Le plugin Accès Restreint

Utilité et fonctionnalités du plugin

Le plugin accès restreint vous permet de protéger et de restreindre l’accès à certaines rubriques uniquement aux visiteurs authentifiés et autorisés. Si un visiteur n’est pas authentifié ou s’il n’est pas autorisé, alors l’intégralité de la rubrique (ce qui inclus les sous rubriques, les articles, les liens ...) ne seront pas accessible à ce visiteur. Si le visiteur est authentifié, alors ce visiteur pourra accéder aux rubriques pour lesquelles il a reçu une autorisation d’accès. Ainsi, ce plugin vous permet de masquer du contenu aux visiteurs non identifiés, et de créer des droits d’accès aux visiteurs identifiés. Les dernières versions de ce plugin permettent (à partir de SPIP 1.9.2) de filtrer également l’espace privé. Pour les versions précédentes, on parle de visiteurs identifiés ou non, et uniquement de visiteurs, les rédacteurs et les administrateurs auront eux accès à l’intégralité des contenus depuis l’espace privé. En résumé, le plugin accès restreint permet de définir et de gérer des zones de l’espace public (et de l’espace privé à partir de spip 1.9.2) en accès restreint. _ Chaque zone contient des rubriques, et les auteurs peuvent être associés à des zones pour avoir le droit d’y accéder.
Toutes les boucles natives de SPIP sont surchargées pour en filtrer les résultats en fonction des droits du visiteur.

I. Installation du plugin accès restreint

1. Placez le plugin, après l’avoir récupéré dans les packages de la zone, http://zone.spip.org/files/spip-zone/, dans un dossier nommé plugins à la racine de votre site SPIP. 2. Allez dans l’espace privée du site : Configuration / Gestion des plugins en tapant l’url suivante : ecrire/ ?exec=admin_plugin 3. Cochez le plugin Accès restreint et validez |

| 4. Videz le cache Attention : en activant ou en désactivant ce plugin, il faut penser à vider le cache de SPIP. Sinon, vous aurez les erreurs php décrites dans le forum de cet article.

II. Définir les zones en accès restreint

Les étapes précédantes ont pour effet de faire apparaître un nouvel onglet dans Configuration / Accès restreint, avec une petite icone de cadenas : ecrire/ ?exec=acces_restreint |

| C’est cette page qui va vous permettre de gérer les zones d’accès restreint de votre site, créer de nouvelles zones ou modifier les zones existantes. Pour créer votre première zone, cliquez sur le raccourci Créer une nouvelle zone. |

| L’administrateur qui crée la zone peut s’octroyer immédiatement les droits d’accès. Seul un administrateur général du site peut créer, modifier ou supprimer une zone. - créer une nouvelle zone
– lui donner un titre
– lui donner un descriptif
– cocher « m’ajouter les doits d’accès à cette zone » Il faut définir les rubriques qui en font partie. Si on coche la racine du site, il n’y a plus aucun affichage sur l’espace public pour ceux qui ne sont pas identifiés. C’est pratique, par exemple, pour mettre un site en ligne pour les admins et les auteurs sans qu’il soit visible pour le simple visiteur. Les rubriques qui sont cochées sont explicitement restreintes. Si elles sont déplacées dans le site, elle le resteront. Les rubriques qui ne sont pas cochées mais dépendent d’une rubrique restreinte sont elles aussi restreintes, par héritage. Mais si elles sont déplacées dans l’arborescence dans une zone non restreinte elles seront visibles. Il faut imaginer la restriction d’acces des rubriques comme une restriction d’accès dans un immeuble : lorsqu’il faut un autorisation pour franchir une porte, tout ce qui est derrière se retrouve en accès restreint. Valider pour créer la zone. Vous obtiendrez alors ceci : |

| Toutes les rubriques restreintes de la zone (explicitement ou indirectement) apparaissent sur fond coloré. La liste des auteurs ayant accès à une zone est affichée sous le formulaire d’édition. Pour revenir à la liste des zones, cliquez sur Voir toutes les zones : |

|

III. Créer des auteurs et/ou des visiteurs et leur donner les droits sur les rubriques protégées

Une fois la ou les zones créées, il faut aller dans la fiche auteur et indiquer à quelles zones l’auteur ou le visiteur ont accès. La fonction de restriction par zone n’apparaît, en effet, qu’après la création d’un auteur. ecrire/ ?exec=auteurs_edit&id_auteur=2 |

