Blog de ppom

reaction v2 : Rust & NLnet

2025-06-02T00:00:00+00:00

Cet article est aussi disponible en 🇫🇷 français.

For an introduction to reaction, see this previous article

I'm pleased to announce reaction's v2.0.0 release!

This new version brings few new features, but it opens the way for a bright future for reaction 🌞

TL;DR🔗

In this article:

Rust rewrite
Benchmark
Incompatibilities from v1 to v2
New features
Upcoming features
NLnet support

🦀 Rust rewrite🔗

I began one year ago a complete Rust rewrite of reaction, with the following goals:

Better performance and robustness
A language with more hype, to attract contributors and enjoy a better library ecosystem
A language better adapted to the creation of a fast plugin system (see below)
Writing tests for most of the codebase.

After a lot of twists, I finally have a fully satisfying reaction reimplementation. The first functional version was ready last October, but this rewrite has been an occasion to test different internal systems.

I notably spent the months of February and May testing several database systems, which were not satisfying. I ended up rewriting my own implementation. There is now (once again) an embedded mini-redis in reaction!

📊 Benchmark🔗

Because we all love data, here's the result of a benchmark.

This benchmark isn't realistic. It sends 4 streams of 1 million lines of logs each, as fast as possible, requiring reaction to process all of it. reaction will execute ~6000 actions (a sleep 0.1). This allows us to have an idea of how reaction is reacting to a huge stress.

Of course, those tests should be taken with a grain of salt, because they don't test real life.

Statistics were produced by systemd.

Go version, v1.4.1 :

Service runtime: 2min 10.024s
CPU time consumed: 6min 47.643s
Memory peak: 13.6G (swap: 6.6G)
IO bytes read: 18.5G written: 21.3G

Rust version, v2.0.0 :

Service runtime: 42.235s
CPU time consumed: 4min 27.828s
Memory peak: 4.3G (swap: 0B)
IO bytes written: 499.9M

Those tests were executed on a PC with brand new NVME SSD and 16G RAM. The disk IO differences would have a bigger impact on a slower disk. Total service runtime differences would probably be less important if reaction Go hadn't had to swap.

As a note, performance differences aren't just a result of the languages themselves, but stem most importantly from technical choices for the internal architecture and communication between components, from the database (which have the same general structure but implementation differences), etc.

As a piece of evidence, the first version of the rewrite, close to the goroutine and channels proposed by Go, and less adapted to Rust, had much worse performance than the Go version.

⚙️ Incompatibilities🔗

Behavior differences between the v1 and v2 are few.

But they can lead to side effects in some cases:

🧑‍🏫 Configuration evaluation🔗

Configuration loading is more strict in reaction v2. It includes detecting misnamed fields, which were previously ignored.

In case of an incorrect configuration, a human-friendly error will be shown.

A new command allows users to test the config upfront: reaction test-config.

📏 Regex engine🔗

Go and Rust regex libraries have some syntax differences on advanced features.

⛲ Streams🔗

Previously, reaction only read the stdout of launched commands.

Now, both stdout and stderr are read.

📂 Database🔗

Database formats between v1 and v2 are incompatible.

Stored data (matches, current actions) will be lost.

In reaction's state directory (probably /var/lib/reaction), the following files can be deleted:

reaction-matches.db, reaction-flushes.db (v1)
data directory (v2.0.0-rc2)

The v2 uses a standalone file called reaction.db, in JSONL format (a JSON object per line)

🎉 New features🔗

The rewrite was the main goal, but some additions came up in this new version!

Configuration directory🔗

Main real addition for sysadmins, reaction now supports splitting configuration across multiple files. Convenient when configuration is generated with Infra as Code tools, or when you just like having multiple files.

This feature is documented in the wiki's FAQ

🐚 Command Line🔗

The CLI is the same, but more flexible:

Argument order is less strict,
Each subcommand has its own --help.

🐚🐚 Shell completions & man pages🔗

Shell completions are now available for bash, zsh and fish. Man pages for the CLI, a bit more detailed than --help, are available too.

📦 Packaging🔗

reaction binaries are now available for 2 architectures: amd64 (x86-64) and arm64.

For each architecture, a .tar archive and a Debian package are available. Both of them contain:

reaction, ip46tables and nft46 binaries
man pages and shell completions
a systemd service file.

Additionnally, the .tar contains a Makefile to install the other files.

🔮 Upcoming features🔗

Missing features from issues🔗

Now that the foundations are here, I'll finally be able to add new features, including the most requested by reaction users:

Better IP address support (#79)
Configurable duplicates management (#68)
"One shot" actions (including for alerting) (#92)
Ban command (#93)
More complete support for the NixOS distribution (upstreaming a module)

Documentation🔗

At the same time, I want to improve documentation, by writing:

a complete reference of configuration options
a step-by-step guide for writing one's own configuration
more configuration examples for common services

Plugin system🔗

Once this is done, I'll work on a second big step: adding a plugin system.

This system will allow anyone to extend reaction, without modifying the core code.

It's already possible to do what you want with reaction, by using custom scripts in streams' and actions' commands. But it can be inefficient or hacky for complicated things, or to bridge reaction to other systems.

For example, if you want to write IPs in a PostgreSQL database, you can write something along this:

{
  insert_psql: {
    cmd: ['psql',  '-h', 'HOST', '-U', 'user', '-c', 'INSERT INTO ips (ip) VALUES(<ip>)'],
  }
}

It works, but it isn't optimized. This example will:

Execute a PostgreSQL client, which:
Opens a session with the server
Authenticates
Inserts a line (⚠️ sensitive to SQL injections in this minimal example: see the wiki for a secured version)
Closes the session.

A PostgreSQL plugin could allow for keeping a session open, and to just insert the line.

Fictional example:

{
  insert_psql: {
    plugin: 'psql',
    options: {
      host: 'HOST',
      user: 'user',
      query: 'INSERT INTO ips (ip) VALUES(%1)',
      params: {
        '%1': '<ip>'
      }
    }
  }
}

I don't plan to write database plugins! This will be left to others but should be easy.

JSON🔗

A lot of programs can log structured data, whether it's in JSON, or by using journald format (which journalctl can then print in JSON).

It's possible to write regexes to process JSON, but it's tedious and error-prone.

A JSON plugin would permit to replace a reaction filter's regex by more advanced methods.

Clustering🔗

reaction works alone for now.

But it would be great if it could work in a cluster of multiple reaction instances, on different machines. They could exchange messages, like IPs to ban.

A clustering plugin will enable this.

I guess this will be the most work intensive plugin for me ^^

HTTP soft ban🔗

When responding to attacks, for now reaction completely bans the IP at the firewall level. It's effective, but it can be a source of misunderstanding when there are false positives and a legit user finds themself banned.

To fix this, I want to write a plugin that spawns an HTTP middleware server, which places itself between the reverse proxy and the application server:

It would serve content transparently for legit IPs, from the reverse proxy to the application server.
It would show a user-friendly ban message to banned IPs, effectively blocking traffic from the reverse proxy to the application server.

I've wanted to do this for some time, and some people were skeptical on this implementation choice. Since then, the same choice has been made for Anubis, a bot protection software which can be used alongside reaction!

Firewall🔗

iptables and nftables commands aren't efficient when a lot of them are launched at the same time. This can cause an additional pressure on a server when it's attacked.

A plugin that'd start one command, able to stream firewall actions would reduce this load a lot.

💰 NLnet🔗

I applied for an NLnet grant in June 2024, to be able to give more time to reaction. I received an agreement in January!

All upcoming features described in this article will be financed by the foundation. I'll be able to give a lot to reaction, while still managing to pay my rent 😄

That's great news 🎉

As a treat, the NLnet fund includes a security audit, which is really important for such software.

👉 The NLnet foundation

👉 Reaction's project Page @ NLnet

🤝 How to contribute🔗

Use reaction 😄

If you have a problem, or ideas, several spaces are available to talk about it:

reaction issues on Framagit
Matrix development rooms :
- English.
- French.
Matrix support rooms :
- English.
- French.
Ping @ppom@mamot.fr on the Fediverse

And your configurations are gladly welcomed on the wiki! Don't hesitate to create a merge request (or even to put your code in an issue if you're lazy) on the Git repo.

🫶 Thanks🔗

Thanks to @bcareil who wrote the configuration directory feature, and corrected other problems in the Rust implementation!

Thanks to M for their help and advice on the advanced features of Rust (it's complicated ^^).

Thanks to Bertille for her listening and her advice on technical choices and on project management.

Thanks to the Rustaceans of #reaction-dev-fr:club1.fr for their views on the database choice.

Thanks to Luc for help on Debian packaging.

Thanks to all people contributing ideas and reporting problems in the issues.

reaction v2 : Rust & NLnet

2025-06-02T00:00:00+00:00

This article is also available in 🇬🇧 english.

Pour une introduction à reaction, voir l'article précédent à ce sujet

J'ai le plaisir de vous annoncer la publication de reaction v2.0.0 !

Cette nouvelle version apporte peu de nouvelles fonctionnalités, mais ouvre la voie pour un futur radieux à reaction 🌞

TL;DR🔗

Au programme de cet article :

Réécriture en Rust
Benchmark
Incompatibilités de la v1 à la v2
Nouvelles fonctionnalités
Fonctionnalités à venir
Support de NLnet

🦀 Réécriture en Rust🔗

J'ai entamé il y a un an une réécriture complète de reaction en Rust, avec pour objectifs :

Une meilleure performance et une meilleure robustesse
Un langage plus en vogue, pour attirer les contributions et profiter d'un meilleur écosystème de librairies
Un langage plus adapté à la création d'un système de plugins performant (voir plus bas)
Écrire des tests pour la majorité de la codebase.

Après de nombreux rebondissements, j'ai enfin une réimplémentation de reaction qui me satisfait pleinement. La première version fonctionnelle était prête en octobre, mais cette réécriture a été l'occasion pour moi de continuer de tester des systèmes internes différents.

J'ai notamment passé les mois de février et de mai à tester plusieurs systèmes de base de données, qui ne me satisfaisaient pas, jusqu'à réécrire ma propre implémentation. Il y a maintenant un mini-redis embarqué dans reaction !

📊 Benchmark🔗

Puisqu'on aime toustes la data, voici le résultat d'un benchmark.

Ce benchmark n'est pas du tout réaliste, il envoie 4 flux d'un million de logs chacun le plus rapidement possible, demandant à reaction de traiter toutes ces lignes, et de réaliser environ 6000 actions (un sleep 0.1). Il permet de donner une idée de comment réagit reaction à un stress énorme.

Bien sûr, tous les tests sont à prendre avec un grain de sel, car ils ne permettent pas de tester la vie réelle.

Les statistiques sont produites par systemd.

Version Go, v1.4.1 :

Service runtime: 2min 10.024s
CPU time consumed: 6min 47.643s
Memory peak: 13.6G (swap: 6.6G)
IO bytes read: 18.5G written: 21.3G

Version Rust, v2.0.0 :

Service runtime: 42.235s
CPU time consumed: 4min 27.828s
Memory peak: 4.3G (swap: 0B)
IO bytes written: 499.9M

Ces tests ont été effectués sur un PC avec un SSD NVME tout neuf et 16G de RAM. Les différences en écriture disque auraient un plus gros impact sur un disque moins performant. Les différence en temps total auraient sûrement été moins importantes si reaction Go n'avait pas eu à swapper.

Il faut noter que les différences de performance ne sont pas imputables qu'au langage de programmation utilisé, mais aussi voire surtout aux choix techniques qui sont faits pour la communication entre les composants du système, la base de données (même structure générale mais avec des différences d'implémentation), etc.

Pour preuve, la première version de la réécriture, calquée sur le modèle de goroutines et channels proposé par Go, et moins adapté à Rust, avait des performances bien moins bonnes que la version Go.

⚙️ Incompatibilités🔗

Les différences de comportement entre reaction v1 et reaction v2 sont peu nombreuses.

Ces changements peuvent créer des effets de bord dans certains cas :

🧑‍🏫 Évaluation de la configuration🔗

Le chargement de la configuration est plus strict sur reaction v2, qui détecte notamment les champs mal nommés, auparavant ignorés.

En cas de configuration incorrecte, une erreur intelligible sera levée au lancement.

Une nouvelle commande, reaction test-config, permet même de tester la configuration en amont.

📏 Moteur de regex🔗

Les librairies Go et Rust pour les regex comportent quelques différences de syntaxe pour des fonctions avancées.

⛲ Streams🔗

Auparavant, reaction ne lisait que la sortie stdout des commandes lancées.

Maintenant, les sorties stdout et stderr sont lues.

📂 Base de données🔗

Les formats de base de données de la v1 et la v2 sont incompatibles.

Les données stockées (matches, actions en cours) seront perdues.

Dans le state directory de reaction (probablement /var/lib/reaction), les fichiers suivants peuvent être supprimés :

reaction-matches.db, reaction-flushes.db (v1)
le dossier data (v2.0.0-rc2)

La v2 utilise un fichier unique appelé reaction.db, au format JSONL (un objet JSON par ligne)

🎉 Nouvelles fonctionnalités🔗

La réécriture était l'objectif principal, mais quelques ajouts se sont glissés dans cette nouvelle version !

Dossier de configuration🔗

Principal ajout réel pour les admins, reaction supporte à présent une configuration répartie en plusieurs fichiers. Bien pratique quand on génère de la configuration avec des outils d'Infra as Code, ou quand on aime mettre les petits plats dans les grands.

Cette fonctionnalité est documentée dans la FAQ du wiki

🐚 Ligne de commande🔗

L'interface en ligne de commande est la même, mais plus flexible :

L'ordre des arguments est moins strict,
Chaque sous-commande a son propre --help.

🐚🐚 Complétions shell & Man pages🔗

Des complétions shell sont maintenant disponibles pour bash, zsh et fish. Des pages de manuel pour la CLI légèrement plus fournies que l'aide de --help, sont également crées.

📦 Packaging🔗

reaction est maintenant précompilé pour 2 architectures: amd64 (x86-64) et arm64.

Pour chaque architecture, une archive .tar et un paquet debian sont disponibles. Chacun d'entre eux contient :

Les binaires : reaction, ip46tables et nft46
Les pages de manuel et les complétions shell
Un fichier de service systemd

De plus, le .tar contient un Makefile pour installer les fichiers précédents.

🔮 Fonctionnalités à venir🔗

Ajout de fonctionnalités manquantes🔗

Maintenant que les fondations sont posées, je vais enfin ajouter de nouvelles fonctionnalités, pour la plupart demandées par des utilisateurs et utilisatrices de reaction :

Meilleur support des adresses IP (#79)
Gestion paramétrable des duplicatas (#68)
Actions "one shot" (pour l'alerting notamment) (#92)
Commande de ban (#93)
Support plus complet pour la distribution NixOS (ajout d'un module)

Documentation🔗

En parallèle, je compte améliorer la documentation, en écrivant :

une référence complète des options de configuration
un guide pas à pas pour la configuration d'un nouveau filtre
plus d'exemples de config toute prête pour des services courants

Système de plugins🔗

Une fois ces améliorations faites, je vais me lancer dans un second gros chantier : ajouter un système de plugins.

Ce système permettra à d'autres personnes d'étendre reaction, sans toucher au cœur du code.

Il est déjà possible de faire à peu près ce qu'on veut avec reaction, en utilisant des scripts custom comme commande d'un stream ou d'une action. Mais ça peut vite être inefficace ou dégueu pour des choses compliquées, ou pour se connecter à d'autres systèmes.

Par exemple, si on veut entrer des IPs dans PostgreSQL, on peut créer une action comme ça :

{
  insert_psql: {
    cmd: ['psql',  '-h', 'HOST', '-U', 'user', '-c', 'INSERT INTO ips (ip) VALUES(<ip>)'],
  }
}

Ça fonctionne, mais ce n'est pas optimisé. Cet exemple va :

Lancer un client PostgreSQL
Qui va ouvrir une session avec le serveur
S'authentifier
Insérer une ligne (⚠️ sensible aux injections SQL dans ce cas minimal : voir le wiki pour une version sécurisée)
Fermer la session.

Avoir un plugin PostgreSQL permettrait de garder une session ouverte avec le serveur, et de n'avoir qu'à insérer la ligne.

