Pyrat.net – Création de sites Internet

Site SPIP piraté ? Soyez Pyraté !

2026-03-18T11:39:38Z

Contexte

Pyrat.net porte le nom de son fondateur : Jacques Pyrat.

Le « T » final ne se prononce pas, mais, avouez-le, c'est bien tentant 😉

Un service pour vous sortir de ce mauvais pas

Conséquences de la “professionnalisation” du piratage, votre site a été hacké / piraté.

Et, telle la cigale quand la bise fut venue, vous vous trouvez fort dépourvu.

C'est là que vous pouvez bénéficier de notre service Assistance CMS SPIP à la demande 693€ HT/jour pour :

déverminer votre site
le mettre à jour vers une version de SPIP maintenue
assurer la suite des mises à jour pour vous
et, comme pour la Refonte du site ASRO 1918, bénéficier d'une cure de jouvence de votre site, le rendant à la fois plus moderne et adapté aux mobiles

Une remarque concernant la communauté SPIP

La charte d'accueil de SPIP indique :

Refus du démarchage

Il est interdit d'utiliser les ressources fournies par la communauté pour effectuer un démarchage commercial non sollicité. Cela s'applique quel que soit le moyen utilisé : dans les forums, en message privé, ou en utilisant les informations de contact fournies par les gens dans les différents lieux de la galaxie SPIP.

Mais elle ne donne par ailleurs aucune visibilité au fait qu'il y a vraiment de nombreux prestataires compétents sur SPIP tout à fait à même de prendre la suite d'un webmaster depuis longtemps indisponible.

C'est comme ça que plusieurs de mes clients actuels ont « découvert » que la communauté SPIP n'était pas qu'une affaire de bénévolat. Et qu'il existait aussi des prestataires à qui faire appel [1]. Grand soulagement pour eux !

[1] Je liste de nombreux prestataires SPIP dans ma veille

Un homme averti en valant deux, vous savez ce que vous pouvez faire.

Une image masquée par une forme en CSS

2025-05-12T11:22:25Z

À partir du logo de Pyrat.net en SVG et SVG to CSS Shape Converter pour la traduction en shape CSS

L'image non masquée

Le HTML pour masquer

Avec quelques éléments CSS spécifiques à SPIP + SoyezCréateurs.

Le résultat

Faire une galerie de photos

2024-11-10T17:57:46Z

Contexte historique

SPIP, jusqu'à sa version 4 disposait d'un mécanisme simple pour afficher une galerie de photos : il suffisait que les documents soient déposés dans le portfolio pour qu'ils soient affichés en galerie.

Ça n'est plus le cas depuis la version 4 [1]. Et aucune méthode explicite n'a été fournie en alternative.

C'est pourquoi j'ai cherché et mis au point une alternative viable :

Ce qui donne le plugin : Albums automatiques + Portfolio

Méthode moderne avec les plugins Albums + Albums automatiques

Pour faire une galerie, il suffit :

de joindre les images qui, si elles font au moins 800px de larges, vont directement dans un album servant de PortFolio (cet album est créé automatiquement si nécessaire) [2]
de leur donner un titre
choisir le point d'intérêt de l'image pour permettre son recadrage harmonieux
éventuellement, glisser/lâcher les images pour choisir l'ordre (clic sur les points d'accroches)

Bonus : si vous avez plusieurs albums, vous pouvez les ordonner par glisser/lâcher via le picto avec les 2 colonnes de 3 points tout à fait à droite du titre de l'album.

Un bug de SPIP avec les images ayant une orientation EXIF

Quand vous prenez une photo en mode portrait avec votre smartphone, celui-ci la stocke au format paysage avec une information stockée dans celle-ci pour dire qu'il faut la faire tourner d'un quart de tour (c'est l'EXIF qui permet ça).

Quand vous joignez cette image à SPIP, sa vignette apparaît couchée : c'est un bug [3].

