[résolu] Connexion à éclipses ?

[sly]

Là, ça a marché, j'ai été obligé de me re-connecter.

[Claude Mauguier]

Là, ça a marché, j'ai été obligé de me re-connecter.

Pareil. donc ça marche pour l'instant.

[Claude Mauguier]

Et c'est reparti... il y a un progrès : une seule fois par jour...

[Dominique]

Bonjour

Je n'ai pas répondu mais je continue mes investigations, n'hésitez pas à me remonter ce que vous voyez.
Si ça persiste, je reviendrai sur ma modif du "Same site", bien que je ne voie pas le rapport mais j’aimerais en comprendre un peu plus avant.

[sly]

Hier soir, chez moi, j'ai été déconnecté du forum sans que je sois bien sûr de comprendre pourquoi (pourtant j'y étais venu quelques ~3h auparavant)
Ce midi, depuis le bureau, je vais sur le forum et je suis pré-connecté comme d'habitude alors que ma dernière connexion sur ce navigateur date d'au moins 48h

Je n'exclus pas une fausse manip chez moi, mais je n'ai pourtant pas touché d'éléments en rapport aux cookies...

[Claude Mauguier]

Hier soir, chez moi, j'ai été déconnecté du forum sans que je sois bien sûr de comprendre pourquoi (pourtant j'y étais venu quelques ~3h auparavant)
Ce midi, depuis le bureau, je vais sur le forum et je suis pré-connecté comme d'habitude alors que ma dernière connexion sur ce navigateur date d'au moins 48h

+1
ça devient quantique, on est devant une situation d'états superposés, dont on ne sait pas à l'avance quel "état" on trouvera à l'ouverture...

[Dominique]

Bon, je suis dépité.
Je fais retour arrière sur SameSite=Strict.
J'ai fait un commit GIT sur le sujet.

Par contre, je n'arrive pas à faire le pull
Même avec un "git checkout ." avant

Code : Tout sélectionner

Depuis git://github.com/sletuffe/www.refuges.info
 + 22249f4...aab6497 master     -> origin/master  (mise à jour forcée)
Fusion automatique de index.php
CONFLIT (contenu) : Conflit de fusion dans index.php
La fusion automatique a échoué ; réglez les conflits et validez le résultat.

Rien sur la page github...
Je ne suis pas spécialiste des merge. Une idée ?

[sly]

Bon, je suis dépité.
Je fais retour arrière sur SameSite=Strict.

N'est-ce pas un peu prématuré ? Pour l'instant seul l'ours indique avoir le problème, et moi, je ne suis pas trop sûr d'avoir été soumis à ce problème ou un autre. Tu constates toi aussi des déconnexion intempestives ?

Code : Tout sélectionner

Depuis git://github.com/sletuffe/www.refuges.info
 + 22249f4...aab6497 master     -> origin/master  (mise à jour forcée)
Fusion automatique de index.php
CONFLIT (contenu) : Conflit de fusion dans index.php
La fusion automatique a échoué ; réglez les conflits et validez le résultat.

Rien sur la page github...
Je ne suis pas spécialiste des merge. Une idée ?

Je pari que ça vient de moi, je me suis bien emmêlé les pinceaux avec git, je voulais annuler des anullation, et commiter des nouveaux trucs, je regarde...

je pense avoir réglé le problème et "pullé" tes modifs

[Claude Mauguier]

L'ours signale à l'aimable compagnie qu'aucun trouble n'a été constaté par icelui depuis ce matin à l'ouverture du magasin... Prions.

[Dominique]

Je n'ai été déconnecté d'aucun de mes explorateurs sur PC depuis 48h
Par contre, le pull m'a déconnecté sur mon mobile.
Preuve qu'il y a quand même un lien et que quelque part, un bout de soft en fait plus qu'il ne dit.

S'il n'y a que l'ours qui grogne quand on lui rate le dos (et un anonyme éponyme au début de ce sujet), ce n'est pas la preuve que quelques uns se reconnectent sans plus y penser comme on passe son temps à le faire sur plein de sites.

Bref, j'en ai mare de cette verrue. On fera comme l'alerte GITHUB, on attendra que les pontes de phpBB décident que le problème nécessite d'être traité et nous apportent la correction.

Reste à savoir si tout va rentrer dans la normale

[Claude Mauguier]

Juste une remarque annexe.
Si je vais sur le panneau d'administration du forum, je dois me connecter spécialement : normal
Si, sur la page générale d'un membre je clique la mention "Who is", sous la ligne IP, on me demande de me connecter à nouveau...
Bon, ça ne me dérange pas plus que ça, mais ça n'arrivait pas "avant".