Exemple (fictif) :

{
  insert_psql: {
    plugin: 'psql',
    options: {
      host: 'HOST',
      user: 'user',
      query: 'INSERT INTO ips (ip) VALUES(%1)',
      params: {
        '%1': '<ip>'
      }
    }
  }
}

Je n'ai pas prévu d'écrire moi-même des plugins pour des bases de données cependant ! Ce travail est laissé à d'autres, mais ça devrait être simple.

JSON🔗

De nombreux programmes permettent de loguer des données structurées, que ce soit en JSON, ou en utilisant le format de journald, (que journalctl peut ensuite afficher en JSON).

C'est possible de faire des regex sur du JSON, mais c'est désagréable et source potentielle d'erreurs.

Un plugin JSON pourrait remplacer les regex d'un filter reaction par des méthodes plus avancées.

Clustering🔗

Pour l'instant reaction fonctionne en solo.

Mais ce serait super qu'il puisse fonctionner en bande, pour que plusieurs instances de reaction, sur des machines différentes, puissent s'échanger des messages, comme des IPs à bannir.

Un plugin de clustering permettra ça.

Je pense que ce sera le plugin qui demandera le plus de travail ^^

HTTP soft ban🔗

En cas d'attaque, la réponse actuelle de reaction est de bannir l'IP complètement au niveau du firewall. C'est efficace, mais ça peut être source d'incompréhension en cas de faux positif, quand une personne légitime se retrouve bannie.

Un plugin qui crée un middleware HTTP, c'est à dire un serveur HTTP qui se place entre le reverse proxy et le serveur applicatif, pourrait corriger ce problème :

Il serait complètement transparent pour les IPs légitimes, et passerait le trafic entre le reverse proxy et le serveur applicatif.
Il afficherait un message user-friendly aux IPs bloquées, bloquant le trafic du reverse proxy vers le serveur applicatif.

J'ai envie de faire ça depuis un bon moment, et plusieurs personnes se sont montrées dubitatives quand à ce choix d'implémentation. C'est cependant le choix qui a été récemment fait pour Anubis, un logiciel de protection contre les bots qui peut être utilisé de concert avec reaction !

Firewall🔗

Les commandes d'iptables et nftables sont peu efficaces quand de nombreuses sont lancées en parallèle. Ça peut causer une pression supplémentaire sur le serveur en cas d'attaque.

Un plugin qui maintiendrait une seule commande capable de streamer les actions de firewall à réaliser réduirait de beaucoup cette charge.

💰 NLnet🔗

Dans le but de pouvoir dédier plus de temps à reaction, j'ai fait une demande de bourse à NLnet en juin 2024. J'ai reçu la validation de cette bourse en janvier !

Toutes les fonctionnalités à venir décrites dans cet article seront financées par la fondation, me permettant de m'y consacrer pleinement tout en payant mon loyer 😄

C'est une super nouvelle 🎉

En bonus, cette bourse inclut un audit de sécurité, ce qui est spécialement important pour un logiciel comme celui-ci.

👉 La fondation NLnet

👉 La page du projet Reaction @ NLnet

🤝 Comment participer ?🔗

Utilisez reaction 😄

En cas de problème, ou d'idées, plusieurs espaces sont ouverts pour en discuter :

Les issues de reaction sur Framagit
Les rooms Matrix de développement :
- Anglais.
- Français.
Les rooms Matrix de support :
- Anglais.
- Français.
Ping @ppom@mamot.fr sur le Fediverse

Et vos configurations sont plus que bienvenues sur le wiki ! N'hésitez pas à proposer une merge request (ou même à la poser dans une issue si flemme) sur le dépôt Git.

🫶 Remerciements🔗

Merci à @bcareil qui a écrit la fonctionnalité du dossier de configuration et corrigé d'autres problèmes dans l'implémentation Rust !

Merci à M pour son aide et ses conseils avisés dans les fonctionnalités avancées de Rust (cé compliqué).

Merci à Bertille pour son écoute et son avis sur les choix techniques et la gestion de projet.

Merci aux Rustacéens de #reaction-dev-fr:club1.fr pour leurs remarques judicieuses sur les choix de base de données.

Merci à Luc pour l'aide au packaging Debian.

Merci aux gens qui ont donnée des idées et alerté sur des problèmes dans les issues.

Faire un don 💌

Confidentialité : par où commencer ?

2025-05-27T00:00:00+00:00

Tu cherches à quitter un max les GAFAM, pour plus de vie privée, de libertés numériques, de confidentialité, d'indépendance vis-à-vis des USA ? Tu as un peu de motivation ?

Cet article est là pour ça. Il ne s'attardera pas vraiment sur le pourquoi, mais surtout sur le comment. Parce que c'est souvent ça qui manque quand on est pas geek (moi si 😇).

J'ai créé cet article de blog à partir d'une conversation que j'ai eu avec une amie qui me demandait des conseils pour sortir des GAFAMs. En voici une version mise en forme !

Cet article est long, tout n'est pas faisable en une aprem. Vas-y tranquillement, te mets pas la pression, et fais bien ce qu'il te plait ! J'utilise parfois l'impératif par facilité, mais tu fais bien ce que tu veux bien sûr. Ce n'est que mon avis sur la question. Ça me donne une ressource à envoyer aux personnes qui me posent des questions, que je complèterai sûrement au fil du temps.

1. Navigateur 🌐🔗

Selon moi, la première étape, la plus facile, c'est de changer de navigateur.

Cliquer pour ouvrir

Tu sais, c'est l'appli qui te permet de consulter des sites webs, services en ligne... C'est souvent Google Chrome par défaut.

Installer Firefox🔗

Firefox est un navigateur très bon en termes de confidentialité.

Contrairement à Google Chrome, il n'envoie pas tout ton historique de recherche à Google, ni à personne d'autre.

Firefox est installable :

sur ordi (Mac / Windows / Linux)
sur smartphone (Android / iOS).

👉 Installer Firefox.

Firefox, sur ordi et sur smartphone, permet en bonus de lire les PDF. Il permet aussi de les éditer sur ordi.

Mais pour améliorer encore nettement les choses, voici ce qu'il faut faire :

Installer un bloqueur de pubs🔗

Pour bloquer au mieux tous les pisteurs des GAFAM, répandus sur la plupart des sites, on installe uBlock Origin.

👉 Installer uBlock Origin sur Firefox.

Je ne recommande pas :

AdBlock Plus
Ghostery
et la plupart des autres bloqueurs de pubs.

Il sont pour la plupart de mèche avec les publicitaires, voire collectent carrément vos données personnelles.

uBlock Origin est un projet bénévole, mature, efficace et économe en ressources.

Se protéger des pubs est aussi une mesure pour se protéger des virus.

Changer de moteur de recherche🔗

Le moteur de recherche est le site web qu'on utilise pour faire ses recherches. Par défaut, malheureusement, c'est Google.

Pour éviter encore une fois de dire tout ce qu'on cherche à Google, on va en utiliser un autre. Je recommande DuckDuckGo, qui est bien niveau confidentialité et qui donne des résultats satisfaisants.

Pour cela, il faut aller dans les préférences de Firefox, onglet "Recherche" et sélectionner DuckDuckGo dans la liste.

Si, de temps en temps, les résultats d'une recherche ne te satisfont pas, ajoute !g à ta recherche et ça te redirigera vers Google 👌

Optionnel : Isoler Facebook / Instagram / WhatsApp🔗

Facebook Container est une extension officielle de Firefox apporte une protection supplémentaire contre le pistage des services de Meta (Facebook, Instagram, WhatsApp).

👉 Installer Facebook Container sur Firefox.

Optionnel : Cacher les bannières de cookies🔗

Ces bannières de cookies nous saoûlent, c'est une façon dégueu et relou de respecter le règlement européen sur la protection des données (RGPD) pour les sites web, tout en te pistant quand même.

Cette extension permet de cacher cette banière : comme ça on ne répond même pas à la question, ce que les sites interprètent comme un "non".

👉 Installer I still don't care about cookies sur Firefox.

Optionnel : Extension de confidentialité supplémentaire🔗

Flemme d'expliquer le pourquoi du comment, mais Decentraleyes permet de te protéger de certaines formes de pistage contre lesquelles uBlock Origin ne peut rien.

👉 Installer Decentraleyes sur Firefox.

Optionnel : Paramètre de confidentialité de Firefox🔗

Dans les préférences de Firefox, on peut choisir d'effacer tous les cookies à la fermeture du navigateur.

C'est dans la catégorie Vie privée et sécurité, cocher Supprimer les cookies et les données des sites à la fermeture de Firefox.

Ça a le désavantage de te déconnecter de tous les sites d'une session à l'autre, mais ça te permet de repartir d'une page vide à chaque fois.

Après tu peux gérer une liste d'exceptions pour pas te déconnecter des services auxquels tu te connectes souvent (par exemple si de toute façon la première chose que tu fais quand tu vas sur Discord c'est t'y connecter, autant que Firefox y reste connecté quoi)

Pour encore d'autres astuces sur Firefox, j'ai écrit un article à ce sujet.

Clic Et Cetera a également un très bon article sur Firefox, avec encore d'autres possibilités qui ne sont pas listées ici.

2. Cartographie 🗺️🔗

Une deuxième étape, simple aussi, c'est de te déplacer sans tenir au courant les GAFAMs de tes trajets.

Cliquer pour ouvrir

Savais-tu que Waze appartient à Google, comme Google Maps ?

En face du géant, une alternative solide existe : OpenStreetMap.

C'est une carte collaborative, à la manière de Wikipédia. C'est facile de s'y créer un compte et de rajouter des infos dessus.

Toutes cartes du monde confondues, OpenStreetMap est juste après Google en termes d'utilisation : la plupart des cartes en ligne sont basées dessus.

OpenStreetMap contient souvent des tracés plus précis que Google, comme les tracés de randonnée. Elle répertorie des infos utiles, comme les points d'eau potable, etc.

En revanche, elle est moins fournie en commerces : il en manque, et il manque souvent les horaires.

Pour chercher des lieux et faire des itinéraires :

Sur ordi🔗

Il suffit d'aller sur le site web.

👉 Consulter OpenStreetMap.

Sur smartphone🔗

C'est ce qui nous intéresse le plus, en vrai.

Il existe une super appli, facile d'utilisation, confidentielle, libre :

🌱🧭 CoMaps 🧭🌱

👉 Installer CoMaps pour Android.

👉 Installer CoMaps pour iOS.

L'interface est très épurée, c'est facile de s'y retrouver.

C'est une carte qui fonctionne hors-ligne : on commence par télécharger les cartes dont on a besoin, par département.

Il suffit de zoomer quelque part pour que l'appli te propose de télécharger la carte si elle manque.

Une fois qu'on a les cartes qu'on veut, tout se fait hors-ligne : la visualisation, les recherches, les itinéraires, le GPS. En termes de vie privée, c'est l'idéal.

La recherche est moins puissante que sur le site web openstreetmap.org, si on fait une faute d'orthographe, on risque de ne pas trouver.

Les itinéraires à pied, à vélo et en voiture sont plutôt bons (les estimations de temps sont trèès optimistes par contre 😅).

Les marque-page sont très pratiques pour sauvegarder les endroits où l'on va souvent, les restaus, qu'on veut essayer, etc.

Et point bonus : c'est très facile d'ajouter des infos simples !

Il faut d'abord se créer un compte sur OpenStreetMap et se connecter dans l'appli.

Puis pour ajouter des horaires à un commerce, ou même ajouter un commerce, l'interface est intuitive.

Pour proposer des changements plus complexes qu'il n'est pas possible de faire avec l'appli, il suffit de laisser une note, et des personnes plus expérimentées feront la modification.

Comme Wikipédia quoi 😄

Note : Si l'envie vous prend, il existe quand même une application plus complète et mieux faite pour ajouter des informations : StreetComplete, disponible uniquement sur Android.

3. Mail 📧🔗

La deuxième étape, plus reloue mais essentielle, c'est de plus utiliser de mail des GAFAMs (Gmail, Outlook, etc).

Cliquer pour ouvrir

T'es toujours là ? 😮

Les mails c'est le miroir de toute ton activité en ligne : en plus des échanges avec des vrais gens, tu y reçois toutes tes notifs de connexion, tes rappels, confirmations d'achat, d'opération bancaire, etc. Ça fait un paquet d'infos sur ta vie, qui sont utilisées pour déduire tes goûts, tes actvités, etc.

Donc ça veut dire te créer une nouvelle adresse.

👉 Pour te trouver un nouveau fournisseur de mail, on a fait un site avec des copaines du collectif CHATONS : Le déMAILnagement.

⚠️ Comme fournisseur de mail, je ne recommande pas Tutanota ni Proton : c'est pas que c'est pas bien, c'est que leur fonctionnement rend impossible l'utilisation d'un logiciel comme Thunderbird dont je parle ensuite. Ça rend la transition d'un mail à un autre plus compliquée, puisque tu ne peux pas tout avoir au même endroit. En pratique, j'ai l'impression que les personnes qui s'y sont créé une boite mail ont plus de mal à faire la transition.

Une fois ta nouvelle adresse crée, il faut prévenir que t'as changé d'adresse au fur et à mesure qu'on te contacte sur l'ancienne. C'est aussi changer ton mail sur tous les sites. Pareil, tu peux le faire au fur et à mesure que tu reçois des mails de notif sur l'ancienne.

C'est un changement qui se fait au long cours, avec je dirais une semaine - un mois où ça te prend pas mal de temps, puis de manière plus disparate sur 6 mois / un an, jusqu'à pouvoir supprimer complètement son ancienne adresse.

⚠️ Je recommande pas de garder Gmail comme adresse "poubelle", toujours parce que tes mails "poubelle" en disent long sur qui tu es.

Pendant ce processus de transition 🏳️‍⚧️ deux outils te seront très utiles :

Un client mail🔗

Un client mail, c'est un logiciel séparé du navigateur, qui te permet de réunir toutes tes boites mails.

Je recommande Thunderbird, qui fonctionne sur ordi et sur Android.

Tu peux directement lire et envoyer des mails de toutes tes adresses mail que tu as ajoutées dessus.

Tu peux même avoir une vue Boite de réception unifiée où tu vois toutes tes boites de réceptions... unifiées en une. Et oui.

Un gestionnaire de mots de passe🔗

Un gestionnaire de mots de passe te permet de garder trace de quel mail et quel mot de passe tu utilises pour chaque site.

Je recommande Bitwarden. Tu peux utiliser celui d'un CHATONS, ou utiliser le service officiel de la boite Bitwarden si tu veux pas te prendre la tête, je pense que c'est ok.

Tu peux ensuite installer l'extension Firefox, et l'appli Android. Very pratique.

👉 Installer Bitwarden sur Firefox.

Optionnel : Les alias de mail🔗

Pour encore plus de privacy, tu peux éviter d'avoir une seule identité (un seul mail), pour toute ton activité en ligne.

Pour cela, je recommande l'utilisation d'un service d'alias de mail. Il permet de créer un nouveau mail aléatoire pour chaque service en ligne. Tous les mails reçus seront redirigés à ton mail perso, donc ça complique pas trop, si tu es un peu à l'aise avec l'informatique.

Comme tu as un mail différent pour chaque site, c'est plus difficile de croiser les données entre tous les différents services en ligne que tu utilises.

Oui, il a des boites qui sont spécialisées dans le croisement des données entre une quantité énorme de sites, le commerce de la surveillance en ligne est catastrophique !

Perso j'utilise directement mon mail perso :

Pour les sites gouvernementaux. De toute façon, ils savent qui je suis a priori ^^
Pour les communications avec des vrais gens qui ont pas leur mail chez les GAFAM

Pour tout le reste, j'utilise des alias. Et en vrai des fois j'ai la flemme de créer un alias pour parler à un vrai gens qui est chez Gmail, vasy on fait ce qu'on peut hein !

À noter que l'utilisation d'un service d'alias de mail, c'est ingérable sans gestionnaire de mots de passe. Tu peux pas retenir ces 200 adresses mails aléatoires !

Je recommande Simple Login, une filiale de ProtonMail, mais il y en a plein d'autres. C'est 30€ par an. Genre 2 pizzas !

👉 Simple Login.

👉 Installer Simple Login sur Firefox.

👉 Installer Simple Login pour Android.

