.
Notre partie concernant le realm fonctionne.
Est-il possible de faire des tests depuis le serveur MisterGoodDeal ?
Marc
_____
De : Gilles Vernay [mailto:xxx@yyy.zzz]
Envoyé : mercredi 6 septembre 2006 15:45
À : Marc VIDAL
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : RE: Spam:RE: Spam:RE: [MisterGoodDeal] Self Service : Sécurité du
login client
Merci, bonne fin de journée.
Gilles
_____
De : Marc VIDAL [mailto:xxx@yyy.zzz]
Envoyé : mercredi 6 septembre 2006 15:21
À : Gilles Vernay
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : Spam:RE: Spam:RE: [MisterGoodDeal] Self Service : Sécurité du login
client
Bonjour Gilles,
Malheureusement plusieurs personnes chez MisterGoodDeal travaille sur le
Self Service.
Je ne peux donc pas larrêter pour faire la mise à jour aujourdhui.
Je men occuperais demain matin.
Je te contacte dès que cest fini.
Bonne journée,
Marc
_____
De : Denis Lemarchand [mailto:xxx@yyy.zzz]
Envoyé : mercredi 6 septembre 2006 10:22
À : 'Gilles Vernay'; 'Marc VIDAL'
Cc : xxx@yyy.zzz; 'sylvain Guyomarch mistergooddeal'; 'Gerard Omont'
Objet : RE: Spam:RE: [MisterGoodDeal] Self Service : Sécurité du login
client
Importance : Haute
Bonjour,
Marc doit installer la version sécurisée du SelfService aujourdhui.
Il te tient au courant pour que tu fasses tes tests.
Bonne journée.
Denis.
_____
De : Gilles Vernay [mailto:xxx@yyy.zzz]
Envoyé : mercredi 6 septembre 2006 10:13
À : Denis Lemarchand; Marc VIDAL
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : RE: Spam:RE: [MisterGoodDeal] Self Service : Sécurité du login
client
Bonjour Denis,
Je me porte très bien, le retour du soleil nous laisse espérer un mois de
septembre plus clément que celui dAout. Jespere que tes vacances se sont
bien passées.
Merci pour ton conseil. Jutilise déjà ce composant pour communiquer avec
lAPI et créer les comptes. Pourrais-tu me communiquer les identifiants de
connection sur le self service (credentials) pour tester laccés sécurisé de
ma popup. En cas de succés elle redirigera lutilisateur sur «
http://neptss01.axime.com/essm/authenticate-level-2.do;jsessionid=xxx »
automatiquement.
Bonne journée, Gilles
_____
De : Denis Lemarchand [mailto:xxx@yyy.zzz]
Envoyé : mardi 5 septembre 2006 18:48
À : Gilles Vernay; 'Marc VIDAL'
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : Spam:RE: [MisterGoodDeal] Self Service : Sécurité du login client
Bonjour Gilles,
Comment vas-tu ?
La gestion dun post http avec des headers http à manipuler (cas de
lauthentification qui nous intéresse ici) ne peut pas se faire via le
mécanisme de form.
Je te suggère dutiliser à partir de ta page ASP lobjet COM WinHTTP.
Docs :
Référence WinHTTP : HYPERLINK
"http://msdn.microsoft.com/library/default.asp?url=/library/en-us/winhttp/ht
tp/winhttp_start_page.asp"http://msdn.microsoft.com/library/default.asp?url=
/library/en-us/winhttp/http/winhttp_start_page.asp
Un exemple dutilisation de cet objet : HYPERLINK
"http://www.motobit.com/tips/detpg_a-remote-asp-application-access/"http://w
ww.motobit.com/tips/detpg_a-remote-asp-application-access/
La référence pour lauthentification : HYPERLINK
"http://msdn.microsoft.com/library/default.asp?url=/library/en-us/winhttp/ht
tp/authentication_using_script.asp"http://msdn.microsoft.com/library/default
.asp?url=/library/en-us/winhttp/http/authentication_using_script.asp
A bientôt,
Denis.
