OVH Cloud OVH Cloud

Manipulation en-tête HTTP (Referer) : legale ?

32 réponses
Avatar
David JOURAND
Bonjour,

Mon site est régulièrement "visité" avec comme referant (referer)
l'adresse d'un Splog (Blog de spam) ne référençant pas mon site, bien
évidemment... En regardant les logs, j'ai pu remonter jusqu'à la
société qui se connecte en manipulant le champ referee de la requete
HTTP. Il s'agit d'une société française.
J'ai signalé à l'hébergeur du splog sa présence, mais celui-ci n'a
pour l'instant rien fait...

Savez-vous si la manipulation des en-tête HTTP (referer par exemple) est
légale ?

De même la pratique consistant à envoyer des faux trackbacks et des faux
commentaires est-elle légale ?

Que peut-on faire, à part signaler l'adresse du splog à des services
comme splogreporter ou splogspot ?


--
David Jourand

10 réponses

1 2 3 4
Avatar
Le GBAHB
On Fri, 30 Jun 2006 23:58:28 +0200, David JOURAND
wrote:

En droit, mon jardin est un espace clos et défini comme faisant partie
de mon domicile, c'est-à-dire que c'est un espace *PRIVÉ*.

En ce sens, je peux en interdire l'accès au public.

En droit, un blog (ou un site WEB) est par essence *PUBLIC*,
c'est-à-dire que n'importe qui, sur la planète, doté d'une connexion
Internet est susceptible de pouvoir y entrer.



C'est justement là que je pense qu'il faut nuancer. Les visiteurs peuvent
également laisser des traces : commentaires, trackback, et Referer
visibles dans les stats si elles sont publiques. Si l'entrée dans un
établissement est parfaitement libre, il n'est pas autorisé d'écrire
n'importe quoi, même sur les panneaux d'affichage.



Hummm... Faut nuancer, en effet. A partir du moment où vous autorisez
n'importe qui à écrire sur les panneaux en question, il peut arriver
qu'un petit malin en prenne à sa guise.

Votre analogie avec un établissement public me semble qualifiée : je
connais des supermarchés, par exemple, qui ont un panneau d'affichage
libre de droits à la disposition du public. Ils se sont contentés
d'édicter des règles affichées bien en vue à côté du panneau :

- pas plus de x annonces simultanées par personne

- durée de vie maximum d'une annonce : x jours

Et il y a un préposé qui fait le ménage une fois par jour.

Bien que votre blog soit public, vous en êtes le propriétaire exclusif
(tout comme le supermarché est propriétaire de son panneau). Rien ne
vous empêche donc d'édicter des règles similaires et de les appliquer
ensuite.

Une autre méthode consiste à restreindre les droits de publication et
à exiger un mot de passe, que vous pouvez attribuer automatiquement et
systématiquement à tout visiteur en échange de son e-mail, et résilier
si le règlement n'est pas respecté.

Attention cependant au nombre et à la nature des utilisateurs : il y a
peut-être une déclaration à la CNIL à faire dans ce cas.

Dès lors, expliquez-moi en quoi cela vous dérange qu'un membre de ce
public y vienne plus souvent que les autres ?



Ce n'est pas qu'il visite mon site qui me dérange... c'est qu'il laisse
des traces. Effectivement le problème des Referer est (très) limité
comparé à ceux des commentaires et trackbacks. Mais dans mon cas, c'est
un français... donc je me renseigne.



Et vous avez bien raison.

Et puis il y a surtout les faux trackbacks : j'en ai reçu 843 en une
nuit !



Ah, oui. Un simple filtre peut aider, non ?



J'ai bien évidemment mis en place un tel filtre, mais, cela n'est pas
efficace à 100 %.



Mauvais filtre.



Je ne pense pas qu'il en existe des fiable à 100 % sans avoir également
un taux de faux positif élevé...



Ben si c'est toujours le même posteur qui fait ça, en filtrant sur ses
identifiants ça devrait la faire, non ? Vous avez bien réussi à le
retrouver, donc il est reconnaissable...

Je ne pense pas que ce soit parce qu'il existe des
moyens de se protéger (plus ou moins) que la pratique en devient légale
(si elle était illégale, ce qui est le sens de ma question originale).



Je ne pense pas (et je ne suis pas le seul) qu'il y ait la moindre
illégalité dans une telle pratique.



C'est la réponse à ma question : merci. Est-ce la même réponse pour
les commentaires et les trackbacks ?



A priori oui, surtout en l'absence de règlement.

Public ne veut pas dire que tout est autorisé, mais si un panneau
d'affichage est illimité en taille et dans le temps, il n'est pas
évident pour le visiteur que le nombre de posts possibles sur ce
panneau soit limité.

Je suggère que, dans votre cas, vous songiez avant d'agir à préciser
publiquement ce que vous ne voulez pas que les gens fassent
(=règlement).

Ensuite (=à la prochaine incartade), libre à vous de tailler dans le
tas.

Voilà, c'est ce que je ferais à votre place.