4. Agenda 📅 et Contacts🔗

Si le mail est le reflet de ta vie numérique, alors ton agenda en ligne, c'est le reflet de toute ta vie physique !

Cliquer pour ouvrir

Un service de synchronisation d'agenda et de contacts vient souvent avec ton mail. Les paramètres dépendront du service de mail que tu choisis.

En tout cas, c'est possible d'ajouter ses agendas et contacts sur Thunderbird (même logiciel que pour les mails) sur ordi.

Sur Android, c'est un peu plus chiant, faut installer DAVx5, pour la synchronisation des agendas et des contacts, et une appli d'agenda (Etar par exemple).

Sur iOS, je crois que c'est facile aussi, à confirmer.

Je vais pas plus loin dans l'explication, ton fournisseur de mail a sûrement une documentation adaptée.

👉 Installer DAVx5 pour Android.

👉 Installer Etar pour Android.

5. Messagerie instantanée 💬🔗

Bon, les applis de messagerie instantanée, tu en as sûrement déjà quarante-douze. Mais lesquelles sont privacy-friendly ?

Cliquer pour ouvrir

Là, on commence à toucher à un truc plus compliqué. Parce que pour utiliser une messagerie, il faut que tes contacts l'utilisent aussi.

C'est ce qu'on appelle l'effet réseau : Plus il y a de personnes sur un réseau social ou une messagerie, plus ce service est incontournable.

Ça fonctionne aussi dans l'autre sens : moins un service est utilisé, moins il est utilisable.

Comme messagerie instantanée, je recommande sans hésitation Signal.

👉 Installer Signal

Les nerds te diront peut-être que c'est pas bien parce que c'est centralisé, et c'est en partie vrai, mais :

C'est un logiciel libre, géré par une association à but non lucratif.
C'est très sécurisé et chiffré de bout en bout, et à un point beaucoup plus avancé que toutes les alternatives qui pèsent dans le game (bien plus que Whatsapp, bien plus que Matrix, etc).
C'est facile à utiliser. Ça ressemble à Whatsapp. Tu peux trouver tes contacts qui sont déjà dessus avec ton carnet d'adresses. Ça fonctionne bien. Tu peux aussi avoir l'appli sur ton ordi.

En particulier, je ne recommande pas :

Facebook Messenger / Instagram / Whatsapp : les 3 appartiennent à la société Meta, on ne présente plus le désastre en termes de confidentialité et de démocratie que représente ces services.
Telegram. Telegram fait genre son service est sécurisé, mais il n'est même pas chiffré de bout en bout. C'est une vraie blague leur histoire, mais ce qui est tragique c'est que de nombreuses personnes pensent vraiment que Telegram est une messagerie sécurisée.

J'ai espoir pour Matrix, qui est décentralisé, mais je trouve que niveau usabilité, c'est pas encore ça. Et niveau sécurité / chiffrement de bout en bout c'est pas au niveau de Signal. Chouette à utiliser entre nerds, mais pas prêt pour le grand public, à mon avis.

J'aime bien DeltaChat, qui est décentralisé aussi, et plutôt léger. Niveau sécurité / chiffrement de bout en bout ça se rapproche de Signal, et c'est simple à utiliser. Mais c'est très peu utilisé pour le moment, donc ça fait un peu vide pour l'instant.

Aujourd'hui, 90% de mes communications se font sur Signal. En expliquant pourquoi je préfère utiliser Signal, la majorité de mon entourage s'y est mis.

En installant Signal :

Vous vous permettez d'avoir des conversations vraiment privées avec votre entourage.
Vous permettez à votre entourage d'avoir des conversations vraiment privées avec vous (effet réseau !)

Pourquoi ne pas utiliser les SMS ?

Les SMS sont lisibles par tous les opérateurs réseau (Free, SFR, etc) et par l'État. Ils sont également très peu sécurisés, et il est facile (bien qu'illégal) pour une personne malveillante de recevoir et envoyer des SMS à ta place.

En plus de ça, l'application de SMS par défaut est souvent celle de Google, qui en profite pour te surveiller aussi (et les personnes avec qui tu communiques d'un même coup !

6. Réseaux sociaux 👾🔗

Les réseaux sociaux aujourd'hui ?

Facebook, Instagram et Threads, c'est le F de GAFAM.
Linkedin appartient à Microsoft, le M de GAFAM.
Twitter/X appartient à Musk, le M de Sale Ordure Fasciste.

(ah bon, y'a pas de M ? zut.)

Cliquer pour ouvrir

Deux alternatives émergent :

Bluesky🔗

Je ne recommande pas, ça a les mêmes racines techno-capitalistes de la Silicon Valley que les réseaux sociaux précédents. C'est très centralisé, y'a des actionnaires, c'est voué à devenir la même merde que les autres.

👩‍🍳 Les mêmes ingrédients donnent souvent la même recette.

Le Fediverse🔗

Un truc de hippies (je dis ça positivement !)

C'est une vraie alternative, pensée complètement différemment.

Plutôt qu'un seul service central, opéré par une société, le Fediverse est un ensemble de réseaux sociaux, opérés par des assos, des collectifs...

Ça permet d'avoir plusieurs façons différentes de gérer le service. Chaque instance a des règles différentes, et permet de plaire à des publics différents. Mais tout le monde peut quand même communiquer.

Certains ressemblent plus à Twitter (Mastodon), d'autres plus à Instagram (PixelFed), ou à Reddit (Lemmy), et d'autres qui sont des petits Youtube (Peertube).

Tous ces réseaux sont connectés, donc depuis ton compte tu peux suivre des comptes sur tous les autres réseaux !

C'est le feu, c'est le futur. Les réseaux sociaux auraient pu ressembler à ça depuis le début, s'ils avaient pas été faits par des silos en quête de pouvoir.

Voici une courte vidéo qui permet de visualiser à quoi ça ressemble :

👉 Regarder What is the Fediverse ? (sous titré)

Ça peut être un peu compliqué à prendre en main, mais c'est un espace en ligne sympa, sans pub, sans algorithmes qui sélectionnent le contenu pour toi... Il y a beaucoup de ressources à son sujet.

Je recommande de se créer un compte sur un réseau Mastodon, le logiciel le plus mature du Fediverse (il parait qu'il y a encore pas mal de bugs sur PixelFed).

Mastodon a plusieurs millions d'utilisateurices. C'est peu mais c'est pas rien ! Si tu m'envoies un message (mon nom d'utilisateur : @ppom@mamot.fr), je pourrai répondre à tes questions.

On remarque qu'une adresse Fediverse est un peu comme une adresse mail : nom_utilisateur@nom_service.

Je recommande de se créer un compte sur un grosse instance généraliste francophone, comme piaille.fr. Si tu veux déménager plus tard, c'est possible de migrer ton compte d'un endroit à l'autre, et garder tes abonnements et abonnés.

👉 Se créer un compte sur piaille.fr

Ça t'empêche pas de garder tes comptes Insta, Facebook etc, mais ça permet de découvrir autre chose !

Et ptet faire découvrir à tes copaines (effet réseau !) un endroit sans pubs et placements de produits, loin du capitalisme 😌

7. Autres applications Android🔗

Il existe une myriade d'applications Android, et je ne peux pas tout couvrir. Ici, des conseils pour en choisir de nouvelles.

Cliquer pour ouvrir

La suite d'applications Fossify a plein d'applications de base pour remplacer celles de Google :

Clavier,
SMS,
Galerie,
Notes,
etc.

Elles sont pour la plupart de bonne qualité, je recommande !

De plus, il existe un store d'applications alternatif au Play Store : F-Droid.

Ce store ne contient que des applis libres, donc garanties de ne pas contenir de pisteurs, etc. Les applis qui se connectent à des services non-libres comportent un avertissement.

Toutes les applications citées, à l'exception de Signal, sont présentes sur F-Droid par exemple ! Certaines, comme CoMaps, sont mêmes plus privacy-friendly sur F-Droid.

Recommandations d'applications en vrac :

Lecteur de PDF : Firefox ou MJ PDF
Lecteur de Musique (pas en streaming, seulement en local) : Metro
Lecteur de vidéos (pas en streaming, seulement en local) : VLC
Wikipédia, pour chercher une info rapidement
Notification Notes, pour des notes rapides qui resteront dans la barre de notifications
Lexica, un jeu hors-ligne similaire au Boggle. Assez jouable, sans être trop addictif.

Ces applications permettent de se connecter à des services privateurs, (toujours mieux avec une appli libre que l'appli officielle) :

Appli alternative pour regarder Youtube : PipePipe ou NewPipe.
Appli alternative pour Reddit : Stealth
Appli alternative pour Telegram : Forkgram

F-Droid est intégré par défaut à /e/OS, dont je parle dans la section suivante !

Pour les applications que tu télécharges sur le Google Play Store, je conseille les rapports d'Exodus Privacy : ce site permet de chercher une appli et de voir tous les pisteurs inclus dedans. Ça donne une idée de son niveau de mouchardise, et ça permet d'en savoir un peu plus sur le marché de la surveillance en ligne.

8. Système d'exploitation 🖥️🔗

Système d'exploitation ? Non, je ne parle pas du capitalisme !

Ici on va parler du logiciel principal de ton ordi ou de ton smartphone.

Cliquer pour ouvrir

Système d'exploitation 🇫🇷 = Operating System 🇬🇧 = OS

Ok, cette partie est une ébauche, parce qu'il y a trop à dire sur ce sujet.

Ordi🔗

Pour les ordis, Windows est l'OS le plus courant.

Désavantages en vrac :

Rempli de pisteurs qui surveillent ton activité
Peu sécurisé, la proie préférée des virus
Gourmand en ressources, devient rapidement lentissime
Windows 10 ne sera plus maintenu à la fin de l'année 2025, et Windows 11 a des pré-requis matériels que la plupart des ordis n'ont pas

Oui oui, c'est pour te forcer à racheter un PC

Je recommande l'utilisation de Linux à la place.

C'est pas tout rose non plus :

C'est pas installé par défaut sur l'ordi, donc ça peut être compliqué à installer
Tu perds tes repères, pas la même façon d'installer des logiciels
C'est pas aussi lissé que Windows

Pour installer ça, si t'as la motivation, je te recommande de trouver quelqu'un qui fait un peu d'informatique pour t'aider.

Y'a jamais juste "Linux", y'a tout un enrobage autour, qu'on appelle une distribution Linux. Le choix de la distribution est important.

Je recommande Manjaro Linux ou Linux Mint pour commencer !

Android🔗

Android, par défaut, vient dans la version de Google, c'est-à-dire avec toutes les applis de Google pré-installées et pas désactivables (Play Store, Google Chrome, etc).

Mais il existe d'autres distributions* d'Android (comme Linux !)

La plus facile à installer et utiliser est certainement /e/ OS (oui c'est un nom pourri, incompréhensible mais bref).

/e/ OS ne comporte aucune application Google installée par défaut. Toutes les applications de base (Play Store, SMS, Calendrier, etc) sont remplacées par des équivalents libres (ou presque).

Notamment, leur magasin d'applications, App Lounge, permet d'installer à la fois des applications qui viennent de F-Droid et du Play Store. Quand une application est présente sur les deux magasins, App Lounge choisira de passer par F-Droid 👌

De plus, cette version d'Android permet de bloquer l'accès à Internet à une appli. Utile par exemple pour jouer à des jeux sans les pubs et le tracking.

C'est facile de voir sur le site d'/e/ si ton téléphone est supporté ou pas.

👉 Checker la liste des téléphones supportés

S'il est supporté avec l'Easy Installer, tu as de la chance : avec ce logiciel, c'est faisable sans compétences techniques.

Sinon, c'est comme Linux, je te recommande de faire ça avec une personne qui a un peu d'expérience.

Si ton smartphone n'est pas supporté : La prochaine fois que tu t'achètes un smartphone (peut-être d'occasion ?), tu pourras en chercher un parmi cette liste !

Ce qui manque🔗

Un glossaire (logiciel libre, CHATONS...)
Une partie "Espace de stockage en ligne"
Une partie "Musique"
...

Faire un site low-cost avec Hedgedoc

2024-03-09T00:00:00+00:00

J'ai une activité de webmaster, où je propose de la conception et de la maintenance de sites web vitrine. J'utilise pour cela un savant mélange de Directus et de Zola.

Directus me permet de proposer à mes client·es une interface jolie, simple et strictement adaptée aux besoins du site. C'est ça qui contient toutes les données du site. Directus génère une interface d'édition complètement adaptable, crée sa propre base de données SQL en fonction du modèle de données créé par moi, génère une API, gère le téléversement de fichiers, dispose de permissions fines, etc.

Zola me permet de générer un site statique à partir de templates HTML et des données rentrées dans Directus. Pourquoi découper le système en une interface d'édition et un site statique, au lieu d'un CMS standard ? Plusieurs raisons :

Si l'interface d'édition ne fonctionne plus, le site est toujours en ligne. Les client·es ne peuvent juste pas mettre à jour le site. Je n'ai presque jamais d'incident de prod à gérer en urgence.
L'interface d'édition et le site peuvent être sur des serveurs différents : L'interface d'édition, qui demande un peu de ressources, est sur mon serveur perso, dans mon salon, et ne me coûte absolument rien. Le site statique est hébergé sur un VPS minuscule à quelques euros par mois.

Mais ce n'est pas de ça dont je viens parler ici, ce sera pour un autre article, quand j'aurais bien peaufiné cette suite d'outils.

Aujourd'hui, on va faire du low-cost, pas chiadé du tout, faisable en quelques heures !

Cette idée a germé dans mon esprit il y a environ un an, avant que je ne découvre Directus. Je l'ai reprise cette semaine, alors qu'une asso qui n'avait pas les moyens d'une prestation complète me contactait pour refaire leur site fait en 2010, en plus simple. Et sans avoir besoin de connaître le HTML pour éditer le site.

On va donc s'appuyer sur Hedgedoc (anciennement CodiMD), un éditeur collaboratif de fichiers en Markdown. J'utilise l'instance ouverte aux inscriptions de Picasoft, md.picasoft.net, et crée un site pour l'asso, qu'on appellera LASSO dans la suite de l'article.