_____
De : Gilles Vernay [mailto:xxx@yyy.zzz]
Envoyé : mardi 5 septembre 2006 14:34
À : Marc VIDAL
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : RE: [MisterGoodDeal] Self Service : Sécurité du login client
if str_jsessionid<>"" then
%>
<%
else
%>
<%
end if
_____
De : Marc VIDAL [mailto:xxx@yyy.zzz]
Envoyé : mardi 5 septembre 2006 12:12
À : Gilles Vernay
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : RE: [MisterGoodDeal] Self Service : Sécurité du login client
Bonjour,
Le jsessionid est un id créé par le serveur applicatif Java pour ses propres
besoins. Vous navez pas à vous en occuper.
Concernant les credentials, vous me parlez de la requête au Server Eptica
Email Management.
Je vous parlais du Self Service (dont ladresse est : HYPERLINK
"http://neptss01.axime.com/essm"http://neptss01.axime.com/essm). Les
credentials dont je parle seront pour lenvoi du login au Self Service.
Cordialement,
Marc VIDAL
EPTICA
_____
De : Gilles Vernay [mailto:xxx@yyy.zzz]
Envoyé : mardi 5 septembre 2006 11:44
À : Marc VIDAL
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal; Gerard Omont
Objet : RE: [MisterGoodDeal] Self Service : Sécurité du login client
Bonjour,
Nous utilisons déjà des credentials lors de la première requête sur
HYPERLINK
"http://nept01.axime.com/eptica-mgd/dispatch/api"http://nept01.axime.com/ept
ica-mgd/dispatch/api
En théorie, lidentification sur le serveur EPTICA génère à ce moment un
jsessionid unique permettant une redirection vers lESSM avec une session
authentifiée. Cependant il semblerait quune fois généré, ce jsessionid
permette laccés à lESSM de façon permanente et même lutilisation de lURL
depuis une nouvelle page internet, hors du compte client MGD.
Est-ce est normal ? Sous quel condition le jsessionid expire til ?
Cordialement, Gilles Vernay SI
_____
De : Marc VIDAL [mailto:xxx@yyy.zzz]
Envoyé : mardi 5 septembre 2006 11:14
À : Gilles Vernay
Cc : xxx@yyy.zzz; sylvain Guyomarch mistergooddeal
Objet : [MisterGoodDeal] Self Service : Sécurité du login client
Bonjour Gilles,
Suite à nos discussions et à létude du problème de sécurité du login client
avec notamment les referers, nous allons utilisé la méthode que je tai
décrite hier au téléphone.
Cette nouvelle méthode de protection répond en tout point à vos besoins et
ne nécessite aucun changement et arrêt de la plateforme Self Service en cas
de changement dadresse IP de vos serveurs ou de rajout de nouveaux serveurs
de votre côté.
La seule modification que vous avez à faire de votre côté est denvoyer des
credentials (login et mot de passe) dans la première requête http.
Cela permet davoir une sécurité au niveau du login client et de pouvoir
avancer rapidement avant la mise en production.
Cordialement,
Marc VIDAL
EPTICA
--
No virus found in this incoming message.
Checked by AVG Free Edition.
Version: 7.1.405 / Virus Database: 268.11.7/437 - Release Date: 04/09/2006
--
No virus found in this outgoing message.
Checked by AVG Free Edition.
Version: 7.1.405 / Virus Database: 268.11.7/437 - Release Date: 04/09/2006
--
No virus found in this incoming message.
Checked by AVG Free Edition.
Version: 7.1.405 / Virus Database: 268.11.7/438 - Release Date: 05/09/2006
--
No virus found in this outgoing message.
Checked by AVG Free Edition.
Version: 7.1.405 / Virus Database: 268.11.7/438 - Release Date: 05/09/2006
--
No virus found in this incoming message.
Checked by AVG Free Edition.
Version: 7.1.405 / Virus Database: 268.12.2/442 - Release Date: 08/09/2006
--
No virus found in this outgoing message.
Checked by AVG Free Edition.
Version: 7.1.405 / Virus Database: 268.12.2/442 - Release Date: 08/09/2006