Pour contourner le bug :

Ouvrir l'image dans Paint.net et l'enregistrer : elle sera dans le bon sens
Tenter la manœuvre suivante (sans garantie)
1. faire une prévisualisation de l'article pour vérifier que l'image y apparaît bien couchée
2. si elle n'est pas dans le bon sens, retourner dans l'article dans l'administration, et cliquer sur modifier
3. puis cliquer sur la flèche permettant de faire tourner d'un quart de tour
  
  constater qu'« il ne s'est rien passé » (la vignette est toujours couchée) : c'est la 2^e facette du bug : la vignette ne tourne pas, mais l'image côté public est bien dans le bon sens
4. Enregistrer
5. ce qui peut être vérifié en prévisualisant de nouveau l'article

Enlever une image de l'album et la passer en illustration

Pour avoir le bouton : Retirer du portfolio, il faut que l'album soit affiché avec un élément par ligne.

Il faut donc cliquer sur le premier bouton à côté de Affichage.

Bugs en attente de résolution

Mauvaise ergonomie de l'onglet Albums dans la colonne de gauche de l'édition d'un article
La croix du plugin Centre Image n'est pas affichée sur les images au chargement de la page : un clic sur ajouter un document (ou fermer la zone si déjà affichée) fait s'afficher les croix (à condition d'avoir le premier mode d'affichage sélectionné en haut de la liste des images)
Au passage en mode édition d'un article, les modifications de « portfolios » faites en mode propriétés de l'article ne sont pas affichées : après modifications, actualiser la page avant d'aller modifier l'article
En mode modification d'un article, le contenu des 2 onglets Documents/Albums n'est pas correctement rafraîchi quand on est dans l'autre onglet : enregistrer l'article et cliquer de nouveau sur modification pour obtenir le rafraîchissement de la colonne de gauche.

[1] Bien que SoyezCréateurs ait pu continuer à le faire, au prix de l'usage d'une possibilité qui va disparaître avec SPIP 5

[2] Disponible nativement avec SoyezCréateurs.

[3] Un ticket de bug est ouvert à ce sujet : Impossible de mettre dans le bon se…

Le planning annoncé par votre agence est-il réaliste ?

2024-09-30T16:26:58Z

1. Pas de temps prévu pour les validations

Une créa passe parfois par 4 étapes de validation dans les grandes organisations. Il est peu probable d'avoir un accord du premier coup.

→ Prévoyez des délais de validation raisonnables dans le planning pour chaque livrable clé (wireframes, maquettes, spécifications, etc)

2. Si 5 jours-homme = une semaine de travail

Ma conviction, c'est que la productivité n'est jamais de 5 jours pleins. Avec les réunions et les engagements internes, on peut considérer qu'on perd 1 jour/semaine.

→ Si vous avez 100 jours-homme de travail, divisez par 4 et vous obtiendrez un nombre de semaines plus réaliste.

3. Plusieurs ateliers par semaine

Les clients peuvent rarement suivre un tel rythme avec l'enfer des agendas, les temps de préparation, les points à valider post-séance, le chemin critique du projet…

→ Si une agence prévoit 3 ateliers par semaine, questionnez-vous sur votre capacité et celle de votre organisation à tenir la cadence !

4. Une date de mise en ligne précise

La majorité de nos clients réalisent eux-mêmes la contribution. La date de mise en ligne ne dépend pas que de l'agence, c'est pourquoi on ne préfère pas annoncer de date de mise en ligne. On parle plutôt de date de mise en production.

→ Si votre agence n'anticipe qu'une semaine de contribution à la fin du projet pour respecter la date de MEL que vous envisagiez, la crédibilité du planning prend un coup…

Voir en ligne : Un post d'Amaury Balmer, reproduit ici avec son aimable autorisation

Par expérience, ce n'est pas toujours la faute de l'agence si le projet est en retard (il y a souvent trop d'optimisme aussi côté annonceur) mais ces quelques pièges sont souvent anticipables.

Dernier tips, si vos propositions concurrentes ont de très grands écarts de planning (ou de budget), questionnez ouvertement les agences !

Conséquences de la « professionnalisation » du piratage

2024-09-17T08:28:02Z

Dans les temps anciens…

En des temps pas si anciens que ça, le piratage de site était un exercice de style.

Les hackeurs s'amusaient à prouver leur compétence et ils se « contentaient » de défacer la page d'accueil d'un site en affichant à la place la preuve de leur méfait.