Cela me permet de rester poli (car il est poli de permettre à vos
interlocuteurs de pouvoir vous joindre s'ils le désirent) sans courir
trop de risques.



Je ne pense pas être impoli : l'adresse "From" que j'utilise est
parfaitement fonctionnelle car...



(...)

Il suffit d'enlever cutthis et invalid pour que ça marche.



Mwouais... :-)

Vous reconaîtrez que "nolog" en tant que nom peut furieusement faire
penser à un truc bidon, non ? :-)

C'est d'ailleurs cela qui avait motivé ma remarque.
Avatar
David JOURAND
> Votre analogie avec un établissement public me semble qualifiée : je
connais des supermarchés, par exemple, qui ont un panneau d'affichage
libre de droits à la disposition du public. Ils se sont contentés
d'édicter des règles affichées bien en vue à côté du panneau :

- pas plus de x annonces simultanées par personne

- durée de vie maximum d'une annonce : x jours

Et il y a un préposé qui fait le ménage une fois par jour.

Bien que votre blog soit public, vous en êtes le propriétaire exclusif
(tout comme le supermarché est propriétaire de son panneau). Rien ne
vous empêche donc d'édicter des règles similaires et de les appliquer
ensuite.



Supposons, pour la suite de la discussion, que ces règles soient
formalisées sur mon blog (mais je pense qu'elles le sont implicitent en
ce qui concerne les commentaires et les trackbacks qui doivent être en
relation avec le billet).
Elles sont actuellement appliquées : je fais régulièrement le ménage.


Une autre méthode consiste à restreindre les droits de publication et
à exiger un mot de passe, que vous pouvez attribuer automatiquement et
systématiquement à tout visiteur en échange de son e-mail, et
résilier si le règlement n'est pas respecté.



Je trouve cela contraire à l'esprit des blogs. Un captcha permet un
filtrage efficace sur les commentaires, et il existe des solutions (moins
efficaces) pour les trackbacks.


Et puis il y a surtout les faux trackbacks : j'en ai reçu 843 en
une nuit !



Ah, oui. Un simple filtre peut aider, non ?



J'ai bien évidemment mis en place un tel filtre, mais, cela n'est pas
efficace à 100 %.



Mauvais filtre.



Je ne pense pas qu'il en existe des fiable à 100 % sans avoir
également un taux de faux positif élevé...



Ben si c'est toujours le même posteur qui fait ça, en filtrant sur ses
identifiants ça devrait la faire, non ? Vous avez bien réussi à le
retrouver, donc il est reconnaissable...



Je filtre sur les adresses IP listées dans la Spamhaus Block List. Mais
parfois une adresse IP ne s'y trouve pas (encore) et je me retrouve avec
plus de 800 trackback en une nuit ! Je ne peut pas filtrer, a priori, les
adresse IP ! Par contre dans les connexions c'est un peut toujours les
mêmes referant et j'en ai repérer un en particulier, parce que d'une
part c'était le premier faux referer que j'ai eu, et que d'autre part il
est français. Je ne passe pas mon temps à décortiquer les logs pour
identifier toutes les connexions. C'est donc à cette occasion que je me
suis demandé si cette pratique était légale ou pas...

Pour être plus concret sur les limites de la pratique : supposons un
robot faisant des connexiosn avec un faux referer qui serait un site nazi.
Supposons également que mes statistiques de connexions soient publiques.
Un lien vers ce site nazi serait établi depuis mon site, je pourrai donc
être condamné pour cela. Non ?


Je suggère que, dans votre cas, vous songiez avant d'agir à préciser
publiquement ce que vous ne voulez pas que les gens fassent
(=règlement).

Ensuite (=à la prochaine incartade), libre à vous de tailler dans le
tas.



C'est à dire ?


Il suffit d'enlever cutthis et invalid pour que ça marche.



Mwouais... :-)



Je pense être dans l'esprit de la pratique des .invalid
(http://www.faqs.org/faqs/fr/usenet/abus/adresses-antispam/ point 3.3).


Vous reconaîtrez que "nolog" en tant que nom peut furieusement faire
penser à un truc bidon, non ? :-)



Je ne le pensai pas... car je ne suis pas dans cet état d'esprit d'agir
anonymement. Vous remarquerez d'ailleurs que je signe tous mes post de mon
vrai nom, qui est également présent dans le From...

--
David Jourand
Avatar
Pascal Hambourg
Salut,

David JOURAND a écrit :

Supposons également que mes statistiques de connexions soient publiques.



Tiens, parlons-en justement. Est-ce que publier des statistiques de
connexion est 100% légal ? N'y a-t-il pas risque d'atteinte à la vie
privée ou publication d'informations nominatives ?

[Adresse maquillée]
Il suffit d'enlever cutthis et invalid pour que ça marche.



Mwouais... :-)





Pareil. Comment on fait pour deviner que l'adresse devient valide en
enlevant ces trucs si vous ne le dites pas ?

Je pense être dans l'esprit de la pratique des .invalid
(http://www.faqs.org/faqs/fr/usenet/abus/adresses-antispam/ point 3.3).