Voici la vue d'ensemble :

Le contenu statique de la page HTML contient un minimum de HTML/CSS pour avoir une coquille vide (header, logo, barre de navigation)
Un script JS va aller chercher le contenu d'un pad sur Hedgedoc, convertir le Markdown en HTML et l'insérer dans la page.
Et c'est tout dans l'idée 😁

En pratique :

Je crée donc sur l'instance Hedgedoc un compte pour l'asso.
Je crée les quelques pages qui feront le site avec ce compte. Je mets la visibilité des pages en Locked/Verrouillé, pour que seul le compte de l'asso puisse modifier ces pages mais qu'elles soient visibles sans authentification. Elles ont l'URL https://md.picasoft.net/LASSO-{nomdelapage.html}. Exemples : https://md.picasoft.net/LASSO-index.html, https://md.picasoft.net/LASSO-news.html.
Je crée mon fichier HTML, qui sera exactement le même pour toutes les pages. En voici une version simplifiée :

<!doctype html>
<html>

<head>
	<meta charset="utf-8" />
	<meta name="viewport" content="width=device-width, initial-scale=1">
	<link rel="icon" href="./favicon.ico">
	<title>LASSO</title>
	<style>
		html {
			font-family: Gill Sans, Aller, ui-sans-serif, system-ui, -apple-system, BlinkMacSystemFont, "Segoe UI", Roboto, "Helvetica Neue", Arial, "Noto Sans", sans-serif, "Apple Color Emoji", "Segoe UI Emoji", "Segoe UI Symbol", "Noto Color Emoji";
			line-height: 1.5;
		}

		html,
		body {
			margin: 0;
		}

		main {
			max-width: 900px;
			min-height: 100vh;
		}

		img {
			display: block;
			max-width: 100%;
			height: auto;
		}

		a {
			color: inherit;
			text-decoration: underline;
		}

		nav a {
			text-decoration: inherit;
			font-weight: 600;
			color: #027d00;
		}

		.w-full {
			width: 100%;
		}

		.flex {
			display: flex;
			flex-direction: row;
		}

		.flex.center {
			justify-content: center;
		}

		article h1 {
			font-weight: 800;
			font-size: 2.25em;
			margin-top: 0;
			margin-bottom: 0.8888889em;
			line-height: 1.1111111;
		}

		article h2 {
			font-weight: 700;
			font-size: 1.5em;
			margin-top: 2em;
			margin-bottom: 1em;
			line-height: 1.3333333;
		}

		article h3 {
			font-weight: 600;
			font-size: 1.25em;
			margin-top: 1.6em;
			margin-bottom: 0.6em;
			line-height: 1.6;
		}

		article h4 {
			font-weight: 600;
			margin-top: 1.5em;
			margin-bottom: 0.5em;
			line-height: 1.5;
		}

		article img {
			margin-top: 2em;
			margin-bottom: 2em;
		}
	</style>
</head>

<body class="w-full flex center" style="background-color: #lacouleurquetuveux">
    <!-- Limiter la largeur du contenu -->
	<main class="w-full" style="max-width: 900px; background-color: #fff">

		<header class="flex">
            <!-- Logo, etc-->
		</header>

        <nav style="font-size: 1.2em">
            <a href="./index.html">Accueil</a>
            <a href="./news.html">Newsletter</a>
            <!-- Autres pages -->
        </nav>

		<article id="content" style="margin: 2em"></article>

        <!-- La librairie qui va convertir le markdown en html -->
        <!-- Téléchargée depuis https://cdn.jsdelivr.net/npm/marked/marked.min.js -->
		<script src="./marked.min.js"></script>
        <!-- La librairie qui va supprimer les éventuels cochonneries de hackers. Le contenu
        markdown devrait être de confiance, mais si jamais l'asso se trompe dans les permissions de
        ses pages, mieux vaut jouer la prudence. -->
        <!-- Téléchargée depuis https://github.com/cure53/DOMPurify/raw/main/dist/purify.min.js -->
		<script src="./purify.min.js"></script>
		<script>
			async function put_content() {
                // On extrait le nom du fichier HTML actuel
				const url = window.location.pathname;
				const filename = url.substring(url.lastIndexOf('/') + 1);
                // On va télécharger le contenu de la page Hedgedoc correspondante
				const response = await fetch(`https://md.picasoft.net/LASSO-${filename}/download`);
				const markdown = await response.text();
                // On convertit le Markdown en HTML,
                // On le purifie,
                // Et on l'insère dans le HTML, dans l'<article> 20 lignes plus haut ↑
				document.getElementById('content').innerHTML = DOMPurify.sanitize(marked.parse(markdown));
			}
			put_content();
		</script>

	</main>
</body>

</html>

Maintenant qu'on a ça, on a plus qu'à l'installer sur l'hébergement web de l'asso. Dans mon cas, c'est un hébergement gratuit avec Free, mais ce fichier HTML peut carrément aller n'importe où !

Personnellement, j'ai tous ces fichiers sur mon PC :

# Mes images
favicon.ico  header.png  logo.png
# Les librairies Javascript
marked.min.js  purify.min.js
# Les fichiers HTML
index.html  news.html ...

Tous les fichiers HTML ne sont en vrai qu'un seul et même fichier : ce sont des liens durs (hard links) d'un seul fichier, créés avec la commande ln sous Linux.
Sinon, ça fonctionne très bien aussi d'éditer toujours le même fichier puis de le copier en écrasant les autres, mais c'est plus sujet à erreur.
Encore une autre solution, c'est d'envoyer le même fichier côté serveur web pour toutes les routes qui finissent par .html. Mais ça demande un accès au serveur web, ce qui n'est pas mon cas sur de l'hébergement mutualisé Free.

Je mets à jour le HTML du site avec un :

$ rsync -a ./ host:/path/to/directory

Partant ce principe, c'est assez facile de faire sa sauce et de faire plein de petites améliorations je pense !

Notamment :

Afficher une erreur en Javascript si on arrive pas à récupérer le contenu.
Cacher le Markdown avec du PHP côté serveur, pour résister à une éventuelle panne de Hedgedoc.
Faire le rendu Markdown → HTML → HTML assaini, côté serveur, pour se débarasser du Javascript

Mais j'ai la flemme 🙃

Voilà, hésitez pas à vous abonner, à cliquer sur la cloche, tout ça...

Mon flux RSS en bas à droite ↘

Auto-hébergement : adresse IPv6 dynamique avec une zone DNS chez OVH

2024-02-29T00:00:00+00:00

La plupart des personnes qui font de l'informatique savent très bien qu'IPv4 c'est fini, en théorie, et qu'il est grand temps de passer à IPv6.

Pourtant, malgré plusieurs années d'auto-hébergement, je n'avais jamais franchi le pas. La faute à plusieurs paramètres :

Mon fournisseur d'accès Internet, Free, permet d'avoir une adresse IPv4 fixe (ex 1.2.3.4), mais ne garantit pas de préfixe IPv6 fixe (ex 12:34:ab:cd:/64)
Mon registraire et hébergeur de ma zone DNS, OVH, supporte DynHost, une façon d'automatiser facilement la mise à jour d'une entrée DNS. Mais que pour IPv4 🤡
En pratique je comprenais pas si bien comment ça marchait IPv6 sur des réseaux domestiques

Déterminer son adresse IPv6🔗

Préfixe IPv6 ? De quoi on parle ?

Attention : je fais des raccourcis, je suis pas en train de faire un cours sur IPv6 (j'en serais d'ailleurs pas capable). L'idée c'est d'avoir une vue d'ensemble suffisante pour pratico-pratiquer. Mais n'hésitez pas à me corriger si je dis des grosses bêtises 😉

Il y a ~ 2 milliards d'adresses IPv4, qui sont de plus en plus rares et chères. Pour minimiser leurs coûts, et tout simplement avoir assez d'adresses, les FAI ne donnent qu'une adresse IPv4 par box. (Souvent, ils partagent même une IP entre plusieurs box. Dans ce cas, il faut demander une adresse IPv4 full-stack, c'est-à-dire non partagée.)

Mais chaque appareil connecté au réseau doit avoir sa propre adresse IP pour être joignable ! Avec IPv4, la box fait ce qu'on appelle du NAT : elle donne aux appareils une adresse IPv4 privée (souvent en 192.168.X.XXX), et quand ils envoient un paquet, elle remplace l'adresse privée par sa propre adresse IPv4 publique, envoie le paquet à l'internet mondial décentralisé, et fait le tour de passe-passe inverse quand elle reçoit un paquet depuis l'internet et le transfère à un appareil local.

Franchement, relou, quoi. On peut pas avoir une vraie adresse publique par appareil ?

Ben avec IPv6, si, carrément. Et même des centaines d'adresses par appareil si on veut : il y a plus d'adresses IPv6 que d'atomes dans l'univers (ou quelque chose comme ça 😋).

Là où on avait grosso modo 2^32 adresses IPv4 (parce qu'elles font 32 bits), on a maintenant grosso modo 2^128 adresses IPv6 (parce qu'elles font... 128 bits. bravo !).

Donc ce qu'ont l'air de faire la plupart des FAI, c'est qu'ils donnent un "préfixe" de 64 bits à ta box.

Exemple : 2a01:e0a:b3a:1dd0::/64

Et ensuite, chaque appareil connecté à internet via la box se choisit dans son coin une adresse aléatoire en complétant au pif les 64 octets qui restent.

Exemple : 2a01:e0a:b3a:1dd0:694a:810f:1f18:9b9/64

Et ça marche ! La chance qu'il y ait une collision est vraiment négligeable : 1 / 2^64.

En pratique, les ordinateurs semblent jongler avec plusieurs IPv6s temporaires. Sur mon serveur :

$ ip address
# Ça c'est mon interface *loopback*, on s'en fout
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute
       valid_lft forever preferred_lft forever
# Ça c'est l'interface de ma connexion ethernet.
# La votre ne s'appelle ptet pas enp6s0
# (elle peut avoir un nom comme eno1, eth0, etc)
2: enp6s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    # Mon adresse MAC
    link/ether b5:1d:96:b8:01:f1 brd ff:ff:ff:ff:ff:ff
    # Mon adresse IPv4 privée
    inet 192.168.1.35/24 brd 192.168.1.255 scope global dynamic noprefixroute enp6s0
                        # preferred lifetime pas à zéro
       valid_lft 36422sec preferred_lft 31022sec
    # Seule adresse IPv6 "temporary" pas "deprecated"
    # (j'ai raccourci les adresses pour la lisibilité)
    inet6 2a01::cf08/64 scope global temporary dynamic
       valid_lft 86387sec preferred_lft 54092sec
    # Toutes les adresses "deprecated"
    inet6 2a01::2879/64 scope global temporary deprecated dynamic
       valid_lft 86387sec preferred_lft 0sec
    inet6 2a01::46c3/64 scope global temporary deprecated dynamic
       valid_lft 86387sec preferred_lft 0sec
    inet6 2a01::eeed/64 scope global temporary deprecated dynamic
       valid_lft 86387sec preferred_lft 0sec
    inet6 2a01::4ab6/64 scope global temporary deprecated dynamic
       valid_lft 86387sec preferred_lft 0sec
    inet6 2a01::a15a/64 scope global temporary deprecated dynamic
       valid_lft 86387sec preferred_lft 0sec
    inet6 2a01::5758/64 scope global temporary deprecated dynamic
       valid_lft 56383sec preferred_lft 0sec
    # Seule adresse IPv6 pas "temporary" ni "deprecated"
    inet6 2a01::2c1/64 scope global dynamic mngtmpaddr noprefixroute
                        # preferred lifetime pas à zéro
       valid_lft 86387sec preferred_lft 86387sec
    # Celle-ci elle compte pas, c'est une adresse locale
    # ("scope link", commence par fe80)
    # La suite c'est mon adresse MAC,
    # avec un ff:fe inséré au milieu, si vous suivez 😉
    inet6 fe80::b51d:96ff:feb8:1f1/64 scope link
       valid_lft forever preferred_lft forever

Avec l'option -j/--json, ip a[ddress] nous donne une sortie en JSON, plus pratique pour en extraire des données. Ça nous sort un truc comme ça :

[
  {
    "ifname": "nom",
    "...": "...",
    "addr_info": [
      {
        "family": "inet",
        "local": "2a01:e0a:b3a:1dd0:6750:6872:c4f7:4ab6",
        "scope": "global",
        "dynamic": true,
        "deprecated": true,
        "...": "...",
        "preferred_life_time": 0
      },
      {
        "...": "..."
      }
    ]
  },
  {
    "...": "..."
  }
]

Extraction de l'IP avec la commande `jq`

# Condensé :

$ ip -j a | ${pkgs.jq}/bin/jq -r '[.[] | select(.ifname == "enp6s0") | .addr_info[] | select(.scope == "global") | select(.family == "inet6") | select(.deprecated == false or has("deprecated") | not)] | max_by(.preferred_life_time) | .local')

2a01:e0a:b3a:1dd0:b62e:99ff:fec7:2c1

# Étendu :

# ip address avec une sortie JSON
$ ip --json address \
  | ${pkgs.jq}/bin/jq -r '[
      # On récupère tous les items de la liste
      .[]
      # On ne garde que l'item qui porte le nom enp6s0
      | select(.ifname == "enp6s0")
      # On récupère les items de la liste addr_info
      | .addr_info[]
      # On ne garde que les items qui sont publiques
      | select(.scope == "global")
      # Et en ipv6
      | select(.family == "inet6")
      # Et qui sont pas dépréciées
      | select(.deprecated == false or has("deprecated") | not)
    # On refait une liste du stream obtenu
    ]
    # On récupère celle qui a le plus long preferred_life_time
    # (celle qui restera le plus longtemps)
    | max_by(.preferred_life_time)
    # On récupère l'IP
    | .local')

2a01:e0a:b3a:1dd0:b62e:99ff:fec7:2c1

Extraction de l'IP en python

Je le refais en python parce qu'on va en avoir besoin plus tard :

import json
import subprocess

# Mettre ici le nom de l'interface qui nous intéresse
INTERFACE_NAME = "enp6s0"

def getIp():
    # On exécute la commande `ip --json address`
    res = subprocess.run(
        ["ip", "--json", "address"],
        capture_output=True,
        text=True
    )
    # On parse le JSON
    data = json.loads(res.stdout)

    addresses = [
        # On récupère le champ addr_info
        interface['addr_info']
        for interface in data
        # De l'interface paramétrée
        if interface['ifname'] == INTERFACE_NAME
    # Et on ne garde que le premier
    # (et seul) élément de la liste
    ][0]
    
    # On récupère l'élément max
    ipv6 = max([ # de cette liste
            address
            for address in addresses
            # Si l'adresse est publique
            if address['scope'] == "global"
            # Si l'adresse est une IPv6
            and address['family'] == "inet6"
            # Si l'adresse n'est pas dépréciée
            and not ('deprecated' in address and address['deprecated'])
        ],
        # en calculant quel est l'élément max
        # par son preferred_life_time
        key=lambda a: a['preferred_life_time']
    # On ne garde plus que l'adresse en elle-même
    )['local']

    return ipv6

Mettre à jour sa zone DNS avec OVH🔗

Ici, je suppose que vous avez une compréhension basique de ce qu'est une zone DNS.

Ptite explication quand même

C'est une liste de records (entrées), avec une clé, qui est le nom ou sous-nom de domaine concerné, et une valeur, dont le sens dépend du type du record :

A : la valeur est une IPv4.
AAAA : la valeur est une IPv6
CNAME : la valeur un autre nom de domaine. C'est comme un pointeur en programmation, pour toute question (A, AAAA, ...) concernant le nom de domaine en clé, demande au nom de domaine en valeur à la place.

Il y a plein d'autres champs qui ne nous intéressent pas aujourd'hui. Si vous ne savez pas ce que fait un champ, ne le supprimez pas au pif, ça pourrait faire des problèmes.

Exemple, dans le cas de la zone de ppom.me :

# Tous les sous-noms de domaine de ppom.me (*.ppom.me) sont
# redirigés vers musi (musi.ppom.me)
*      IN CNAME musi
# musi (musi.ppom.me) est redirigé vers ppom.me.
# ('.' à la fin = on ne parle pas d'un sous-nom de domaine)
musi   IN CNAME ppom.me.
# Si la clé (premier champ) est omise, c'est qu'on parle du
# nom de domaine en lui-même,
# pas d'un sous-nom de domaine
# ppom.me est joignable à l'adresse IPv4 1.2.3.4
       IN A 1.2.3.4
# ppom.me est joignable à l'adresse IPv6 a:b:c:d:5:6:7:8
       IN AAAA a:b:c:d:5:6:7:8

Dans l'interface web d'OVH, on a une interface qui permet de tout éditer facilement. Je vous propose de vous assurer que vous avez bien une entrée AAAA pour le nom de domaine qui vous intéresse, puis on va le mettre à jour avec un script python !

Les parties de l'API qui nous intéressent🔗

Il nous faut d'abord nous familiariser avec l'API d'OVH. L'API est documentée ici. C'est toute la partie /domain/zone qui nous intéresse : elle permet d'éditer la zone DNS d'un domaine.

On peut aussi jouer pour de vrai avec l'API ici, en se connectant avec son compte OVH et en mettant des vrais paramètres aux requêtes pour tester dans une interface avant d'essayer de le faire en programmation.

Là je pars du principe qu'on ne va pas créer de nouveau record, mais seulement d'éditer celui (ou ceux) qui nous intéresse.

Pour chaque record a éditer :

Récupérer l'id🔗

On doit récupérer son id avec

GET /domain/zone/{domain}/record

Exemple 1, le champ A de musi.ppom.me :

GET /domain/zone/ppom.me/record?subDomain=musi&fieldType=A

Exemple 2, le champ AAAA de ppom.me :

GET /domain/zone/ppom.me/record?fieldType=AAAA

Exemple de réponse : [123456].

Récupérer ses infos🔗

Avec son id en poche, on peut récupérer ses infos avec :

GET /domain/zone/{domain}/record/{id}

Exemple avec l'id précédent :

GET /domain/zone/ppom.me/record/123456

Exemple de réponse :

{
    "fieldType": "AAAA",
    "id": 123456,
    "subDomain": "",
    "target": "2a01:e0a:b3a:1dd0:b62e:99ff:fec7:2c1",
    "ttl": 0,
    "zone": "ppom.me"
}

Mettre à jour l'adresse IP🔗

Si on voit que l'IPv6 n'est pas celle qu'on veut, on met à jour le record avec

PUT /domain/zone/{domain}/record/{id}

Avec PUT on ne met à jour qu'on veut changer, sans tout remplacer. C'est pratique.