Hackeur éthique

Il y a eu aussi toute une période où le défaçage était politique : un message de soutien à des terroristes avec parfois un fond sonore « Allah akbar ».

Mais ça, c'était avant.

Le business du hacking

Désormais, hacker un site se fait beaucoup plus discrètement.

Parce que l'objectif du hacker est devenu de gagner de l'argent.

Comment ?

Plusieurs méthodes :

installer un mineur de cryptomonnaie
installer un relais de mails pour faire du SPAM
installer des pages de Phishing : des pages qui ont le look d'un service connu (banques…) pour en récupérer les accès
quand ce n'est pas un relais pédopornographique…

Bref, un site n'est plus hacké pour la gloire, mais pour faire des pépettes, du flouze, de l'oseille !

Une exploitation de plus en plus rapide des failles

Lorsqu'une faille est découverte dans un logiciel et rendue publique, il fallait du temps avant que celle-ci soit exploitée.

Ce temps n'a cessé de se réduire.

Aujourd'hui (2026), il n'est plus que de 20h ! (Source : article de Next.ink).

Conséquences pratiques

Les hackeurs ont dorénavant les moyens financiers de partir à la chasse des sites comportant des failles de sécurité, parce que c'est rentable et lucratif pour eux.

Socle technique

C'est donc devenu un jeu du chat et de la souris entre ceux qui font les outils qui motorisent le web (Linux, Apache, Nginx, PHP, JavaScript, les navigateurs, WordPress, SPIP et autres CMS…) et les hackeurs.

Ainsi, la fondation PHP a choisi :

de sortir une nouvelle version de PHP par an (en décembre)
de ne maintenir que 3 versions (dont une seulement pour les correctifs de sécurité)

Le cas de SPIP

Et c'est poussé par PHP que SPIP a choisi une voie semblable (notation de version X.Y.Z) :

une nouvelle version mineure en Y tous les 6 mois, avec, une fois par an, la compatibilité avec la dernière version de PHP
une nouvelle version corrective en Z par mois, plus, si besoin, release de sécurité à la demande
une nouvelle version majeure en X tous les 2 ans (?) : nouvelle branche (4.x.y, 5.x.y…)
avec la dernière version Y d'une branche maintenue jusqu'à 6 mois après la sortie de la branche X+2 (la version SPIP 4.4 sera maintenue durant toute la vie de la branche 5 jusqu'à la sortie de la version 6.1)

Ceci nous change radicalement du rythme de sorties assez lent auquel SPIP nous avait habitués.

⇒ Il va falloir mettre à jour plus souvent !

Conséquences pragmatiques

Mettre à jour plus souvent, c'est y consacrer plus de temps ou d'argent :

si vous en avez peu, restez en SPIP 4.4 jusqu'en juillet 2028
si vous en avez plus, passez à SPIP 5 dès que vous le pourrez

Vous ne voulez pas que votre site SPIP soit piraté ? Faites-le Pyrater [1] ! Avec notre formule d'assistance à la demande et maintenance proactive.

Accès admin perdu à un site SPIP ?

2024-05-02T10:44:12Z

Contexte

Vous avez un site sous SPIP 4 ou plus. Et plus personne ne sait comment se connecter à l'administration avec un compte ayant les droits de webmestre.

Mais, vous avez un accès FTP.
Et un accès PHPMyAdmin à la base de données.

Une solution existe.

Méthode : réinstallation de SPIP

par FTP, renommer le fichier config/connect.php en config/_connect.php
l'ouvrir pour avoir accès à son contenu
avec PHPMyAdmin, ouvrir la table spip_auteurs [1]
chercher un compte d'auteur ayant le champ backup_cles rempli
pour cet auteur :
- supprimer le contenu des champs : low_sec, alea_actuel, alea_futur
- utiliser un convertisseur texte vers MD5 pour générer le MD5 du mot de passe que vous souhaitez utiliser (le MD5 doit être en minuscules)
  Exemple : bonjour → f02368945726d5fc2a14eb576f7276c0
- mettre le code MD5 obtenu dans le champ pass
visiter avec le navigateur l'URL adressedusite/ecrire : la procédure d'installation du site se lance :
- saisir les informations de connexion à la base de données (voir config/_connect.php)
- ne pas créer d'utilisateur (c'est possible parce que SPIP détecte que la base de données contient déjà des auteurs)
- l'étape suivante est la mire de connexion
saisir le login et le mot de passe que vous avez choisi (dans l'exemple, c'est bonjour)

Et voilà, vous avez retrouvé un accès webmestre au site.

