Discussion :

[Tsilefy]

Sha1 et md5 ne sont pas des algorithmes pour mot de passe, et ils sont beaucoup plus sensibles aux progrès en puissance des processeurs (et notamment des cartes graphiques) que Blowfish. L'article que tu cites date de 2007, entre temps on a découvert des problèmes dans l'algo de sha1 et la puissance des processeurs a énormément évolué. En 2007, l'informatique distribuée n'était pas encore aussi répandu, aujourd'hui tout le monde peut louer plusieurs centaines d'instances d'EC2 le temps d'effectuer les calculs de force brute... Et on ne sait pas ce qui va se passer dans 1 an, 5 ans ... L'intrus qui aura réussi à voler une base de données avec des mots de passes hashés et salés aujourd'hui pourra essayer de déchiffrer les mots de passe dans quelques années avec du matos encore plus puissant. Pourquoi ne pas utiliser dès maintenant un algorithme beaucoup moins sensible à la puissance du matos?

De plus, l'article conseille d'avoir un salt dépendant de l'utilisateur, ce qui est la chose à ne pas faire. Si on utilise sha1, il faut au moins que le salt soit généré de manière réellement aléatoire (comme tu le soulignes). Le problème c'est que générer un nombre aléatoire est extrêmement compliqué et que la plupart des fonctions de génération aléatoires de PHP ne sont pas réellement aléatoires. Donc, pour créer un bon salt, il faut déjà utiliser une bonne méthode de génération aléatoire.

Donc, stocker des mots de passe avec sha1 + salt exige beaucoup de savoir-faire, et la sécurité n'est pas garantie pour autant.

@Shinja: j'ai oublié ceci: quand tu dis "pour un site de petites annonces par exemple", cela sous-entend qu'il y a certains niveaux de sécurité acceptable pour certains sites et pas pour d'autres. Le problème est que la plupart des utilisateurs réutilisent les mêmes mots de passe un peu partout (ou utilisent des variantes de ces mots de passe), et on sait que les pirates vont toujours s'attaquer au maillon faible.

[Shinja]

Pour le moment j’utilise crypt() voir mcrypt() car je n'ai pas trop le choix. Mon serveur web tourne sur une Debian Squeeze qui n'accepte que PHP-3.3.3-7 et je ne peux pas profiter de password_hash() et password_verify(). Je dis pour le moment, car je passer sur un autre serveur web où il me sera possible d'installer la dernière version de Debian.

Il faudrait effectivement que j'essaie en profondeur cakePHP dans l'objectif d'apprendre. Cependant, je me dis qu'un développeur qui a écrit ses classes et ses fonctions, il peut aisément les réutiliser pour d'autres projets. Personnellement, ça me gêne pas d'écrire des fonctions, au contraire. La seule chose qui rebute dans le développement d'un site web, se sont les formulaires et tout les scripts jQuery, c'est là où je perd le plus de temps. Pour m'aider j'ai créer des fonctions PHP qui font appels à mes scripts jQuery lorsque j'ai besoin de dupliquer le code. Idem pour les formulaires en html, je me suis crée quelques fonctions pour générer des inputs, select, datepicker etc. à la demande ce qui fait gagner un temps fou, enfin quand ça marche du premier coup ^^.

[spoutbe]

edit : faut-il préférer cakePHP ou Zend ? Je pose la question, car je me suis aperçu que Zend était installé par défaut sur ma Squeeze avec Suhosin..

Ne confonds pas Zend Engine et Zend Framework.

[thewyx]

Pour ma part je pratique un peu tout : PHP maison, PHP + CMS, PHP + Framework.
Je serais tenté de dire que CMS et Framework ça va dans le même sens, puisque un CMS est souvent bâti sur un framework (interne le plus souvent), et que c'est juste que la base applicatives est déjà constituée alors qu'il faut l'assembler quand on travaille avec un framework seul.
Pour moi il y a deux points : la sécurité et les lieux communs.
Pour la sécurité : oui, on ne peut pas penser à tout en matière de sécurité dans un dev maison. Oui un framework ou un CMS vont causer des problèmes de failles. MAIS il y a une communauté qui veille au grain et ça c'est hyper important. Celui qui se croit à l’abri parce qu'il fait du dev maison, à mon avis il commet une gaffe. Qu'est-ce qui est le mieux entre savoir qu'il y a une faille et attendre que la communauté la corrige (ou éventuellement aider la communauté dans ce sens) ou ignorer qu'on en a et le jour où on s'en rend compte devoir se dépatouiller tout seul.