Exemple avec l'id précédent :

PUT /domain/zone/ppom.me/record/123456

Avec dans le corps de la requête :

{
    "target": "2a01:e0a:b3a:1dd0:b62e:99ff:fec7:2c1"
}

La réponse est vide.

Publier la nouvelle zone🔗

Dans mon cas, je n'ai qu'un record à changer, mais vous en avez peut-être plusieurs. Une fois qu'on a fait tous les changements qu'on voulait, il faut dire à OVH de publier cette nouvelle version de la zone DNS avec un

GET /domain/zone/{domain}/refresh

Dans mon cas :

GET /domain/zone/ppom.me/refresh

Authentification🔗

Si vous avez utilisé la console OVH pour tester les requêtes, vous avez dû voir que vous créiez un token pour utiliser l'API.

Ici on voit que cette autorisation porte sur toutes les actions possibles (/* sur les 4 méthodes GET, POST, PUT, DELETE). Ça allait tant qu'on jouait temporairement dans la console, mais j'ai pas envie de donner autant de pouvoirs à mon serveur, qui n'a que besoin de mettre à jour sa zone DNS.

Pour créer un jeton d'authentification, token, on va ouvrir notre plus beau navigateur (sûrement Firefox 🦊) et ouvrir ce lien (remplacer ppom.me par votre zone):

https://api.ovh.com/createToken/index.cgi?GET=/domain/zone*&PUT=/domain/zone/ppom.me/record/*&POST=/domain/zone/ppom.me/refresh

Remplir les champs, notamment le temps de validité, qu'on va mettre à Unlimited.

Bien sauvegarder quelque part les 3 secrets qui nous sont donnés.

Utiliser l'API d'OVH en Python🔗

OVH propose un paquet Python pour faciliter l'utilisation de son API. On va pas cracher dans la soupe et utiliser leur paquet. C'est pour ça que j'ai choisi le Python d'aileurs !

Je ne sais pas installer un paquet Python !

Trop dommage !

C'est un peut comme package.json/node_modules en Javascript.

Y'a moults tutos sur Internet qui expliqueront ça mieux que moi, mais en gros :

# Créer un "environnement virtuel"
# dans un nouveau dossier ~/.python-ovh
# J'ai mis ~/.python-ovh, mais
# ça peut aussi être /opt/ovh, ou ce que tu veux.
$ python3 -m venv ~/.python-ovh
# "Entrer" dans le venv
$ source ~/.python-ovh/bin/activate
# Installer le paquet ovh dans le venv
$ python3 -m pip install ovh
# C'est bon !
$ python3 mon_script_qui_a_besoin_du_paquet_ovh.py
# Pour "sortir" du venv :
$ deactivate

Pour les prochaines fois, il suffit de l'activer/désactiver :

$ source ~/.python-ovh/bin/activate
$ python3 mon_script_qui_a_besoin_du_paquet_ovh.py
$ deactivate

Pour se connecter à OVH dans notre script, on va avoir besoin des secrets récupérés plus haut. Le paquet OVH propose plusieurs méthodes. On peut passer par un fichier de configuration. Perso je préfère passer par les variables d'environnement :

OVH_ENDPOINT=ovh-eu
OVH_APPLICATION_KEY=...
OVH_APPLICATION_SECRET=...
OVH_CONSUMER_KEY=...

Cette fonction Python prend en paramètre une IP qu'on a déjà récupérée avec ip address.

import sys

import ovh

# Mettre ici la zone qu'on veut éditer
ZONE = "ppom.me"

def updateIp(newIp):
    # On initialise le client OVH
    client = ovh.Client()

    # On récupère le champ qui nous intéresse.
    # En l'occurence, le AAAA de ppom.me.
    recordId = client.get(f"/domain/zone/{ZONE}/record?fieldType=AAAA")
    # Si le tableau est vide, c'est caca
    if len(recordId) == 0:
        print(f"error no AAAA {ZONE}. record", file=sys.stderr)
        sys.exit(1)
    # On récupère le premier et seul élément du tableau retourné
    recordId = recordId[0]

    # On récupère ses informations, maintenant qu'on a l'id
    recordData = client.get(f"/domain/zone/{ZONE}/record/{recordId}")
    # En particulier, l'IP.
    oldIp = recordData['target']

    # Si l'IP ne correspond pas à celle qu'on a récupérée avec `ip address`
    if oldIp != newIp:
        # On met à jour l'IP
        client.put(f"/domain/zone/{ZONE}/record/{recordId}", target=newIp)
        # On publie la nouvelle version de la zone
        client.post(f"/domain/zone/{ZONE}/refresh")
        print(f"update from {oldIp} to {newIp}")
    else:
        print(f"unchanged {oldIp}")

Si on veut mettre à jour plusieurs records

On va boucler sur tous les records à mettre à jour :

import sys

import ovh

# Mettre ici la zone qu'on veut éditer
ZONE = "ppom.me"

RECORDS = [
    f"/domain/zone/{ZONE}/record?fieldType=AAAA"
    f"/domain/zone/{ZONE}/record?fieldType=AAAA&subDomain=musi"
]

def updateIp(newIp):
    # On initialise le client OVH
    client = ovh.Client()

    modificated = False

    for recordUrl in records:
        # On récupère le champ qui nous intéresse.
        recordId = client.get(recordUrl)
        # Si le tableau est vide, c'est caca
        if len(recordId) == 0:
            print(f"error no {recordUrl} record", file=sys.stderr)
            sys.exit(1)
        # On récupère le premier et seul élément du tableau retourné
        recordId = recordId[0]

        # On récupère ses informations, maintenant qu'on a l'id
        recordData = client.get(f"/domain/zone/{ZONE}/record/{recordId}")
        # En particulier, l'IP.
        oldIp = recordData['target']

        # Si l'IP ne correspond pas à celle qu'on a récupérée avec `ip address`
        if oldIp != newIp:
            modificated = True
            # On met à jour l'IP
            client.put(f"/domain/zone/{ZONE}/record/{recordId}", target=newIp)

    if modificated:
        # On publie la nouvelle version de la zone
        client.post(f"/domain/zone/{ZONE}/refresh")
        print(f"update from {oldIp} to {newIp}")
    else:
        print(f"unchanged {oldIp}")

Fichier complet

import json
import subprocess
import sys

import ovh


# Mettre ici le nom de l'interface qui nous intéresse
INTERFACE_NAME = "enp6s0"

# Mettre ici la zone qu'on veut éditer
ZONE = "ppom.me"

def getIp():
    # On exécute la commande `ip --json address`
    res = subprocess.run(["ip", "--json", "address"], capture_output=True, text=True)
    # On parse le JSON
    data = json.loads(res.stdout)

    addresses = [
        # On récupère le champ addr_info
        interface['addr_info']
        for interface in data
        # De l'interface paramétrée
        if interface['ifname'] == INTERFACE_NAME
    # Et on ne garde que le premier (et seul) élément de la liste
    ][0]
    
    # On récupère l'élément max
    ipv6 = max([ # de cette liste
            address
            for address in addresses
            # Si l'adresse est publique
            if address['scope'] == "global"
            # Si l'adresse est une IPv6
            and address['family'] == "inet6"
            # Si l'adresse n'est pas dépréciée
            and not ('deprecated' in address and address['deprecated'])
        ],
        # en calculant quel est l'élément max par son preferred_life_time
        key=lambda a: a['preferred_life_time']
    # On ne garde plus que l'adresse en elle-même
    )['local']

    return ipv6

def updateIp(newIp):
    # On initialise le client OVH
    client = ovh.Client()

    # On récupère le champ qui nous intéresse.
    # En l'occurence, le AAAA de ppom.me.
    recordId = client.get(f"/domain/zone/{ZONE}/record?fieldType=AAAA")
    # Si le tableau est vide, c'est caca
    if len(recordId) == 0:
        print(f"error no AAAA {ZONE}. record", file=sys.stderr)
        sys.exit(1)
    # On récupère le premier et seul élément du tableau retourné
    recordId = recordId[0]

    # On récupère ses informations, maintenant qu'on a l'id
    recordData = client.get(f"/domain/zone/{ZONE}/record/{recordId}")
    # En particulier, l'IP.
    oldIp = recordData['target']

    # Si l'IP ne correspond pas à celle qu'on a récupérée avec `ip address`
    if oldIp != newIp:
        # On met à jour l'IP
        client.put(f"/domain/zone/{ZONE}/record/{recordId}", target=newIp)
        # On publie la nouvelle version de la zone
        client.post(f"/domain/zone/{ZONE}/refresh")
        print(f"update from {oldIp} to {newIp}")
    else:
        print(f"unchanged {oldIp}")

# On exécute tout ça
updateIp(getIp())

Exécution du script🔗

Ici, on part du principe que :

les variables d'environnement sont dans un fichier /var/secrets/ovh (lisibles que depuis l'utilisateur qui en a besoin, faire le chmod/chown qui convient !)
le venv est à /usr/local/lib/ovh
le script python est exécutable et à /usr/local/lib/update-zone.py

# charger venv
$ source /usr/local/lib/ovh/bin/activate
# charger env vars
$ set -a
$ source /var/secrets/ovh
$ set +a
# exécuter script
$ python3 /usr/local/lib/update-zone.py

On peut créer un fichier qui fait tout ça : /usr/local/bin/update-zone

#!/usr/bin/env bash
source /usr/local/lib/ovh/bin/activate
set -a
source /var/secrets/ovh
set +a
python3 /usr/local/lib/update-zone.py

Automatisation🔗

Maintenant qu'on a notre script /usr/local/bin/update-zone et qu'il fonctionne (à vérifier de son côté !), on peut le mettre dans un cron pour qu'il soit exécuté toutes les 15 minutes :

$ crontab -e

Ajouter ceci :

*/15 * * * * /usr/local/bin/update-zone

Voir aussi : Comprendre la syntaxe CRON

Perso, je n'utilise pas cron, mais systemd. Ça demande un peu plus de fichiers et tout, mais les fonctionnalités sont bien plus nombreuses.

Automatisation avec systemd

On va créer un fichier .service, qui décrit une action à effectuer, et un fichier .timer, qui va lancer périodiquement l'exécution du fichier .service du même nom.

/etc/systemd/system/update-zone.service

[Unit]
Description=Mettre à jour l'entrée IPv6 d'une zone DNS chez OVH
Documentation=https://blog.ppom.me/dyndns-ovh

[Service]
EnvironmentFile=/var/secrets/ovh-token
ExecStart=bash -c "source /usr/local/lib/ovh/bin/activate && python3 /usr/local/lib/update-zone.py"

/etc/systemd/system/update-zone.timer

[Unit]
Description=Mettre à jour l'entrée IPv6 d'une zone DNS chez OVH
Documentation=https://blog.ppom.me/dyndns-ovh

[Timer]
OnCalendar=*:0/10

[Install]
WantedBy=multi-user.target

Maintenant on doit dire à systemd de prendre en compte ces nouveaux fichiers :

$ sudo systemctl daemon-reload

D'activer le timer au démarrage :

$ sudo systemctl enable update-zone.timer

Et de l'activer maintenant :

$ sudo systemctl start update-zone.timer

Si on veut lancer le script tout de suite maintenant, pour vérifier que ça marche bien :

$ sudo systemctl start update-zone.service

On peut voir les logs avec :

# ajouter -e pour aller à la fin des logs
# ajouter -f pour voir les nouveaux logs arriver en live
$ sudo journalctl -u update-zone

Et voilà, il n'y a plus qu'à attendre sagement que son adresse IPv6 change et s'extasier d'avoir enfin connecté son serveur au réseau IPv6, le futuur !

reaction, in replacement of fail2ban

2023-11-24T00:00:00+00:00

This article is also available in 🇫🇷 French.

Concerns🔗

This article is formulated to show that the program I made is useful ~~to society~~ to server administrators.

Problem🔗

A lot of people are writing programs (called bots) which scan the Internet and try to break in servers (the computers behind the Internet) they find. Most often, when they get control of a server, they will:

mine cryptocurrencies,
send mail spam,
use this server to attack others,
or steal the data on the server and blackmail its owners to give it back.

All those examples are problematic. The last one over others, because a server often contains sensitive data for its users.

As an example, at the Picasoft non-profit, we host an alternative messaging app, facing the web giants. If a bot accesses the server, it can retrieve all their conversations, which is true for any online service.

It's therefore important to protect your servers well.

Solution🔗

The honorable fail2ban is a software that permits to ban bots which blindly try to break a server's barriers.

Its principle is simple:

Various programs, or services, are executed on a server.
- The most common is the SSH service, which permits to remotely connect to the server on which it is running.
Each service writes logs, which are information about incoming events.
- For SSH, one of those events is "[such IP address] tried to connect with a bad password".
fail2ban scan those logs.
- After a few failed login attempts, fail2ban updates its server's firewall so that it blocks the IP address for a certain amount of time.

Problem of the solution🔗

Fail2ban does correctly its job. However, I have 2 concerns about it:

Slowness/consumption🔗

To treat the logs of various services on my server, fail2ban used to take approximately 1 hour of work (CPU) per week. It may look like it's few, but it's actually a lot, taking into account the little traffic on my server. fail2ban is just reading text and sending actions to the firewall!

As a comparison, it's as much as the Funkwhale service on my server, a Spotify alternative, which does much more: Funkwhale permits me to listen to my music, from my devices, and I use it around 24h a week. It's a heavier task.

Fail2ban also consumes a lot of RAM, and gets easily to 300 MB.

On a server with more traffic, it can quickly become a real problem. So I wanted a solution that consumes less.

Complexity of a very abstract configuration...🔗

Fail2ban has a very large default configuration.

There is a lot of preliminary engineering, which aims to make configuration as easy as possible for the server admin.

It comes with default rules for a lot of different firewalls and services, divided across 160 files, containing 2600 lines (8900 including comments and newlines).

Finally, this configuration makes getting familiar with it harder: iptables action's file is 45 lines long (170 including comments and newlines). It's a mixture of TOML and a second layer of poorly-documented substitutions, made by fail2ban, which permit to define variables, options etc.

As long as one can be satisfied by the default configuration, it's not a big deal. But as soon as one wants to build its own configuration for an unsupported service, or when the firewall is a bit different, it becomes way too complex.

...but not that flexible🔗

If we have a program that reads something as input, and executes commands as output, why not present things that simply?

I wanted a solution without default configuration, which would permit to admins to easily build their own, based on well documented examples. Then, only the abstraction needed would be used.

Let's say I want to execute an action when some (hidden or not) URL is activated on the server. Instead of creating a web app, with "webhooks" etc, only a few lines of conf should be necessary to execute an arbitrary action.

I wanted something also ready to do something else than ban bots.

Solution of the problem of the solution🔗

After this very long introduction, let me introduce reaction!

Speed🔗

I have no expertise in the Go language. It is most likely possible to improve reaction's performance, but its current consumption already fully satisfies me.

On my server, on which a lot more logs are analyzed that only the SSH service, reaction (and all the commands it launches) consumes approximately 5 min of CPU a week and 25 MB of RAM.

With equal task work, fail2ban used to consume 1 hour and 300 MB, namely 30 times more and 10 times more resources.

Configuration🔗

⚠️ Configuration present here is deprecated. An up-to-date version of this tutorial is available in reaction wiki

Ancienne version

Starting here, it becomes technical. Read at your own risk.

Three configuration languages are available: JSON, YAML, JSONnet (❤️). I won't present the first two, but I do speak of the last at the end.

Let's first specify how reaction must recognize an IP.

patterns:
  ip:
    regex: '(?:(?:[0-9]{1,3}\.){3}[0-9]{1,3})'

As a replacement of fail2ban jails, reaction has streams, which define a data source (e.g. tail -f /var/log/nginx/access.log for nginx).

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']

We attach one or more filters to those streams. They are groups of regular expressions. It's on a filter that we define the number of bad retries (retry) we grant on an IP before reacting.

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']
    filters:
      fail:
        regex:
          - 'authentication failure;.*rhost=<ip>'
        retry: 3
        retryperiod: '3h'

We add one or more actions to a filter, which will be executed when the filter is triggered.