Et cet accès vous permet, évidement, d'en créer d'autres, plus personnels.

Pourquoi ça marche ?

Parce qu'il fut une époque où SPIP stockait les mots de passe en MD5.

Et comme il n'y pas de moyen de convertir automatiquement au nouveau format, la conversion se fait au moment du login, lorsque le vrai mot de passe saisi par l'utilisateur est utilisable par SPIP pour sauvegarder la version encryptée selon les nouvelles normes de sécurité.

[1] Le préfixe spip_ peut avoir été configuré à autre chose, voir config/connect.php

Un drapeau pour indiquer la langue ?

2023-12-19T12:42:37Z

Rien que pour le français déjà ça ne fonctionne pas : en effet il y a des pays francophones dont le drapeau n'est pas le drapeau français. C'est donc assez déplacé de faire cliquer les gens concernés sur un drapeaux français.

Mais il y a d'autres cas plus problématiques encore :

les entités qui n'ont pas d'état avec drapeaux,
les gens qui parlent la même langue mais dont les pays sont en guerre les uns contre les autres,
les pays où l'on parle plusieurs langues (Belgique, Suisse…),
etc…

Bref, bien souvent la langue dépasse les nations et il est conseillé d'utiliser les codes ISO pour les langues.

Journée internationale de la parlure piratesque

2023-08-30T11:28:46Z

Le saviez-vous ?

Le 19 septembre est une date importante chez Pyrat.net :

c'est l'anniversaire de Jacques Pyrat
c'est la journée internationale de la parlure piratesque

Comme nous aimons à dire à nos futurs clients :

En travaillant avec Pyrat.net, vous allez être pyratés !

Et si jamais vous avez été hackés, on n'avez plus personnes ayant la compétence pour mettre à jour et sécuriser votre site SPIP, n'hésitez pas à faire appel à nos services d'assistance à la demande.

L'écriture inclusive au crible des règles Opquast

2022-10-11T12:02:15Z

Préambule et contexte

Je suis (à la date d'écriture de cet article) certifié Opquast.

Qu'est-ce qu'Opquast ?

Rendre le Web meilleur

Créer des checklists pour la qualité des sites, doter les professionnels du Web d'un socle de culture commune, animer et faire vivre un écosystème de personnes et d'entités motivées pour améliorer le Web.

Or, il y a quelques jours, la dernière lettre mensuelle d'Opquast contenait un terme en « écriture inclusive » avec point médian.

J'ai donc posé la question sur Twitter : Quelles est la démarche qualité d' @opquast en utilisant l'écriture inclusive ? #jaipascompris

À quoi, l'auteur m'a répondu qu'il ne voyait pas le rapport.

J'ai donc cherché.

Quel est le rapport entre l'« écriture inclusive » et les règles Opquast ?

C'est la question fondamentale du consentement qui se pose :

Est-ce que je peux librement consentir à l'« écriture inclusive » ?
ou, est-ce que l'« écriture inclusive » s'impose à moi ?

Règle n° 130 - Le serveur respecte l'ordre préférentiel de langues des outils de consultation

Chaque requête auprès d'un serveur peut comporter des informations concernant les préférences de langue. Chaque internaute peut classer ses langues préférées dans son navigateur. Le serveur doit proposer les contenus en respectant l'ordre demandé par l'utilisateur. Si celui-ci indique le français, puis l'espagnol, puis l'anglais, le serveur devra servir la page en français si elle existe, sinon en espagnol si elle existe, et sinon en anglais si elle existe.