[Dominique]

Juste une remarque annexe.
Si je vais sur le panneau d'administration du forum, je dois me connecter spécialement : normal
Si, sur la page générale d'un membre je clique la mention "Who is", sous la ligne IP, on me demande de me connecter à nouveau...
Bon, ça ne me dérange pas plus que ça, mais ça n'arrivait pas "avant".

Ben non, pas moi.
Par contre, je me fais déconnecter toutes les 8 heures sur chrome sur Android, pas sur les autres explorateurs sur Android et sur Windows.
Mystère.
Je tente a nouveau une purge de sessions et un changement de nom de cookie.
Soit une nouvelle déconnexion de tout le monde. Désolé.

[Dominique]

Rassurez-vous, je n’ai pas abandonné ce bug qui a l’air de persister au moins chez Claude.
Les investigations sont très longues car il faut attendre une nuit entre chaque test.

J’ai réussi à trouver un contexte où il se produit : sur mon smartphone Android avec Chrome et un lien sur l'écran d'accueil.
Il y a donc bien un problème (même si son apparition est très rare) et peut être en impacte-t-il d’autres qui ne se manifestent pas ?

J’ai un lien en http qui pointe sur http://www.refuges.info.
Quand j’utilise ce lien, je suis déconnecté toutes les 8 heures.
Quand j’accède à la page de connexion, refuges.info me redirige vers https://www.refuges.info pour entrer le mot de passe de façon sécurisée (voir http://www.refuges.info/forum/viewtopic.php?f=2&t=7407)
Je continue alors à naviguer sur https:
Si je me reconnecte au bout de 8 heures en utilisant le lien http, je suis déconnecté.
Si j’arrive directement en https, je ne suis pas déconnecté et je peux de nouveau naviguer en http pendant 8 heures sans avoir à me reconnecter.
Je ne constate pas ce problème sur Windows/Chrome,FF,Opera,Edge,IE,Brave ni Android/FF,Brave,InternetSamsung

Pour bien comprendre ce qu’il se passe, il faudrait analyser le comportement de l’authentification phpBB (volontairement très complexe et instable) versus Chrome sous Android (avec des outils debug difficiles à manier) le tout avec 1 test toutes les 24 heures. J’avoue que je n’en ai ni le temps, ni le courage, ni probablement tous les outils ni la compétence.

Le problème ne serait donc pas arrivé en même temps que ma malencontreuse modification « SameSite=Strict » mais avec la modification saisie du mot de passe par un passage temporaire par https.
Après avis des experts sur le forum, et peut être quelques retours personnels, je serais d’avis de supprimer le passage temporaire par https au moins le temps de voir si le problème persiste et de trouver une solution plus standard à la transition vers https

[sly]

Si ça aide : Pour ma part je navigue toujours en https (sauf lien vers http:// refilé par exemple par Qwant que je n'aurais pas vu) et je n'ai plus constaté de déconnexion intempestives (sauf quand tu as volontairement viré les sessions et que tu avais prévenu) avec Firefox 68 sous linux.
Si le bout de code qui force le passage http -> https pour les formulaires de connexions pourrait être le coupable, je n'ai aucun problème à ce que tu le fasse sauter si ça t'aide à débugger. Si on confirme que ça vient de lui, il sera toujours temps de réfléchir à si on abandonne de forcer https pour ces cas.

De mon point de vu, les internautes venant par google/bing sont en majorité, ils seront de toute façon en https, c'était juste que s'ils demandaient un compte, le lien email de confirmation leur était demandé en http, c'est maintenant réglé. J'aurais aimé "rattraper" ceux venant de qwant ou de quelques anciens liens ou bookmarks et ne pas mettre en risque leurs mot de passe, mais ça reste extrêmement limité en nombre il me semble, donc si ça cause un bug, laissons tomber

[Dominique]

Le problème se confirmant, j'ai supprimé la fonction de redirection http/https sur mot de passe pour pouvoir faire d'autres tests.
Je n'ai pas vidé les sessions, donc en principe, pas de déconnexion d'utilisateurs
N'hésitez pas à faire part de vos problèmes de déconnexion.

Je pense que, dans certaines configurations d'explorateur, une identification valable en https ne l'est pas en http
(je vais essayer de démontrer que le contraire est vrai aussi)
Dans ce cas, le problème serait là depuis le début mais n'a été révélé qu'à ceux qui ont un marque-page http, dont la connexion est forcée en https et qui repassent en http dès qu'ils reviennent sur le site avec leur marque-page.
phpBB ne semble pas avoir vu ce problème, et encore moins ne propose de solution.

ça veut dire qu'il faudrait trouver un autre moyen de forcer le passage en https pour tout le site tout en laissant une porte de sortie à ceux qui ont des problèmes de liaison.
Un bouton qui déclare un cookie qui bloque la redirection ?