Pour les le lieux communs, j'entends ce que l'on retrouve dans 99% des applications : gestion des menus, des utilisateurs, des droits des utilisateurs, accès à la base de données etc., ça fait carrément du bien quand tout ça peut se mettre en place rapidement, le faire une fois c'est drôle. Dès la seconde, on commence à se faire ch... ce qui incite fortement à se faire... tient son propre framework/CMS ! Bizarre comme idée ??? non ???

Le from scratch c'est pour les masos ou vraiment quand c'est un bout de code pour ne pas faire grand chose, pour le reste, c'est une question d'investissement qui dit investissement dans un framework/CMS dit une mise de départ (en temps) avant de retrouver ses billes.

[imikado]

Premièrement comme d'autres l'ont souligné, il faut bien distinguer CMS et Frameworks

Je vais ici développer juste sur les bienfaits des frameworks:
- code éprouvé
- sécurité
- productivité

En effet les frameworks php vous permettent non seulement de vous appuyer sur du code éprouvé par la communauté des autres utilisateurs + l'expérience, mais également de sécuriser votre application.
Beaucoup d'entre eux vous permettent de vous protéger des failles XSS, XSRF, nullByte et autre sql injection dont vous pourriez faire l'objet
Enfin, via les générateurs, vous pouvez developper plus vite des applications (génération de couche modèle, CRUD, module d'autentification....)

[Mat.M]

Je ne jure que par le C et le C++ ! D'ailleurs, je suis très déçu que l'avenir se porte sur le C# et le Java.

on est au moins 2
Pour ce qui est de Java ou C# il n'y a qu'à voir les problèmes que posent .NET, les frameworks sont incompatibles au fil des versions
Si tu fais du code .NET 1.0 il risque de n'être plus compatible avec 4.5.
Et ton code 4.5 risque d'être obsolète si Microsoft décide de tout changer encore une fois ( cf VB6 vers .NET )
Avec C++ pas de problèmes
Ah non je ne veux pas lancer de troll

[xillibit]

Pour le moment j’utilise crypt() voir mcrypt() car je n'ai pas trop le choix. Mon serveur web tourne sur une Debian Squeeze qui n'accepte que PHP-3.3.3-7 et je ne peux pas profiter de password_hash() et password_verify(). Je dis pour le moment, car je passer sur un autre serveur web où il me sera possible d'installer la dernière version de Debian.

C'est pas plutôt php-5.3.3 que t'as dans Debian Squeeze ?

Un framework permet de réduire le temps de développement, quand j'ai qu'une agence nous avais pondu un site en php avec du code fait maison et sans classe, du code qui n'est maintenable, je préfère utiliser un CMS

[Bestel74]

D'ailleurs, je suis très déçu que l'avenir se porte sur le C# et le Java. Je voudrais développer sur Android, mais je suis obligé d'apprendre le Java et j'ai horreur de bosser avec du xml, sauf pour générer des tableaux, genre un fichier de configuration ou listing, c'est plus propre qu'un fichier *.ini.

Développe avec le framework Qt ! C'est l'avenir

[Shinja]

C'est pas plutôt php-5.3.3 que t'as dans Debian Squeeze ?

Un framework permet de réduire le temps de développement, quand j'ai qu'une agence nous avais pondu un site en php avec du code fait maison et sans classe, du code qui n'est maintenable, je préfère utiliser un CMS

Oui pardon, php-5.3.3-7

[la.lune]

Je crois qu'une partie de la réponse est là dans ton message

Au début j'ai pas mal ramé, car j'ai dû écrire pas mal de fonctions pour me simplifier la vie, mais une fois crées, franchement je trouve que ça marche au poil et ça me facilite plus la vie qu'un CMS.