| |

| Un administrateur général du site peut ajouter ou supprimer l’accès à toute zone pour tous les auteurs (administrateur, rédacteur ou visiteur). Un administrateur restreint ne peut intervenir que sur les rédacteurs et les visiteurs. Il peut accorder ou supprimer l’accès uniquement aux zones auxquelles il a lui-même accès. Il lui est également possible d’accorder l’accès à une des ces zones à un autre administrateur mais ne peut lui supprimer l’accès. L’interface du plugin est internationalisée. Mais pour l’instant, seul les fichiers de langue anglais et français sont disponibles. Vous pouvez compléter les fichiers de langues ou les personnaliser dans le répertoire lang du plugin.

IV. Fonctionnement et boucles du plugin

1. Aspects techniques - Le plugin accès restreint installe trois nouvelles tables dans SPIP, comme on peut le voir dans le répertoire base du plugin : - Une table descriptive des zones d’accès, appelée spip_zone
– et deux tables de liens zones-auteurs et zones-rubriques, appelées spip_zones_auteurs et spip_zones_rubriques. Ces tables sont sauvegardées automatiquement lors d’un dump dans l’onglet Configuration/Maintenance /Sauvegarde du site. 2. Comportement Le plugin modifie le comportement des boucles SPIP pour que le résultat ne fasse apparaître que ce que le visiteur (que ce soit un visiteur anonyme un visiteur identifié ou un auteur au sens de SPIP) a le droit de voir. L’intérêt de cette démarche, c’est qu’elle fonctionne sur toutes les boucles, donc tout le site se trouve instantanément sécurisé sans aucune modification de squelette. Il n’y a pas de risque d’oublier un morceau. Ce plugin nous garantie l’absence de fuite liée a de nouvelles fonctionnalités de SPIP (comme les modèles [1] de 1.9.1 qui seraient une belle faille pour ceux qui sécuriseraient du contenu au moyen des squelettes). Le principe même de fonctionnement du plugin acces-restreint est de ’supprimer’ du résultat des boucles tout ce que le visiteur n’a pas le droit de voir. Ainsi les zones à accès réservées sont invisibles pour qui n’y est pas habilité. N’ayez donc aucune crainte en ce qui concerne les robots, les moteurs de recherche, ou les fichiers de backend. Le filtre est infaillible. Ce principe de fonctionnement permet au plugin de filtrer le contenu publié sans modification du squelette. Cela permet aussi d’avoir des menus (liste de rubriques) cohérents avec le contenu effectivement accessible. Bref c’est un parti pris, qui fait son efficacité même. En contrepartie, un visiteur (identifié ou non) qui essaie d’accéder à du contenu auquel il n’a pas le droit a le même résultat que si le contenu n’existait pas, (il est renvoyé sur une page 404) car, d’un point de vue technique ce contenu n’existe effectivement pas dans le résultat des boucles SPIP des squelettes qu’il interroge. À partir de là, il y a deux stratégies possibles selon la finalité de l’accès restreint : - Un filtrage fort, sans indication qu’un contenu existe mais qu’il n’est pas accessible : avoir un lien ’S’identifier’ générique sur tout le site, qui permet aux personnes habilitées de se connecter pour accéder au contenu. - Un filtrage avec information : dans la partie alternative de la boucle article ou de la boucle rubrique, on regarde si l’objet existe et s’il a été filtré, et dans ce cas alors, on présente le formulaire de login. À cet effet, deux filtres ont été créés pour le plugin :
– AccesRestreint_article_restreint appliqué à l’id_article - AccesRestreint_rubrique_restreinte appliqué à l’id_rubrique De plus le critere {tout_voir} permet de passer outre le filtrage d’acces. Il peut etre utilisé par exemple pour lister les titres des articles dans une rubrique restreinte, ou meme pour verifier l’existence d’un article filtré, a la place des deux filtres ci-dessus. 3. Exemple de boucle :