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']
    filters:
      fail:
        regex:
          - 'authentication failure;.*rhost=<ip>'
        retry: 3
        retryperiod: '3h'
        actions:
          ban:
            cmd: ['iptables', '-w', '-A', 'reaction', '-s', '<ip>', '-j', 'DROP']

Actions can be executed right now, or can be delayed with after. This permits to ban an IP now, and to unban it later.

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']
    filters:
      fail:
        regex:
          - 'authentication failure;.*rhost=<ip>'
        retry: 3
        retryperiod: '3h'
        actions:
          ban:
            cmd: ['iptables', '-w', '-A', 'reaction', '-s', '<ip>', '-j', 'DROP']
          unban:
            cmd: ['iptables', '-w', '-D', 'reaction', '-s', '<ip>', '-j', 'DROP']
            after: '24h'

Those iptables commands need the existence of the reaction chain in the firewall. On startup, we ask reaction to create it, add it to the INPUT chain, which controls incoming connections.

start:
  - [ 'iptables', '-w', '-N', 'reaction' ]
  - [ 'iptables', '-w', '-I', 'INPUT', '-p', 'all', '-j', 'reaction' ]

We also ask reaction to empty it and delete it when quitting:

stop:
  - [ 'iptables', '-w', '-D', 'INPUT', '-p', 'all', '-j', 'reaction' ]
  - [ 'iptables', '-w', '-F', 'reaction' ]
  - [ 'iptables', '-w', '-X', 'reaction' ]

Et voilà. With 26 lines of configuration, no hidden defaults, reaction will watch SSH connections and ban malicious connections for 24h, after 3 bad tries.

JSONnet 🔗

It is a simple and flexible language, with a syntax close to JavaScript and JSON. By default, it's just a more flexible JSON:

// We can put comments
{
  // No need to put quotes everywhere
  streams: {
    ssh: {
      // We even can add commas after the last element ↓
      cmd: [' journalctl', '-fu', 'sshd.service'],
    }
  }
}

To avoid repetitions, we write variables and functions.

local hour2second(i) = i * 60 * 60;
{
  seconds: [
    hour2second(1),
    hour2second(3),
    hour2second(5),
  ],
}

JSONnet works as a preprocessor. It generates a JSON-compatible data structure. This result will be handed to reaction.

{
  "seconds": [ 3600, 10800, 18000 ]
}

It resembles the Nix language, but with a more pleasant syntax.

Now that JSONnet is presented, let's use the previous example written in YAML. We can rewrite it in JSONnet, adding a second stream to protect another service.

We want to avoid repeating the iptables commands (once is enough 😆).

So we write a banFor() function, which takes as an argument the duration the IPs should be banned for, and returns a set of actions. We can then reuse it on each stream.

local banFor(time) = {
  ban: {
    cmd: ['iptables', '-w', '-A', 'reaction', '-s', '<ip>', '-j', 'DROP'],
  },
  unban: {
    after: time,
    cmd: ['iptables', '-w', '-D', 'reaction', '-s', '<ip>', '-j', 'DROP'],
  },
};
{
  patterns: {
    ip: {
      regex: @'(([0-9]{1,3}\.){3}[0-9]{1,3})|([0-9a-fA-F:]{2,90})',
    },
  },
  start: [
    [ 'iptables', '-w', '-N', 'reaction' ],
    [ 'iptables', '-w', '-I', 'INPUT', '-p', 'all', '-j', 'reaction' ],
  ],
  stop: [
    [ 'iptables', '-w', '-D', 'INPUT', '-p', 'all', '-j', 'reaction' ],
    [ 'iptables', '-w', '-F', 'reaction' ],
    [ 'iptables', '-w', '-X', 'reaction' ],
  ],
  streams: {
    ssh: {
      cmd: ['journalctl', '-f', '-u', 'sshd.service'],
      filters: {
        login: {
          regex: [ @'authentication failure;.*rhost=<ip>' ],
          retry: 3,
          retryperiod: '3h',
          actions: banFor('24h'),
        },
      },
    },
    nginx: {
      cmd: ['tail', '-f', '/var/log/nginx/access.log'],
      filters: {
        directus: {
          regex: [ @'^<ip> .* "POST /auth/login HTTP/..." 401', ],
          retry: 6,
          retryperiod: '4h',
          actions: banFor('4h'),
        },
      },
    },
  },
}

Et voilà ! We wrote the few abstractions needed. We can now define in 8 lines how to protect a new service.

Here, it's Directus, which I advice to construct tailored user interfaces and database very easily. Directus has been an inspiration source to build an expressive and flexible software.

This configuration file is working, but simplified a bit. A more complete example for SSH bans is available here.

Installation🔗

It is possible to compile it from source, or to download a release:

# curl -o /usr/local/bin/reaction https://static.ppom.me/reaction/releases/$VERSION/reaction
# chmod 755 /usr/local/bin/reaction

To launch reaction via a systemd unit:

/etc/systemd/system/reaction.service

[Install]
WantedBy=multi-user.target
[Service]
ExecStart=/usr/local/bin/reaction start -c /etc/reaction.yml
StateDirectory=reaction
RuntimeDirectory=reaction
WorkingDirectory=/var/lib/reaction

Write your configuration file: /etc/reaction.yml or /etc/reaction.jsonnet (adapt the systemd file, depending on the format used).

Then reload systemd so that it discovers the new unit, activate it at boot and start it now:

# systemctl daemon-reload
# systemctl enable reaction.service
# systemctl start reaction.service

Usage🔗

Read the logs with journalctl -f -u reaction.service.

Read current ban state with reaction show

$ reaction show
ssh:
  login:
    4.3.2.1:
      actions:
        unban:
        - "2023-11-01 22:00:00"
    112.113.114.115:
      actions:
        unban:
        - "2023-10-29 00:16:16"

Remove a ban with reaction flush
Test your regexes with reaction test-regex
Look at the help for all those commands with reaction --help
Look at other configuration examples on the repo.
Browse the wiki, which is slowly growing.

Conclusion🔗

After 6 (part-part-time) months of work, reaction is mature enough to be v1. It's been 5 months since it replaces fail2ban on my infrastructure.

The v2 is already planned, and will permit multiple reaction running on different servers to work as a cluster, exchanging IPs to ban using peer-to-peer!

you have questions,
ideas,
you discover bugs,
or need guidance for setup,

then don't hesitate

to create an issue on the repo,
or to send a mail to {reaction *at* ppom *dot* me} 🙂

reaction, remplaçant de fail2ban

2023-10-28T00:00:00+00:00

This article is also available in 🇬🇧 English.

Enjeux🔗

Cet article est organisé de manière à montrer qu'un programme que j'ai conçu est utile ~~à la société~~ aux personnes qui administrent des serveurs.

Problème🔗

De nombreuses personnes écrivent des programmes (appelés robots ou bots) qui scannent Internet et cherchent à s'introduire sur les serveurs (les ordinateurs qui font fonctionner Internet) qu'ils trouvent. Le plus souvent, une fois que ces robots ont pris le contrôle d'un serveur, ils vont :

miner des cryptomonnaies,
envoyer du spam par mail,
utiliser ce nouveau serveur pour en attaquer d'autres,
ou voler les données présentes dessus et faire du chantage à ses propriétaires pour rendre les données.

Tous ces exemples sont problématiques. Le dernier l'est particulièrement, car un serveur contient souvent des données sensibles des personnes qui l'utilisent.

Par exemple, à l'association Picasoft, on héberge une application de messagerie alternative, face aux géants du web. Si un robot accède au serveur, il peut potentiellement récupérer toutes leurs conversations, ce qui est vrai pour n'importe quel service en ligne.

C'est donc important de bien protéger ses serveurs.

Solution🔗

L'honorable fail2ban est un logiciel qui permet de bannir les robots qui tentent bêtement de briser les barrières des serveurs.

Le principe est simple :

Différents programmes, ou services, s'exécutent sur un serveur.
- Le plus commun est le service SSH, qui permet de se connecter à distance de façon sécurisée au serveur sur lequel il fonctionne.
Chaque service écrit des logs, c'est-à-dire des informations à propos des évènements qui arrivent au fil de l'eau.
- Pour SSH, un de ces évènements est "[telle adresse IP] a tenté de se connecter avec un mauvais mot de passe".
fail2ban scanne ces logs.
- Au bout de plusieurs tentatives de connexions ratées pour un robot, fail2ban met à jour le pare-feu du serveur pour qu'il bloque pendant un certain temps son adresse IP (son adresse sur Internet).

Problème de la solution🔗

Fail2ban fait correctement son travail. Cependant, j'ai deux grands reproches à lui faire :

Lenteur / consommation🔗

Pour traiter les logs de plusieurs services de mon serveur, fail2ban prenait à peu près 1h/semaine de temps de travail (CPU). Ça peut paraître peu, mais c'est beaucoup, vu le peu de trafic qu'il y a sur mon serveur. fail2ban ne fait que lire du texte et envoyer des actions au pare-feu !

Pour comparaison, c'est autant que le service Funkwhale sur mon serveur, une alternative à Spotify, qui fait bien plus : Funkwhale me permet d'écouter ma musique, depuis mes différents appareils, et je l'utilise ~ 24h par semaine. C'est une tâche nettement plus lourde.

Fail2ban consomme également beaucoup de mémoire vive, facilement 300 Mo.

Sur un serveur avec plus de trafic, ça peut rapidement devenir un vrai problème. Je voulais donc une solution qui consomme moins.

Complexité d'une configuration très abstraite...🔗

fail2ban dispose d'une configuration par défaut très étoffée.

Il y a une grosse ingénierie préalable avec pour objectif de rendre la configuration le plus simple possible pour l'admin.

Elle vient avec des règles par défaut pour plein de pare-feux et services différents, réparties en 160 fichiers, et comprenant 2600 lignes de configuration (8900 avec les commentaires).

Finalement, elle rend plus difficile de s'approprier le sujet : le fichier pour l'action iptables fait 45 lignes de code (170 avec les commentaires). C'est un mélange de TOML et d'une 2e couche mal documentée de substitutions, faites par fail2ban, qui permet de définir des variables, des options etc.

Tant qu'on peut se contenter de la configuration par défaut, ce n'est pas un gros problème. Mais dès qu'on veut faire sa propre configuration pour un service qui n'est pas supporté, ou parce que notre pare-feu est un petit peu différent, ça devient beaucoup trop complexe.

...mais pas très flexible🔗

Puisqu'on a un programme qui lit quelque chose en entrée, et qui exécute des commandes en sortie, pourquoi ne pas présenter les choses aussi simplement ?

Je voulais une solution sans configuration par défaut, qui permette aux admins de construire simplement la leur, à partir d'exemples bien documentés, et de n'avoir que les couches d'abstraction que les admins estiment nécessaire.

Disons que je veux exécuter une action quand on active une certaine URL (cachée ou pas) sur mon serveur. Plutôt que de créer une application web, avec des "webhooks" etc, quelques lignes devraient suffire pour exécuter une action arbitraire.

Je voulais un outil aussi adapté pour faire autre chose que des bans de robots.

Solution au problème de la solution🔗

Après cette très longue introduction, permettez-moi de vous présenter reaction !

Vitesse🔗

Je n'ai pas d'expertise dans le langage Go. Il est sûrement possible d'améliorer ses performances, mais sa consommation actuelle me satisfait déjà pleinement.

Sur mon serveur, sur lequel sont analysés bien plus de logs que seulement ceux du service SSH, reaction (+ toutes les commandes lancées) consomme 5 min de temps de travail par semaine et 25 Mo de mémoire vive.

À charge de travail égale, fail2ban consommait 1 heure et 300 Mo, soit 30 fois et 10 fois plus de ressources.

Configuration🔗

⚠️ La configuration présente ici est dépréciée. Une version à jour de ce tutoriel est présente dans le wiki de reaction.

Ancienne version

À partir de là, ça devient technique. À vos risques et périls.

Trois langages de configuration sont disponibles : JSON, YAML, JSONnet (❤️). Je ne vous présente pas les deux premiers, mais je parle du dernier à la fin.

On commence par préciser comment reaction va reconnaitre une IP.

patterns:
  ip:
    regex: '(?:(?:[0-9]{1,3}\.){3}[0-9]{1,3})'

En remplacement des jails de fail2ban, on a des streams, qui définissent une source de données (par exemple tail -f /var/log/nginx/access.log pour nginx).

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']

À ces streams, on attache un ou plusieurs filters. Ce sont des groupes d'expressions régulières. C'est aussi sur un filter qu'on décide du nombre de mauvais essais (retry) qu'on accorde à une IP avant de réagir.

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']
    filters:
      fail:
        regex:
          - 'authentication failure;.*rhost=<ip>'
        retry: 3
        retryperiod: '3h'

À un filter, on rajoute une ou plusieurs actions, qui seront exécutées quand il se déclenche.

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']
    filters:
      fail:
        regex:
          - 'authentication failure;.*rhost=<ip>'
        retry: 3
        retryperiod: '3h'
        actions:
          ban:
            cmd: ['iptables', '-w', '-A', 'reaction', '-s', '<ip>', '-j', 'DROP']

Elles peuvent être effectuées tout de suite, ou être délayées avec after, ce qui permet de bannir une IP maintenant, et de la débannir quelque temps plus tard.

streams:
  ssh:
    cmd: ['journalctl', '-fu', 'sshd.service']
    filters:
      fail:
        regex:
          - 'authentication failure;.*rhost=<ip>'
        retry: 3
        retryperiod: '3h'
        actions:
          ban:
            cmd: ['iptables', '-w', '-A', 'reaction', '-s', '<ip>', '-j', 'DROP']
          unban:
            cmd: ['iptables', '-w', '-D', 'reaction', '-s', '<ip>', '-j', 'DROP']
            after: '24h'

Ces commandes iptables ont besoin de l'existence de la chain reaction dans le pare-feu. Au démarrage, on demande à reaction de la créer, et l'ajouter à la chaine INPUT, qui contrôle les connexions entrantes.

start:
  - [ 'iptables', '-w', '-N', 'reaction' ]
  - [ 'iptables', '-w', '-I', 'INPUT', '-p', 'all', '-j', 'reaction' ]

On lui demande aussi de la vider et la supprimer en quittant :

stop:
  - [ 'iptables', '-w', '-D', 'INPUT', '-p', 'all', '-j', 'reaction' ]
  - [ 'iptables', '-w', '-F', 'reaction' ]
  - [ 'iptables', '-w', '-X', 'reaction' ]

Et voilà. En 26 lignes de configuration, sans aucune configuration par défaut, reaction va surveiller les connexions SSH et bannir les connexions malveillantes pendant 24h au bout de 3 essais infructueux.

JSONnet 🔗

C'est un langage simple et flexible, avec une syntaxe proche de Javascript et JSON. Par défaut, c'est juste un langage qui ressemble à JSON, mais en plus flexible :

// On peut mettre des commentaires
{
  // Pas besoin de mettre des "quotes" partout
  streams: {
    ssh: {
      // On peut avoir des virgules après le dernier élément ↓
      cmd: [' journalctl', '-fu', 'sshd.service'],
    }
  }
}

Pour éviter les répétitions, on écrit des variables et des fonctions.

local hour2second(i) = i * 60 * 60;
{
  seconds: [
    hour2second(1),
    hour2second(3),
    hour2second(5),
  ],
}

JSONnet fonctionne comme un préprocesseur qui va générer une structure de données compatible JSON. C'est ce résultat qui est donné à reaction.

{
  "seconds": [ 3600, 10800, 18000 ]
}

C'est un peu comme le langage Nix, mais avec une syntaxe plus agréable.

Maintenant que JSONnet est présenté, on reprend l'exemple précédemment écrit en YAML. On peut le réécrire en JSONnet en imaginant qu'on rajoute un deuxième stream pour protéger un autre service.

On veut éviter d'écrire plusieurs fois les commandes iptables (une fois suffit amplement 😆).