Toi même tu ne réinvente toujours toute la roue. Il faut déduire le reste, un peu de raisonnement mathématique.

[Bono_BX]

Personnellement, et étant confronté à l'utilisation des deux, j'ai tranché de cette façon :

• Si mes utilisateurs vont avoir à personaliser le site (créer de nouvelles pages, par exemple), alors je prends un CMS, car ils peuvent obtenir un résultat probant tout en étant indépendant de l'informatique.
• S'ils ne font que la manipulation de données (exploitation / consultation) alors je préfère faire le site moi-même.

Après, il est clair qu'avoir recour à un CMS, c'est devenir dépendant, car rentrer dans son code est rarement simple, et pose de gros risques de régression lors des montées de version. Il faut donc étudier attentivement les coûts de maintenance et d'évolution.
J'avais eu une formation Sharepoint qui était pas mal car on m'avait bien dit un truc essentiel à retenir pour tous les CMS et assimilés : "ce n'est ni un site web, ni un éditeur : c'est une boîte à outil". A toi (et ton équipe) de voir si ta boîte CMS contient les outils dont tu as besoin ou si tu vas devoir enfoncer une vis en tapant dessus avec ton marteau .

[malkav1978]

Et vous qu'en pensez-vous ?

Avant de se lancer dans la création d'un site en partant de zéro, je pense que la première question à se poser est : Quel CMS correspond le plus à mes besoins ? Je vois que tu parles uniquement de Wordpress, mais les CMS sont nombreux et n'ont pas tous la même philosophie.

Il en va de même pour une Framework, il faut choisir celui qui te semble le plus approprié à tes besoins.

Plus globalement : ça vaut pour à peu près tous les type de projets informatique. Le fait de partir sur une base existante apporte pas mal d'avantage, les principaux étant :

• Une meilleure productivité en utilisant des API et des outils existant.
• Une meilleure sécurité, l'expérience aidant les communauté qui maintiennent les principaux framework et CMS font le nécessaire pour ne pas être trop vulnérable.

Trouver le bon outil au départ d'un projet peu demander un peu de temps, mais beaucoup moins que redévelopper un outil ou un framework complet. Sans compter que d'autres se sont déjà posé la question sur des sujets tels que le cryptage du mot de passe, contrer les injections SQL, etc.

[satenske]

Bonjour,

L'utilisation d'un CMS rentre dans un cadre bien précis, et à ce titre ne doit être utilisé que si le cahier des charges corresponds à l'utilisation d'un CMS, dans le cas contraire, ça fait perdre du temps, ou pire ce n'est pas faisable.
Le framework quant-à lui me parait indispensable quelques soit le projet, pour plusieurs raisons :

• La pluspart des sites webs contiennent des fonctionnalités identiques, autant ne pas les recoder.
• Il permet une organisation claire et précise, ça permet d'avoir quelques chose de propre failement d'un part, d'autre part, si le projet doit être repris plus tard, quelqu'un connaissant le framework en question aura plus de facilité à comprendre tout ça que si c'était fait de zéro.
• Les framework sont mis à jours régulièrement, testés à grande échelle : il ne devrait y avoir que peu de problème et failles de sécurité dans leur noyau, c'est un gage de sureté et de qualité.

Après, le choix du framework peut différerer d'un projet à l'autre, certain sont plus lourd que d'autre, mais dans le principe, ça me semble nécessaire.

[Shinja]

Je pense que je vais me lancer au vu des tous les avis favorables aux framework. J'ai choper une documentation officielle de cakephp en français et en PDF (c'est du luxe), donc je vais me donner une semaine pour avoir les bases et tenter de passer mes projets dessus. Par contre, je rebute à passer de lighttpd à apache2...