⇒ Source règle n°130

J'ai vérifié, dans mon navigateur, l'ordre des préférences de langues est le suivant :

français (France)
français
anglais
anglais (États-Unis)

À aucun endroit, je n'ai indiqué que je voulais du « français inclusif ».

⇒ Je me retrouve ainsi à devoir consulter des pages web en « langue inclusive » contre mon gré et en violation avec la règle Opquast 130.

Règle n° 32 - L'inscription à des services annexes n'est pas activée par défaut

Vous vous apprêtez à passer une commande et vous vous apercevez que la case de souscription à une assurance facultative, une newsletter ou un abonnement annuel est d'ores et déjà cochée. En anglais ça s'appelle de l'opt-out, où vous devez décocher une case, par opposition à l'opt-in, ou vous devez cocher. Bien entendu, toute inscription à des services annexes doit faire l'objet d'un vrai choix de la part de l'utilisateur.

⇒ Source règle n°32

Lorsque je me suis inscrit à cette newsletter, celle-ci était écrite en bon français.

Je n'ai pas coché la case « écriture inclusive » (et cette case n'est pas disponible à la date d'écriture de cet article dans le formulaire d'abonnement Opquast).

⇒ Je me retrouve à « bénéficier » d'un service annexe sans en avoir fait le vrai choix.

Règle n° 125 - Le code source de chaque page indique la langue principale du contenu

Une page web est rédigée dans une langue qui n'est pas forcément identifiable par les outils qui analysent les pages. Cette information doit être fournie à tous les outils automatiques dans le code source de celles-ci.

⇒ Source règle n°125

Nous avons donc des pages qui annoncent être « techniquement » en français, mais qui sont en fait dans une langue étrangère (l'« écriture inclusive »)

⇒ Je suis donc devant une page qui « ment » sur la nature de sa langue et ne permet pas à la règle 130 de s'exercer correctement

Et vous, voyez-vous d'autres règles et bonnes pratiques qui sont violées par l'« écriture inclusive » ?

Pour aller plus loin, vous pourrez lire cette synthèse sur l'écriture inclusive à l'épreuve de la linguistique.

Installer Smush sous Windows

2022-04-26T14:04:42Z

Smush est un plugin pour SPIP. Il permet de réduire le poids des images d'un site à leur maximum.

La documentation du plugin explique quoi installer sous Linux, mais ne donne pas d'indications pour Windows. C'est à ce manque que nous allons répondre.

Principe général avec Laragon

Laragon a un dossier destiné à recevoir les binaires de l'utilisateur : C:\laragon\usr\bin

C'est directement dans ce dossier que nous pourrons mettre les binaires des programmes nécessaires à Smush.

Les différentes lib à installer

ImageMagick

La page de téléchargement d'ImageMagick suggère une version principale et des versions alternatives.

Choisir la version alternative portable équivalente à la principale :

Principale : ImageMagick-7.1.0-31-Q16-HDRI-x64-dll.exe
⇒ Portable : ImageMagick-7.1.0-portable-Q16-HDRI-x64.zip

Mettre l'intégralité des fichiers contenus dans l'archive dans le dossier usr\bin de Laragon.

libjpeg

Autant prendre la version rapide de libjpeg :

Téléchargement depuis SourceForge de la dernière version pour Windows : libjpeg-turbo-2.1.3-vc64.exe
Ouvrir le .exe avec un lecteur d'archives (7-zip par exemple), et mettre seulement les fichiers contenus dans le dossier bin de l'archive dans le dossier usr\bin de Laragon

pngnq

On va prendre un forf plus récent : app-pngnq-s9 :

Download App
Dans le zip, ne prendre que pngnq-s9.exe et le mettre dans le dossier usr\bin de Laragon
renommer pngnq-s9.exe → pngnq.exe

OptiPNG

récupérer le zip pour Windows depuis http://optipng.sourceforge.net/
Dans le zip, ne prendre que optipng.exe et le mettre dans le dossier usr\bin de Laragon

Gifsicle

récupérer le zip pour Win64 depuis https://eternallybored.org/misc/gifsicle/
Dans le zip, ne prendre que les 2 .exe et les mettre dans le dossier usr\bin de Laragon

Voir en ligne : Documentation officielle Smush