Answered Notification du dossier core accessible depuis update Revo 2.4

Bonjour,

Depuis la mise à jour de MODX 2.4.x, j'ai une nouvelle notification dans le manager :

Un ou plusieurs détails de configuration n'ont pas été validés:

Le dossier "Core" est accessible par le web

MODX a détecté que votre dossier "Core" est (partiellement) accessible au public. Ceci n'est pas recommandé et présente un risque de sécurité. Si votre installation MODX est exécutée sur un serveur Web Apache vous devez définir au moins un fichier .htaccess dans le dossier de base /var/www/virtual/mysite.com/htdocs/core/. Ceci peut être facilement fait en renommant le fichier existant ht.access exemple en .htaccess.

Il existe d'autres méthodes pour Apache et les serveurs Web, veuillez consulter le Hardening MODX Guide pour plus d'informations sur la sécurisation de votre site.
Si vous configurer tout correctement, l'accès au Changelog doit vous retourner une 403 ("permission denied") ou mieux une erreur 404 ("not found"). Si vous pouvez voir le "Changelog" dans votre navigateur, quelque chose ne fonctionne toujours pas et vous devez reconfigurer ou appeler un expert pour résoudre ce problème.

J'ai suivi la première partie des suggestions en renommant le fichier core/htaccess en core/.htaccess mais le message est toujours là.
Si je saisi bien l'intérêt de déplacer le dossier core à l'extérieur de la racine web, ça reste un petit chantier à mettre en place pour scripter tout ça de manière propre.
En attendant, comment faire pour faire disparaître ce message d'avertissement, notamment qd le .htaccess a été correctement mis en place ? Ça perturbe un peu mes utilisateurs finaux !

Bonjour,

Tu peux enlever le widget du dashboard (Menu Dashboard>Update Dashboard>Remove widget from Dashboard).

Mertci anatole.
C'est bizarre que ce fichier ne soit pas correct dans l'archive officielle de MODX

Bonjour,

Sinon c'est juste les droits de ton dossier qui n'étaient pas correct.
En fait le dossier core doit être accessible seulement en lecture par le public

En mettant les droit 754 sur le dossier ça règle le problème.

Sur les anciennes versions, cette vérification sur les droits du dossier core n'était pas aussi poussé et vérifiait seulement si le dossier était accessible ou non en écriture pour la permission publique. Donc si le dossier est maintenant accessible en lecture et en exécution tu auras aussi ce message d'erreur.