<BOUCLE_main(ARTICLES){id_article}> bla bla bla </BOUCLE_main> [(#ID_ARTICLE|AccesRestreint_article_restreint|?{' ',''}) #LOGIN_PUBLIC ] [(#ID_ARTICLE|AccesRestreint_article_restreint|?{'',' '}) Cette page n'existe pas ] <//B_main>

On peut faire, sur le même modèle, une boucle rubrique, en utilisant l’utilisation normale et judicieuse des parties alternatives des boucles spip. La boucle donnée ci-dessus illustre l’idée, mais il va sans dire qu’en contexte réel, il serait préférable de faire des inclure, soit d’un squelette formulaire avec un login public, soit d’un squelette de page d’erreur 404. En résumé, pour faire la différence entre un article ou une rubrique inexistante, et un article ou une rubrique masquées, il y a deux filtres pour ca, qu’il faut utiliser dans la partie alternative des boucles.

<BOUCLE_article(ARTICLES){id_article}> là j'affiche mon article normalement </BOUCLE_article> [(#ID_ARTICLE|AccesRestreint_article_restreint|?{' ',''}) là je fais ce qu'il faut pour dire à ce visiteur qu'il ne s'est pas identifié ] [(#ID_ARTICLE|AccesRestreint_article_restreint|?{'',' '}) là je dis que vraiment non cette page n'existe pas, ou alors qu'on l'a perdue ... ] <//B_article>

Un autre exemple utile consiste à lister toutes les rubriques contenues dans une zone.
Pour cela on utilise le critere tout_voir et id_zone pour obtenir les rubriques liées à une zone. Mais attention, ce dernier critère ne retourne que les rubriques explicitement cochées dans l’interface, pas toutes les rubriques filles.
Pour lister toutes les rubriques d’une zone, il faut donc ecrire :

<ul> <BOUCLE_rubs(RUBRIQUES){id_zone=1}{tout_voir}> <BOUCLE_sousrub(RUBRIQUES){branche}{doublons}{tout_voir}> <li>#TITRE</li> </BOUCLE_sousrub> </BOUCLE_rubs> </ul>

On notera l’utilisation du critère doublons dans la sous boucle. Il a pour but d’éviter l’affichage d’une même rubrique à plusieurs reprises dans le cas ou plus d’une rubrique est cochée et ou l’une est dans la branche de l’autre.

V. Page d’identification et login public

Voilà le plugin est « magique », il filtre tout pour vous une fois que les accès ont été définis, que les rubriques et les auteurs ont été rattachés aux zones restreintes. Pourtant, il faut encore faire un petit effort, même si vous avez l’habitude que spip fasse tout pour vous, y compris l’impossible :-) - Le premier effort à faire, c’est de mettre un formulaire de login en page d’accueil, ou un bouton « s’identifier » qui permette au visiteur de se loguer : - Pour l’identification, un #LOGIN_PUBLIC fait très bien l’affaire. - Pour donner des droits d’accès à des personnes qui ne sont ni administrateur (petit bonhomme vert dans la page auteur), ni rédacteur (petit bonhomme jaune), il faut les inscrire en tant que visiteur, (petit bonhomme bleu). Attention, pour avoir un statut visiteur qui ne puisse pas se connecter à la partie privée, il faut bien penser à activer la partie forum et à configurer le site en conséquence. Dans la partie de configuration du site, à cette url, ecrire/ ?exec=config_contenu , cochez les options suivantes : - Enregistrement obligatoire (les utilisateurs doivent s’abonner en fournissant leur adresse e-mail avant de pouvoir poster [2] des contributions. - Ne pas accepter les inscriptions |

| Les visiteurs ne se trouvent pas dans la page auteurs de la partie privée, mais à cette url
 ?exec=auteurs&visiteurs=oui |

| Ce plugin a été bien intégré sur ce site, qui pourra nous servir d’exemple : http://cfdt-scerao.fr/.
On constate que sur le modèle du squelette login.html présent dans la dist de SPIP 1.9, cette page qui donne accès à l’espace privé, l’auteur de ce site a créé un squelette appelé login_public.html
qui sera le passage obligé pour accéder à l’espace réservé aux adhérents, sans qu’ils aient toutefois accès à l’espace privé, avec, comme option l’envoi de mot de passe si celui-ci a été oublié : Voici le bout de code à mettre dans le squelette login_public.html :