[crozet.magenta]

pour le choix d'un framework, il faut aussi se pencher sur la manière de développer qu'il utilise. bien qu'ils utilisent tous le modele MVC, la manière de coder n'est absolument pas la même.
pour ce qui est de mon expérience personnelle, j'ai testé cakephp et laravel. je suis resté sur Laravel qui me semble plus léger et rapide et qui offre beaucoup plus de libertés que cakephp. L'inconvénient de cette liberté c'est que beaucoup de choses automatiques dans cake ne le sont pas dans Laravel (notamment pour ce qui touche aux BDD)

Il faut tester et voir avec lequel on est le plus à l'aise

[Gmulti]

+1 pour Tsilefy aussi.

Pour apprendre, c'est très bien de réinventer la roue afin de comprendre les bas fonds. Mais ensuite, je pense qu'il faut impérativement utiliser quelque chose de plus gros, un "package" tels que les CMS & Framework.
Les raisons ont bien évidement été déjà évoquées. Maintenant viendra la fameuse question : quoi prendre ?

Entre un CMS & un Framework, je conseillerais d'utiliser un CMS pour sa rapidité de développement, son panel admin et ainsi d'avoir quelque chose de plus que potable rapidement. C'est du vite & bien et on peut le livrer beaucoup plus aisément à un utilisateur lambda qui l'aura peut-être déjà déjà vu.
Par exemple, entre un panel admin Symfony 2 (c'est du fait maison forcément) et un panel admin Wordpress, tu as 90% de chance qu'un utilisateur lambda ait déjà vu un panel WP qu'un panel SF2 (en prenant en compte qu'il ait déjà vu un panel admin je précise).

Maintenant, le choix d'un CMS entre tous les CMS (et de même pour les Framework) et bien... c'est souvent le premier qu'on utilise que l'on adopte. Après, il est intéressant de peser les avantages & inconvénients avant bien sûr.
Cela n'étant pas toujours vrai non plus et on évolue toujours. Avant j'étais un fervent partisan de Joomla alors qu'aujourd'hui je ne peux plus me passer de WP.

Concernant les Framework PHP, je te conseillerai plus de te diriger vers du SF2 qu'un Zend. Personnellement, je trouve que zend te laisse trop "tranquille" et si tu manques de rigueur, tu peux vite te désorganiser et perdre tout l'intérêt du Framework. Pour de petites applications, j'aime bien l'alternative avec Silex.

Ensuite... si tu veux vraiment le must... faut faire du Ruby =p

[Spartacusply]

Entre un CMS & un Framework, je conseillerais d'utiliser un CMS pour sa rapidité de développement

Comme il l'a souvent été répété sur cette discussion, CMS et framework ne sont pas comparables en de nombreux points (cf plus-haut). Il y a des cas où le choix d'utiliser un CMS s'imposera bien plus facilementqu'un framework, et dans d'autres ce sera le parfait opposé.

[imikado]

POur faire votre choix de framework, je vous invite à étudier l'initiative de grafikart qui a créé un projet gihtub où la communauté propose de coder avec des frameworks différént la même application web

Ceci permet de voir le code différent entre chaque frameworks

http://blog.developpez.com/ducodeetd...-framework-php

[wamania]

Si on ne réinventait jamais la roue, on aurait des formules 1 avec des roues de char à bœufs !

[Golgotha]

@Shinja, avec un framework tu te focalisera plus sur le contenu du site que sur les aspects technique, un système d’authentification/login c'est toujours la même chose, c'est perdre du temps et de l'énergie que de le faire from scratch, le framework t'apporte souvent tout un système de gestion d'utilisateur largement éprouvé et de qualité, toi tu n'a plus qu'a te focaliser sur la présentation. Pareil pour la gestion de la base de données, le framework va te donner de très bon outils pour faire des insert/update, des recherches intelligente d'objet en base, la gestion de la sécurité etc.. à partir de ça, ton temps va être employé à faire un beau design de la base de donnée, à faire un beau code métier, et pas à t'arracher les cheveux parce-que ton système de gestion de base de données est vulnérable aux injections. Le framework c'est ça : du temps mieux employé pour faire un site avec un meilleur contenu.