On va donc écrire une fonction banFor(), qui prend en argument la durée selon laquelle on va bannir les IPs, et retourne une liste d'actions. On peut la réutiliser sur chaque stream.

local banFor(time) = {
  ban: {
    cmd: ['iptables', '-w', '-A', 'reaction', '-s', '<ip>', '-j', 'DROP'],
  },
  unban: {
    after: time,
    cmd: ['iptables', '-w', '-D', 'reaction', '-s', '<ip>', '-j', 'DROP'],
  },
};
{
  patterns: {
    ip: {
      regex: @'(([0-9]{1,3}\.){3}[0-9]{1,3})|([0-9a-fA-F:]{2,90})',
    },
  },
  start: [
    [ 'iptables', '-w', '-N', 'reaction' ],
    [ 'iptables', '-w', '-I', 'INPUT', '-p', 'all', '-j', 'reaction' ],
  ],
  stop: [
    [ 'iptables', '-w,', '-D', 'INPUT', '-p', 'all', '-j', 'reaction' ],
    [ 'iptables', '-w', '-F', 'reaction' ],
    [ 'iptables', '-w', '-X', 'reaction' ],
  ],
  streams: {
    ssh: {
      cmd: ['journalctl', '-f', '-u', 'sshd.service'],
      filters: {
        login: {
          regex: [ @'authentication failure;.*rhost=<ip>' ],
          retry: 3,
          retryperiod: '3h',
          actions: banFor('24h'),
        },
      },
    },
    nginx: {
      cmd: ['tail', '-f', '/var/log/nginx/access.log'],
      filters: {
        directus: {
          regex: [ @'^<ip> .* "POST /auth/login HTTP/..." 401', ],
          retry: 6,
          retryperiod: '4h',
          actions: banFor('4h'),
        },
      },
    },
  },
}

Et voilà ! On a écrit le soupçon de généricité dont on avait besoin. On peut maintenant définir en 8 lignes comment protéger un nouveau service.

En l'occurence, c'est Directus, que je conseille vivement pour construire des interfaces et des bases de données sur-mesure très simplement. Directus a été une source d'inspiration pour construire un logiciel expressif et flexible.

Ce fichier de configuration est fonctionnel, mais un petit peu simplifié. Un exemple plus complet pour un ban SSH est disponible ici.

Installation🔗

Il est possible de le compiler soi-même depuis la source, ou de le télécharger depuis les releases :

# curl -o /usr/local/bin/reaction https://static.ppom.me/reaction/releases/$VERSION/reaction
# chmod 755 /usr/local/bin/reaction

Pour le lancer via une unit systemd:

/etc/systemd/system/reaction.service

[Install]
WantedBy=multi-user.target
[Service]
ExecStart=/usr/local/bin/reaction start -c /etc/reaction.yml
StateDirectory=reaction
RuntimeDirectory=reaction
WorkingDirectory=/var/lib/reaction

Écrire son fichier de configuration /etc/reaction.yml ou /etc/reaction.jsonnet (adapter le fichier systemd en fonction du format retenu).

Puis recharger systemd pour qu'il découvre ce nouveau fichier, l'activer au démarrage et le lancer maintenant :

# systemctl daemon-reload
# systemctl enable reaction.service
# systemctl start reaction.service

Utilisation🔗

Étudier les logs avec journalctl -f -u reaction.service.

Connaitre l'état actuel des bans avec reaction show

$ reaction show
ssh:
  login:
    4.3.2.1:
      actions:
        unban:
        - "2023-11-01 22:00:00"
    112.113.114.115:
      actions:
        unban:
        - "2023-10-29 00:16:16"

Enlever un ban avec reaction flush
Tester ses regex avec reaction test-regex
Consulter l'aide pour toutes ces commandes avec reaction --help
Voir d'autres exemples de configuration sur son repo.
Parcourir le wiki qui s'étoffe petit à petit.

Conclusion🔗

Après 6 mois de travail (à temps très partiel), reaction est assez mature pour être en v1. Il remplace fail2ban sur mon infrastructure depuis 4 mois.

La v2 est déjà prévue, et elle permettra à des reaction sur des serveurs différents de fonctionner en grappe, en s'échangeant les IPs à bannir en pair-à-pair !

vous avez des questions,
des idées,
que vous constatez des bugs,
que vous voulez des conseils pour la mise en place,

n'hésitez pas

à écrire une issue sur le repo,
ou à m'envoyer un mail à {reaction arobase ppom dot me} 🙂

Manuellement exporter/importer des données d'un Nextcloud à l'autre

2023-04-22T00:00:00+00:00

Suite à une question sur le forum CHATONS, j'ai écrit cette petite description de mon expérience.

Use case : On a deux instances de Nextcloud qui tournent :

old, dont on veut se débarasser
new, qui va accueillir les utilisateurices d'old. Dans mon cas, new était vide.

J'avais plusieurs types de données à migrer :

Les fichiers des utilisateurices. Facile, Nextcloud propose des outils faits pour manipuler directement les fichiers.
Les données de leurs apps. Les apps en question, sur mon instance, étaient Calendar, Cospend et Deck.

Ce "tuto" n'est pas forcément la meilleure marche à suivre, mais elle a fonctionné pour moi. Restez prudent·es si vous le suivez, faites des backups et vérifiez tout bien !

Avant toute opération casse-gueule, on fait des backups !

1. Récréer les users🔗

Dans l'interface admin de new, j'ai recréé les utilisateurices à la main. Deux personnes en ont profité pour changer de login, ce qui a son importance dans la suite.

2. Transférer les fichiers🔗

Copie🔗

Le dossier data de Nextcloud a cette arborescence :

<root_dir>/data/
<root_dir>/data/<user1>/
<root_dir>/data/<user1>/cache/
<root_dir>/data/<user1>/files/
<root_dir>/data/<user1>/files_trashbin/
<root_dir>/data/<user1>/files/_versions/
<root_dir>/data/<user2>/
<root_dir>/data/<user2>/...
...

Dans mon cas, je ne voulais garder que les fichiers actuels, pas les vieilles versions ni la pouvelle. Je n'ai donc copié que les files/.

Mes deux instances de Nextcloud étaient sur la même machine, j'ai donc fait une série de :

$ rsync -a <old_dir>/data/<old_username>/files/ <new_dir>/data/<new_username>/files/

…copiant ainsi le contenu du premier dossier dans le deuxième (rsync a ce comportement si on laisse le / à la fin du premier dossier, ce qui est déroutant mais pratique).

Pensez à bien donner les fichiers au user php de new, par exemple :

$ chown -R nextcloud <new>/data

Mise à jour dans `new`🔗

Pour demander à Nextcloud de rescanner les dossiers à la recherche de nouveaux fichiers, il faut utiliser son utilitaire occ :

# Générique, avec le user utilisé par nextcloud
$ occ files:scan --all
# Docker
$ sudo docker exec <image_name> occ files:scan --all
# NixOS
$ sudo nextcloud-occ files:scan --all

On peut déjà vérifier à cette étape dans l'interface web que les fichiers ont bien été reconnus.

3. Inclure les données des applications🔗

Il arrive que des applications stockent des fichiers dans les dossiers des users, auquel cas tout est normalement pris en charge, car on vient de les copier, et qu'en base de données, c'est leur chemin relatif qui est stocké. Il n'a pas changé normalement.

Export SQL🔗

On va d'abord exporter les données d'old. Dans mon cas, l'ancienne instance était une instance Docker, avec PostgreSQL, j'ai donc utilisé cette commande :

$ docker exec -it <nextcloud_db> pgdumpall -U nextcloud > ~/dump.nextcloud.sql

Laïus `COPY` vs `INSERT`🔗

Par défaut, PostgreSQL utilise la commande COPY pour ses exports, spécifique à cette base de données. Elle est plus rapide, mais ne met pas à jour les SEQUENCES, ces compteurs qui "retiennent" à quel id on en est pour chaque PRIMARY KEY AUTOINCREMENT, ce qui demande de les mettre ensuite à jour automatiquement C'est sûrement une bien meilleure idée que d'utiliser l'option --inserts, qui exporte les données avec des commandes INSERT.

Je n'ai pas testé, mais je recommande fortement de commencer par essayer avec cette option. Sinon, il faut se préparer à faire des ALTER SEQUENCE <seq_name> RESTART with <new_start>, où <seq_name> est le nom de la table associée avec le suffixe _seq, et où <new_start> est l'id maximal de la table + 1.

Galère les COPY, quoi.

On préfèrera donc

$ docker exec -it <nextcloud_db> pgdumpall --inserts -U nextcloud > ~/dump.nextcloud.sql

Sous laïus🔗

Attention par contre, INSERT pourrait vous poser d'autres problèmes : je pense qu'il va refuser l'insertion d'une ligne qui fait référence à une ligne d'une autre table qui n'existe pas encore. Pour chaque app, il faudra commencer par insérer les données de tables qui ne référencent pas les autres tables.

Exemple : oc_calendarobjects_props contient une colonne objectid et une colonne calendarid, elle doit donc être remplie après les tables oc_calendarobjects et oc_calendars.

Normalement, l'export SQL doit insérer les données dans le bon ordre. Je pense que si vous préservez l'ordre des insertions, tout ira pour le mieux 😇

Sélection des données de l'export🔗

Les tables SQL relatives à un module sont préfixées du nom du module :

Calendar :

oc_calendar_appt_bookings   → vide chez moi
oc_calendar_appt_configs    → vide chez moi
oc_calendar_invitations     
oc_calendar_reminders       
oc_calendar_resources       
oc_calendar_resources_md    
oc_calendar_rooms           → vide chez moi
oc_calendar_rooms_md        → vide chez moi
oc_calendarchanges          
oc_calendarobjects          
oc_calendarobjects_props    
oc_calendars                
oc_calendarsubscriptions    → vide chez moi

Cospend :

oc_cospend_bill_owers       
oc_cospend_bills            
oc_cospend_categories       
oc_cospend_currencies       
oc_cospend_members          
oc_cospend_paymentmodes     
oc_cospend_projects         
oc_cospend_shares

Deck :

oc_deck_assigned_labels     
oc_deck_assigned_users      
oc_deck_attachment          
oc_deck_board_acl           
oc_deck_boards              
oc_deck_cards               
oc_deck_labels              
oc_deck_stacks

Ce n'est que ces tables que j'ai gérées. Selon les applications que vous voulez transférer, à vous de chercher les tables associées.

De l'export SQL, on ne gardera que les INSERT des tables sélectionnées, tout le reste (CREATE, ALTER, etc) est à mettre à la poubelle. Votre new s'est déjà occupé de tout ça.

(optionnel) Renommage des users dans l'export🔗

Dans mon cas, des personnes en avaient profité pour changer leur username. Dans Nextcloud, c'est le username qui sert d'id aux users. C'est donc ce username qui est présent dans toutes les clés étrangères.

Dans ce cas, il faut donc chercher toutes les clés étrangères qui référencent la table oc_users et renommer toute instance de <old_username> par <new_username>

Préparation tables de destination🔗

Je vous ne le souhaite vraiment pas, mais peut-être que votre new a déjà des données à ne pas supprimer dans toutes ces tables.

Si ce n'est pas le cas, pensez à bien vider les tables de destination.

(optionnel) Changement des ids🔗

Avant toute opération casse-gueule, on fait des backups !

Si c'est le cas, vous allez très sûrement avoir des conflits d'ids (qui doivent être uniques) entre les vieilles et les nouvelles données. Dans ce cas, une solution (très casse-gueule, mais je ne crois pas qu'il y ait le choix) est d'incrémenter manuellement tous les ids dans l'export. C'est casse-gueule car il faudra aussi incrémenter ces mêmes ids dans toutes les tables qui y font référence.

Exemple :

Si les ids d'oc_calendarobjects ont été incrémentés de 300, il va falloir incrémenter toutes les références à ces ids dans la colonne objectid des tables associées (oc_calendarobjects_props, oc_calendar_reminders, et j'en oublie peut-être)

Import du SQL dans `new`🔗

Dans la base de données PostgreSQL de new, on va importer les données de notre export SQL modifié comme décrit précédemment.

# Générique
$ sudo -u nextcloud psql nextcloud -f file.sql

Vérifier que tout va bien🔗

Vérifiez que vous pouvez visualiser les données, en créer de nouvelles (créez une liste Deck, un agenda, un évènement, une carte dans une liste Deck, une entrée dans Cospend, etc.)

Et ça devrait être bon (j'espère !)

Perte de données avec Nextcloud / OnlyOffice ⚠️

2022-11-07T00:00:00+00:00

Dans le cadre d'une prestation avec Librezo, Tobias et moi avons fait face à un gros incident sur un OnlyOffice connecté à un Nextcloud : on a perdu une semaine d'éditions de documents.

Mise en situation🔗

Utilisatrice : Bonjour, des documents que j'ai édités ont disparu… Le fichier existe sur Nextcloud mais il est vide, et sa dernière modification correspond à sa création… Je l'ai pourtant édité depuis.

🧠 : Merde merde merde merde

🧠 : Ils sont où ces documents pourquoi ils sont nulle part dans les backups ? J'ai l'impression qu'ils ont jamais été sauvegardés 😱

Constat🔗

Ces documents n'ont jamais été sauvegardés sur Nextcloud.

Explication🔗

Par défaut, quand un document est édité avec OnlyOffice, il n'est enregistré dans Nextcloud qu'une fois que son édition est terminée, c'est à dire que tous les clients se sont déconnectés d'OnlyOffice.

Pour une raison inconnue, OnlyOffice ne détectait plus la déconnexion des clients. Donc les documents restaient gentiment dans le cache d'OnlyOffice. Quand un document précédemment édité était à nouveau ouvert dans OnlyOffice, il était correctement chargé, puisque stocké dans son cache.

On n'a jamais cherché à faire des sauvegardes d'un cache, parce que

vas-y c'est un cache

Un cache n'est pas censé conserver des données persistentes.

Un beau jour, on a fait une mise à jour des services, un joli docker compose down, qui a pour effet de supprimer les conteneurs, et avec tous les fichiers qui ne sont pas persistés dans des volumes Docker.

Donc le ~~cash~~ cache a disparu. 💸

Et les fichiers de nos utilisateurs et utilisatrices avec.

Issues reportées🔗

Sur la version d'OnlyOffice incluse dans une app Nextcloud, on trouve de nombreuses complaintes d'erreurs similaires : #12, #77, #78, #87, #100...

Solutions🔗

La première solution est de toute évidence suffisante, mais traumatisme est père de frilosité. Nous on a mis en place les deux 🌨

Garde-fou #1 : Paramétrage d'OnlyOffice🔗

*Interlude* : Vous savez ce qu'on dit sur les paramètres par défaut ?

Divulgâchage : il ne sont jamais changés par la plupart des ~~utilisateurices~~ admin sys. Surtout quand la doc est aussi monstrueuse que celle d'OnlyOffice.

Il existe une option forcesave, désactivée par défaut, qui permet de définir un intervalle de temps au bout duquel les éditions seront sauvegardées vers Nextcloud, que la session d'édition soit terminée ou pas.

Pour activer cette option, il faut ajouter ceci dans le fichier

/etc/onlyoffice/documentreader/local.json :

{
    "services": {
        "CoAuthoring": {
            "autoAssembly": {
                "enable": true,
                "interval": "5m"
            }
        }
    }
}

Mais ce fichier est édité par l'entrypoint (le script de démarrage) du conteneur officiel.

On a essayé de monter le fichier tel que présenté au-dessus ↑ avec cette entrée dans notre docker-compose.yml :

services:
  onlyoffice:
    volumes:
      - ./local.json:/etc/onlyoffice/documentserver/local.json

Mais le fichier est modifié par l'entrypoint, ce qui rend difficile son versionnage. Si on ajoute :ro à la fin de la ligne, pour le monter en read-only, le conteneur crash.

On a donc pris le parti d'améliorer l'entrypoint pour que ces valeurs puissent être commandées par des variables d'environnement.