<div class="formulaire_spip formulaire_login"> #LOGIN_PUBLIC <p style="text-align: center;"> &#91;<a href="#URL_PAGE{spip_pass}" target="spip_pass" onclick="javascript:window.open(this.href, 'spip_pass', 'scrollbars=yes, resizable=yes, width=480, height=330'); return false;"> <:login_motpasseoublie:></a>&#93; &#91;<a href="#URL_SITE_SPIP/"><:login_retoursitepublic:></a>&#93; </p> </div>

Ce qui donne un formulaire de connection qui ressemble à cette capture d’écran : |

| Une fois l’adhérent correctement logué, il aura donc accès aux rubriques protégées. Mieux encore que #LOGIN_PUBLIC , il convient d’utiliser :[(#LOGIN_PUBLIC|mapage.html)] . Voir à ce sujet la documentation de SPIP sur les formulaires http://www.spip.net/fr_article1827.html

– #LOGIN_PUBLIC
D’une utilisation beaucoup plus spécifique, la balise #LOGIN_PUBLIC affiche un formulaire permettant à vos utilisateurs de s’identifier tout en restant sur le site public (sans entrer dans l’espace privé). Cette balise sert notamment à authentifier les visiteurs pour les sites proposant des forums modérés sur abonnement. Elle peut aussi servir de brique de base pour restreindre l’accès à certains contenus sur le site public : mais cela reste d’un maniement complexe, et nécessitera encore des développements et la rédaction de tutoriels complets avant d’être facilement utilisable par tous ; néanmoins, un exemple d’utilisation avancée est donné plus bas.
Le #LOGIN_PUBLIC, par défaut, « boucle sur lui-même », c’est-à-dire que le formulaire revient sur la page où il se trouve. On peut cependant indiquer une page vers laquelle le formulaire mènera, sous la forme :

[(#LOGIN_PUBLIC|spip.php?page
=mapage)] ou [(#LOGIN_PUBLIC|spip.php?rubrique20)]

Si votre site offre une inscription automatique à l’espace privé, les données de connexion à l’espace public sont identiques à celles de l’espace privé ; c’est-à-dire que les données envoyées à l’utilisateur pour s’identifier à l’espace public lui permettent également d’accéder à l’espace privé. _ Si, au contraire, vous avez interdit l’inscription automatique à l’espace privé, il faut impérativement avoir au moins un article dont les forums seront réglés en mode « sur abonnement » pour activer cette balise ; dès lors, SPIP pourra fournir des informations de connexion pour le site public sans accès à l’espace privé. - #URL_LOGOUT est le pendant de #LOGIN_PUBLIC ; il donne une URL permettant à un visiteur authentifié de se déconnecter.
On peut passer un paramètre à cette balise pour spécifier l’adresse de retour après la déconnection. Par exemple :

[(#URL_LOGOUT{spip.php?page=
sommaire})] renverra vers la page de sommaire.

Voici un exemple simple, mais complet, d’utilisation de ces deux balises. Il faut passer par un peu de php pour tester la variable $auteur_session qui indique qu’un auteur est identifié ou non. Si c’est le cas, on peut récupérer (voire tester) son statut, son login, etc., via $auteur_session['statut']....

<?php if ($auteur_session) { ?> Vous êtes authentifié, <a href='#URL_LOGOUT'>cliquez ici pour vous déconnecter</a> ... ici le contenu en accès restreint.... <?php } else { ?> <h2>Cette partie est en accès restreint</h2> #LOGIN_PUBLIC <?php } ?>

VI. Comment je fais dans mes squelettes ?

Nous mettons en pièce jointe un fichier Accès_restreint_noisettes.zip, avec tous les éléments qu’il vous faut. Nous vous proposons une méthode simple, qui modifie un minimum la Dist, et s’adapte à n’importe quelle situation. 1/ Insérer partout dans vos squelettes les deux noisettes d’identification et de déconnection. Libre à vous de créer des chaînes de langues, et ou/de personnaliser le texte. Le plus simple est de se servir d’une inclusion sous les rubriques, dans inc_rubrique.html par exemple.