Le .invalid seul ne permet pas de faire la différence entre une adresse
fondamentalement inexistante et une adresse maquillée.
Avatar
David JOURAND
>> Supposons également que mes statistiques de connexions soient publiques.



Tiens, parlons-en justement. Est-ce que publier des statistiques de
connexion est 100% légal ? N'y a-t-il pas risque d'atteinte à la vie
privée ou publication d'informations nominatives ?



Cela dépend de ce que vous affichez : pages les plus vues, nombres de
visites, référants, etc... Rien de nominatif.


[Adresse maquillée]
Il suffit d'enlever cutthis et invalid pour que ça marche.



Mwouais... :-)





Pareil. Comment on fait pour deviner que l'adresse devient valide en
enlevant ces trucs si vous ne le dites pas ?



le ".invalid" indique que l'adresse n'est pas valide en l'état, il ne
faut pas chercher beaucoup pour comprendre qu'il suffit de couper "cutthis".


Je pense être dans l'esprit de la pratique des .invalid
(http://www.faqs.org/faqs/fr/usenet/abus/adresses-antispam/ point 3.3).



Le .invalid seul ne permet pas de faire la différence entre une adresse
fondamentalement inexistante et une adresse maquillée.



Comment faites-vous pour savoir si boite-a-spam chez plouf.fr.eu.org est
une adresse inexistante ou maquillée ?

--
David Jourand
Avatar
Pascal Hambourg
David JOURAND a écrit :
Tiens, parlons-en justement. Est-ce que publier des statistiques de
connexion est 100% légal ? N'y a-t-il pas risque d'atteinte à la vie
privée ou publication d'informations nominatives ?



Cela dépend de ce que vous affichez : pages les plus vues, nombres de
visites, référants, etc... Rien de nominatif.



Un "référant" ne peut-il pas contenir des informations nominatives ?

Comment on fait pour deviner que l'adresse devient valide en
enlevant ces trucs si vous ne le dites pas ?



le ".invalid" indique que l'adresse n'est pas valide en l'état,



"En l'état" est de trop. L'adresse n'est pas valide, point.

il ne faut pas chercher beaucoup pour comprendre qu'il suffit de
couper "cutthis".



Et si la personne qui souhaite vous écrire ne connaît pas l'anglais ?
Pour ma part il y a longtemps que j'ai arrêté d'essayer de décoder les
rébus des adresses maquillées. Quand je vois .invalid, je ne vais pas
chercher plus loin sauf explication claire dans le message.

Comment faites-vous pour savoir si boite-a-spam chez plouf.fr.eu.org est
une adresse inexistante ou maquillée ?



Qu'est-ce qui vous fait penser que cette adresse est inexistante ou
maquillée. Par défaut en l'absence de .invalid ou mention explicite,
elle doit être considérée comme valide et existante, ce qu'elle est en
réalité. Par contre, n'en espérez pas trop une réponse : l'adresse de
réponse (Reply-To) est là pour ça.
Avatar
David JOURAND
> Un "référant" ne peut-il pas contenir des informations nominatives ?



En-tête "Referer" : URL de la page contenant le lien cliqué par
l'utilisateur l'ayant conduit sur la page demandée !

Concernant le .invalid : fin du troll pour ma part.

--
David jourand
Avatar
Pascal Hambourg
David JOURAND a écrit :
Un "référant" ne peut-il pas contenir des informations nominatives ?



En-tête "Referer" : URL de la page contenant le lien cliqué par
l'utilisateur l'ayant conduit sur la page demandée !



Précisément. Alors, est-ce absolument exclu ?
Avatar
Nicolas Krebs
David JOURAND écrivit dans l'article
news:

Concernant le .invalid : fin du troll pour ma part.



Ce n'est pas du troll, c'est du hors-charte.
Avatar
David JOURAND
>>>Un "référant" ne peut-il pas contenir des informations nominatives ?



En-tête "Referer" : URL de la page contenant le lien cliqué par
l'utilisateur l'ayant conduit sur la page demandée !



Précisément. Alors, est-ce absolument exclu ?



Si votre question est : "l'URL référante peut-elle contenir des
informations nominatives ?", la réponse est non.

--
David Jourand
Avatar
JustMe
David JOURAND a écrit
Un "référant" ne peut-il pas contenir des informations nominatives ?



En-tête "Referer" : URL de la page contenant le lien cliqué par
l'utilisateur l'ayant conduit sur la page demandée !



Précisément. Alors, est-ce absolument exclu ?



Si votre question est : "l'URL référante peut-elle contenir des
informations nominatives ?", la réponse est non.



Bien sur que si

Un referrer contient un nom de machine, donc une IP qui est considérée
par la CNIL comme une information nominative

Donc, non seulement une URL de Referrer *peut* contenir une information
nominative, mais, au sens de la CNIL, elle contient *systématiquement*
une information nominative (enfin lorsque c'est une vraie URL et pas un
machin bidouillé)
1 2 3 4