Voilà le patch à appliquer

git apply < entrypoint.patch

diff --git a/run-document-server.sh b/run-document-server.sh
index fd183a3..400e9e2 100755
--- a/run-document-server.sh
+++ b/run-document-server.sh
@@ -75,6 +75,10 @@ NGINX_CONFIG_PATH="/etc/nginx/nginx.conf"
 NGINX_WORKER_PROCESSES=${NGINX_WORKER_PROCESSES:-1}
 NGINX_WORKER_CONNECTIONS=${NGINX_WORKER_CONNECTIONS:-$(ulimit -n)}

+FORCESAVE_ENABLE=${FORCESAVE_ENABLE:-false}
+FORCESAVE_INTERVAL=${FORCESAVE_INTERVAL:-5m}
+FORCESAVE_STEP=${FORCESAVE_STEP:-1m}
+
 JWT_ENABLED=${JWT_ENABLED:-true}

 # validate user's vars before usinig in json
@@ -328,6 +332,11 @@ update_ds_settings(){
   ${JSON} -I -e "this.services.CoAuthoring.token.inbox.inBody = ${JWT_IN_BODY}"
   ${JSON} -I -e "this.services.CoAuthoring.token.outbox.inBody = ${JWT_IN_BODY}"

+  ${JSON} -I -e "if(this.services.CoAuthoring.autoAssembly===undefined)this.services.CoAuthoring.autoAssembly={};"
+  ${JSON} -I -e "this.services.CoAuthoring.autoAssembly.enable = ${FORCESAVE_ENABLE}"
+  ${JSON} -I -e "this.services.CoAuthoring.autoAssembly.interval = '${FORCESAVE_INTERVAL}'"
+  ${JSON} -I -e "this.services.CoAuthoring.autoAssembly.step = '${FORCESAVE_STEP}'"
+
   if [ -f "${ONLYOFFICE_EXAMPLE_CONFIG}" ]; then
     ${JSON_EXAMPLE} -I -e "this.server.token.enable = ${JWT_ENABLED}"
     ${JSON_EXAMPLE} -I -e "this.server.token.secret = '${JWT_SECRET}'"

Ce patch doit être appliqué au repo du conteneur Docker d'OnlyOffice.

Alternativement, le fichier d'entrypoint patché peut très sûrement être monté dans le conteneur, permettant de s'éviter de reconstruire l'image manuellement.

Testé :

services:
  onlyoffice:
    build: /chemin/vers/le/repo/git/patché

Non testé :

services:
  onlyoffice:
    volumes:
      - ./run-document-server.patché.sh:/app/ds/run-document-server.sh:ro

Une fois que vous avez reconstruit le conteneur avec ces valeurs ou monté la version patchée de l'entrypoint, voilà un exemple de configuration utilisant ces variables :

services:
  onlyoffice:
    environment:
      - FORCESAVE_ENABLE=true
      - FORCESAVE_INTERVAL=2m
      - FORCESAVE_STEP=5m

L'entrypoint fonctionne bizarrement, il n'édite local.json que s'il n'existe pas (… ou quelque chose comme ça. Si vous avez compris un comportement plus précis, n'hésitez pas à me le dire). Donc il est possible que vous ayez besoin de supprimer le conteneur d'OnlyOffice pour que l'entrypoint édite local.json. Vérifiez que vos documents ont bien été sauvegardés dans Nextcloud, pour ne pas perdre de données !

Une pull request est ouverte pour appliquer ce patch upstream.

Garde-fou #2 : Sauvegarde du cache d'OnlyOffice🔗

Afin de garder le cache d'OnlyOffice, même si on supprime son conteneur, on peut monter sauvegarder son cache et sa base de données.

Quoi, il y a une base de données dans le conteneur ?

Et oui, le conteneur OnlyOffice est un immense bordel dans lequel tournent

le serveur applicatif d'OnlyOffice
nginx
postgresql
rabbitmq
encore d'autres trucs.

Bref, pour sauvegarder vite fait le cache, on sauvegarde le cache du serveur applicatif et la base de données PostgreSQL. On a pas non plus fait un export SQL de la base de données comme on fait pour faire une vraie sauvegarde de base de données, mais vas-y c'est du cache, comme on dit.

services:
  onlyoffice:
    volumes:
      - onlyoffice-cache:/var/lib/onlyoffice/documentserver/App_Data
      - onlyoffice-db:/var/lib/postgresql

Too Long; Already Read?🔗

Si vous utilisez Nextcloud et OnlyOffice, je vous encourage à demander activer l'option forcesave, et vos documoutons seront bien gardés.

🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑🐑

MP02

2022-10-04T00:00:00+00:00

J'ai testé ~~pour vous~~ le téléphone MP02.

Ce qui m'a hypé de ouf🔗

C'est un téléphone (appels, SMS)
C'est un 12 touches (il comporte 21 boutons en tout)
Il peut faire un partage de connexion 4G
Et surtout, il supporte nativement Signal

C'est presque exactement le cahier des charges du téléphone de mes rêves™️.

Mon besoin, mon histoire🔗

J'ai un Fairphone 2 (FP2) depuis juin 2020, mais avant j'avais un bon vieux Nokia avec un clavier AZERTY, une box 4G et un PC, et ça m'allait très bien. Ce qui m'a fait acheter un smartphone dégooglisé à la place d'un dumbphone, c'était bien le besoin d'utiliser une messagerie chiffrée de bout en bout au quotidien. Après deux ans de mauvais et loyaux services, ma patience pour le FP2 est moins solide. En découvrant que mon téléphone de 2020 existait, je n'ai pas hésité une seule semaine.

Fonctionnalités supplémentaires🔗

Voici l'exhaustive liste de ses fonctionnalités supplémentaires :

Alarmes (sans texte)
Notes avec rappel optionnel (à une certaine date et heure)
Calculatrice
Téléphone verrouillé et chiffré par un mot de passe
Bluetooth pour un casque sans fil
Adaptateur pour un casque avec fil
Support du Wifi

En me trompant plusieurs fois de code PIN Signal, j'ai réussi à me bannir temporairement de l'enregistrement d'un nouveau téléphone. Je l'ai donc utilisé pour les appels et SMS pendant 48h.

Ce que j'ai aimé pendant mes deux jours d'utilisation🔗

Une interface efficace. J'ai un peu pratiqué les dumbphones, et celui-ci permet d'arriver vite à ses fins. Les raccourcis (bouton raccrocher pour quitter, bouton appel pour valider…) sont consistants d'un menu à l'autre. Tous les boutons et raccourcis natifs sont très bien pensés.
Une interface uniquement en texte blanc sur fond noir. >_
Un design et des sons élégants. 🕊️
Seulement des fonctionnalités pratico-pratiques. Il n'est pas possible de "trainer" sur le MP02.

Ce que je n'ai pas aimé🔗

Ce n'est pas possible de désactiver les sons de l'appareil :
- message envoyé,
- dé·verrouillage de l'écran,
- mise sous·hors tension…
Il est uniquement possible de synchroniser les contacts en les important par la carte SIM, et l'OS Fairphone Open du FP2 ne permet pas d'y exporter ses contacts… J'ai dû recopier mes 80 contacts usuels à la main.
La batterie semble pouvoir tenir 4-5 jours avec une utilisation modérée en se connectant en 2G (totalement acceptable pour le volume de données de Signal), mais le partage de connexion en 4G fait fondre 🕯️ la batterie en 4-5 heures. Ma box 4G tient plus longtemps, mais de peu : j'aurais pu me douter que la batterie n'allait pas tenir plus. 🔌
J'aurais aimé pouvoir faire une synchronisation CalDAV / CardDAV pour mon calendrier et mes contacts. 🔄

Ce qui m'a empêché de l'utiliser🔗

Je me suis d'abord rendu compte que je n'allais pas pouvoir garder l'appli Signal active sur mon FP2, comme je pensais le faire. Je comptais garder le FP2 comme un iPod. J'étais chagrin, mais je me suis rapidement fait à l'idée.

Puis je me suis rendu compte en enregistrant le MP02 comme appareil Signal que Signal-Desktop perdait l'accès au compte, et que ce n'était pas possible de le lier à nouveau au téléphone. Fin de partie pour le MP02.

Dans un monde où je n'utiliserais pas déjà Signal pour échanger des liens, des images, des documents, j'aurais pu me contenter de l'avoir uniquement sur le MP02.

Mais j'ai réussi en 2 ans à faire passer (et à rencontrer) 80% de mon entourage sur cette messagerie, et l'utilise abondamment. J'ai environ soixante-dix contacts dessus et une quinzaine de groupes. J'ai quelques conversations régulières. Et je n'ai pas envie de me priver de mon ordinateur pour y écrire.

C'est donc avec regret que je me résous à revenir au FP2.

Si vous cherchez plus de détails, ça me botte d'en discuter !

Firefox

2021-03-12T00:00:00+00:00

Firefox est un navigateur Web, semblable à Chrome.

Je le conseille parce que toute personne qui sait programmer peut étudier et modifier son code source. Ça permet à la "communauté" d'être critique sur son fonctionnement, et de l'améliorer. C'est un logiciel libre et open-source. Ainsi, au contraire de Chrome, il ne contient pas de traqueurs de ton activité en ligne. De plus, il est développé par Mozilla, une organisation à but non lucratif engagée 🚀.

Dans cet article, je détaille mes conseils pour configurer Firefox, afin d'en faire un outil de ninja de la nuit cool à utiliser !

Préférences🔗

Comment modifier les paramètres de Firefox ?

Taper about:preferences dans la barre d'URL ou aller dans les Préférences depuis le bouton (☰) en haut à droite.

Page Général des Préférences🔗

Coche "Lire le contenu protégé par des DRM" si tu comptes utiliser des services privateurs comme Netflix. Sinon, la lecture de vidéos "protégées par DRM" ne fonctionnera pas. Cet article de Framasoft parle très bien du problème que pose Netflix, si le sujet pique ta curiosité.

Page Recherche des Préférences🔗

Je conseille de mettre DuckDuckGo comme moteur de recherche par défaut.

Les rageux·ses diront que les résultats sont moins bien. C'est notamment dû au fait :

que DuckDuckGo ne personnalise pas le contenu en fonction de ce qu'il sait de toi (ce que Google fait).
qu'il ne sous-paie pas des Africaines précaires pour entrainer son moteur de recherche (ce que Google fait). Je dis pas ça pour te culpabiliser, tu n'y peux rien, c'est juste Google qui n'a aucune éthique, et qui se trouve être une des entreprises avec la plus grosse cotation en bourse du monde.

Mais la plupart du temps (selon moi hein), les résultats sont bien.

Astuce ! Dans le cas où tu trouves pas ce que tu veux et que tu veux rediriger ta recherche DuckDuckGo sur Google, ajoute "!g" à ta recherche.

Exemple : "chat mignon !g"

Il existe pleins d'autres !bangs :

"!wf" pour Wikipédia en Français,
"!yt" pour YouTube,
"!i" pour les images DuckDuckGo,
"!gi" pour les images Google,
"!wref" pour traduire un mot de l'anglais vers le français,
"!wrfe" pour traduire un mot de l'anglais vers le français,
et j'en passe des centaines...

Page Vie Privée et Sécurité des Préférences🔗

Laisse sur "Standard". Les extensions Privacy renforcent encore la protection.
Cocher "Supprimer les cookies et les données des sites à la fermeture de Firefox" permet de se faire oublier des sites d'une utilisation de Firefox à une autre. Je le conseille pour éviter la personnalisation des contenus et le traquage.
- La suppression systématique des cookies a aussi comme effet de te déconnecter des sites sur lesquels une identification est nécessaire (exemple : ta boîte mail, la CAF, Uber Eats 🤮). Tu peux donc ajouter des exceptions à cette suppression de cookies pour ne pas à avoir besoin de t’authentifier à chaque fois que tu consultes tes mails ou que tu commandes une pizza - en participant à l’Uberisation de la société et en exploitant des livreurs précaires (sans papiers). Zut, j'avais dit pas de culpabilisation...

Barre des favoris🔗

Si tu veux afficher la barre des favoris, utilise le raccourci clavier Ctrl+Maj+B.

Extensions Firefox🔗

Comment on ajoute des extensions sur Firefox ?

Tape Ctrl+Maj+A ou va dans les "Modules complémentaires" depuis le bouton en haut à droite.

Voici les extensions que je te conseille, classés par catégorie :

Catégorie Privacy🔗

uBlock Origin🔗

Anti trackers et Anti pubs.

Je ne conseille pas Adblock, Adblock Plus, ou Ghostery : leur modèle économique craint. En plus de ça, leur code n'est pas libre ni open-source. C'est donc impossible de vérifier ce que ces extensions font, comme s'assurer qu'elles n'enregistrent pas ton historique de navigation.

Si uBlock Origin a une interface plus sobre que Ghostery, il est à la fois très efficace, peu consommateur de ressources, et digne de confiance, parce que c'est un logiciel libre.

ClearURLs🔗

Supprime dans l'URL des sites les bouts de code destinés à la surveillance, qui ne sont pas nécessaires (pour toi). Par exemple, https://example.com?utm_source=newsletter1&utm_medium=email&utm_campaign=sale va être raccourci en https://example.com.

Decentraleyes🔗

Accélère certaines pages en gardant en cache des gros fichiers. C'est aussi un plus question privacy.

Terms of Service; Didn’t Read🔗

Donne à droite de l'URL une "note" des Conditions d'utilisation du site (pour les gros sites).

Snowflake🔗

Permet à des personnes dans des régions du monde où Internet est surveillé (enfin, plus qu'en France) de se connecter à Tor en leur partageant un peu de connexion.

Catégorie Confort🔗

I don't care about cookies🔗

Supprime les bannières de cookies de presque tous les sites. Ce truc fait littéralement gagner 5 min par jour ^^

Dark Reader🔗

Met en "mode sombre" les pages. Ca fatigue moins les yeux ! Peut se désactiver au cas par cas pour les pages sur lesquelles ça rend mal.

LanguageTool🔗

Correcteur ortographique. C'est open-source.

Par défaut, l'extension se connecte au serveur de l'entreprise LanguageTool pour demander les corrections de ses textes. Leurs conditions d'utilisation semblent très respectueuses de la vie privée. Toutefois, j'ai mis en place leur programme sur mon serveur aussi.

Pour se connecter à mon serveur à la place du leur, aller dans les paramètres, puis dans les paramètres avancés, cocher "Autre serveur" et rentrer https://lang.ppom.me/v2/ puis cliquer sur "Sauvegarder". De cette manière, l'extension demandera les corrections à mon serveur.

Catégorie LOL🔗

Proutify🔗

Remplace pleins de mots de droite par leur version proutisée. Très drole ! (une initiaprout de Framasoft)

NicCage🔗

Remplace toutes les images par des photos de Nick Cage. C'est rigolo environ 10min ^^

Catégorie Gestionnaires de mot de passe🔗

Je conseille fortement à toute personne qui surfe sur le Web (oui oui, j'ai 21 ans et je dis ça 🏄) d'utiliser un gestionnaire de mots de passe. Comme ça tu ne retiens plus qu'un mot de passe, qui te donne accès à tous les autres. Ça permet d'avoir des mots de passes sécurisés (compliqués) et différents pour chaque site / application.

C'est à la fois un vrai bonus en terme de sécurité (se faire voler un mot de passe n'implique pas de se faire voler tous les autres comptes avec le même mot de passe) et en terme de praticité : il n'y a plus à retenir quelle variante de quel (faible) mot de passe on a mis sur tel site.

Bitwarden est une solution open-source qui semble très bien. Très sécurisée et facile à utiliser.

Elle possède une extension Firefox, aussi pour Firefox Android, Chrome, une application Android...

Je ne l'utilise pas parce que mon gestionnaire de mots de passe est un programme qui nécessite des compétences en informatique : pass.

Fin🔗

J'espère que ce tuto condensé te sera utile pour trouver ton bonheur sur Firefox.

Les avis exprimés ici n'engagent que moi.

Si tu as des questions, des suggestions, que quelque chose n'est pas clair ou mérite précision, n'hésite pas à me contacter !

ppom

Liens pour aller plus loin🔗

Pour plus d'infos et conseils pour choisir un gestionnaire de mots de passe, allez voir par ici.
Si tu veux optimiser ton utilisation de Firefox sur PC, un récapitulatif (cheatsheet) des raccourcis clavier est intégré à DuckDuckGo.
Si tu veux plus d'infos sur ces fameux trackers, je te conseille ces quatre articles qui expliquent comment fonctionne la publicité sur Internet.
Si tu veux plus d'infos sur le capitalisme de surveillance et le business model de Facebook et Google, je te conseille cet article de Framablog.
uBlock Origin plus efficace qu'Adblock Plus, sur le wiki de uBlock Origin.
Un article de Framasoft sur la "fausse pub" que tu viens de voir, ici.