[(#REM) noisette de deconnection] <INCLURE{fond=inc_identification_sedeconecter}{lang}> [(#REM) noisette de connection] <INCLURE{fond=inc_identification_visiteurs}{lang}>

2/ Mettre les noisettes dans le répertoire squelettes, avec éventuellement l’image du cadenas. - inc_identification_sedeconecter.html

#CACHE{3600} [(#REM) Deconnection ] <?php if ($auteur_session) { ?> <h1><?php echo $auteur_session['nom']; ?></h1> <p>Vous êtes authentifié,<br /> <a href='#URL_LOGOUT'>Se déconnecter</a><p> #LOGIN_PUBLIC <?php } else {} ?>

Cette noisette n’affiche rien si le visiteur est identifié, et affiche le nom de la personne s’il est identifié, en lui proposant de se déconnecter. - inc_identification_visiteurs.html

#CACHE{3600} [(#REM) Identification ] <?php if ($auteur_session) { } else { ?> <h1>Intranet <!-- facultatif<img style="width: 24px; height: 24px;" alt="zone protégée" src="http://www.spip-contrib.net/#URL_SITE_SPIPsquelettes/zones-acces-24.gif" />--> </h1> #LOGIN_PUBLIC <p><a href="#URL_PAGE{spip_pass}" target="spip_pass" onclick="javascript:window.open(this.href, 'spip_pass', 'scrollbars=yes, resizable=yes, width=480, height=330'); return false;"><:login_motpasseoublie:></a></p> <?php } ?>

Cette noisette n’affiche rien si vous êtes identifié, et affiche le formulaire d’identification si le visiteur n’est pas identifié. L’interêt de créer deux fichiers distincts, c’est que l’on peut les placer à deux endroits différents sur le site. 3/ formulaire_login.html
Le placer dans squelettes/formulaires pour ne pas l’écraser lors d’une future mise à jour, et de le personnaliser. Nous vous en proposons un, légèrement modifié par rapport à celui de la distribution officielle, qui a l’énorme avantage de désactiver le focus [3]
, qui pourrait se révéler très vite pénible et encombrant, car il agit comme une ancre, et si vous ne le désactiver pas, vos visiteurs seront automatiquement « redirigés » vers le formulaire d’authentification. Ce défaut ergonomique se constate sur les petites résolutions, ou sur les sites ayant de nombreuses rubriques formulaire_login.html 4/ inc_nom_statut_ip.html
Une dernière noisette optionnelle, qui peut vous donner le statut de la personne connectée, administrateur, rédacteur ou visiteur, à inclure par exemple dans inc_identification_sedeconecter.html

[(#REM) noisette de statut] <INCLURE{fond=inc_nom_statut_ip}{lang}> <?php echo $auteur_session['nom'].'<br />'; switch ($auteur_session['statut']) { case '0minirezo' : echo 'Administrateur<br />'.$REMOTE_ADDR; break; case '1comite' : echo 'Rédacteur'; break; case '6forum' : echo 'Simple visiteur'; break; } ?>

5/ Voir aussi la noisette qui permet de donner l’intro de l’article et un formulaire de login avec le critere {tout_voir}.
Elle est disponnible sur la zone et dans la dernière version du plugin.
Pour la voir en fonctionnement, c’est sur spip-zone.info. |

| 6/ Une autre noisette, qui joue sur le plugin Balise Session et Accès restreint, est disponnible ici. Voilà vos squelettes sont fin prêts pour un intranet ou un accès restreint.

VII. Ce que ne faisait pas le plugin en version SPIP 1.9.1

Le plugin accès restreint sous SPIP 1.9.1 était parfait pour l’espace public. Mais, il ne permettait pas encore de restreindre et de filtrer l’espace privé.

VIII. Accès restreint et filtrage de l’espace privé depuis la version 1.9.2 Pr1, SVN et au-delà

C’est désormais possible de bénéficier de toutes les fonctionnalités du plugin dans l’espace privé. Pour chaque zone restreinte, on définit si ca doit filtrer l’espace public et/ou l’espace privé. Et non seulement ca restreint l’accès, mais ca permet encore de filtrer l’affichage de la partie privée. |

| Donc un rédacteur qui n’est pas rattaché à une zone ne verra pas les rubriques de cette zone dans l’interface d’administration. Un administrateur non plus. Attention toutefois, seul l’administrateur restreint, ne pourra pas changer le statut des zones du plugin. Un administrateur complet peut se rajouter à une zone restreinte s’il le désire. |

|

IX. Interaction avec le plugin Agenda

Le plugin accès restreint filtre, dans l’espace public, la boucle EVENEMENTS du plugin Agenda. Seuls les évènements inclus dans un article appartenant à une rubrique accessible seront visibles. À partir des versions SVN n°11549 pour le plugin accès restreint et 11548 pour le plugin agenda en date du 21 avril 2007, le filtrage des évènements dans l’espace privé est également pris en charge.

X. Jouons avec le plugin accès restreint et le plugin balise session

Objectifs : - Afficher un bouton de connexion si et seulement si le plugin accès restreint est installé *et* il y a au moins une rubrique de restreinte.
– Un fois identifié, Afficher d’une manière différente les rubriques qui était masquées
– Et afficher un bouton de déconnexion Dans un premier temps, vérifier que le plugin accès restreint est installé.
Pour cela, lire la config des plugins en y cherchant la signature du plugin accès restreint :

[(#CONFIG{plugin}|match{ACCESRESTREINT}|?{' '})<INCLURE(session.php){fond=login-logout}{connexion}{id_article}{id_rubrique}>]

Ensuite, dans le squelette login-logout.html vérifions qu’il y a au moins une rubrique protégée.

<BOUCLE_AuMoinsUneRubriqueProtegee(ZONES_RUBRIQUES){0,1}> [(#SESSION{id_auteur}|?{' '})<a href="#URL_LOGOUT" title="<:deconnexiontitle:>">[(#SESSION{nom}|propre)], <:deconnexion:></a>] [(#SESSION{id_auteur}|?{'',' '})<a href="[(#SELF|parametre_url{connexion,y})]" title="<:connexiontitle:>" rel="nofollow"><:connexion:></a>] </BOUCLE_AuMoinsUneRubriqueProtegee>

C’est<BOUCLE_AuMoinsUneRubriqueProtegee(ZONES_RUBRIQUES){0,1}> qui fait tout le travail : regarder si dans la table du plugin accès restreint, il y a au moins une ligne. Quant à #SESSION{id_auteur}, c’est une balise du plugin sessions qui permet de savoir s’il y a ou nom un auteur de connecté. Et il faut avoir quelque par dans le squelette l’affichage du formulaire de login, conditionné au fait que l’on a demandé la connexion :

[(#REM) le bloc s'ouvre en milieu de page, mais bon là si on est sur / faut rediriger proprement bidouille si sommaire...] [(#ENV{connexion}|=={y}|?{' ',''}) <div id="connexion"> [(#SELF|=={?connexion=y}|?{ <!--accueil--> [(#LOGIN_PUBLIC|?)] , <!--autre--> [(#LOGIN_PUBLIC)] })] </div>]

Enfin pour différencier les rubriques qui étaient invisibles avant la connexion, vérification que la rubrique en cours est bien dans une zone restreinte :

<BOUCLE_test(ZONES_RUBRIQUES){id_rubrique}{0,1}> Cette rubrique vous est réservée </BOUCLE_test> À noter : ceci ne donne que la rubrique mère protégée, pas ses filles.

Amusez-vous bien !

XI. Astuce pour récupérer un flux RSS personnalisé

Si vous vous abonnez au flux RSS d’un site avec Accès restreint, par exemple avec Thunderbird, avec l’adresse http://monsite.net/spip.php?page=backend, vous ne verrez apparaitre dans le flux que les articles accessibles aux visiteurs non identifiés puisque, via Thunderbird, vous ne serez pas identifié sur le site. Il est possible d’utiliser une identification HTTP afin de récupérer un flux RSS contenant l’ensemble des articles auxquels vous avez accès. ATTENTION : avec ce type d’identification, votre login et votre mot de passe seront transmis en clair dans l’URL. Utilisez l’adresse suivante pour vous abonner au flux RSS dans Thunderbird :
http://login:motdepasse@monsite.net/spip.php?action=cookie&essai_auth_http=oui&url=spip.php?page=backend. Vous obtiendrez alors un flux comportant les articles auxquels vous avez accès. Cette astuce fonctionne avec n’importe quelle page.