Produits Entr'ouvert » Authentic 2

Une rapide recherche me laisse à penser que bien que ce soit très peu commun, voir ici certainement une erreur, c'est parfaitement valide et exim4 serait un peu trop tatillon.

Est-ce qu'on vise surtout le fait de bien remonter l'erreur SMTP jusqu'à l'utilisateur sans tracer ou autre chose (et dans ce cas là ce serait plutôt un ticket sysadmin) ?

Ma position c'est que bien que légal d'un point de vue RFC, ça va dans 100% des cas être une typo et qu'il faudrait remonter à l'usager qu'il s'est trompé.

Frédéric Péters a écrit :

Ma position c'est que bien que légal d'un point de vue RFC, ça va dans 100% des cas être une typo et qu'il faudrait remonter à l'usager qu'il s'est trompé.

Bon ce serait plus simple de décider de ce qu'on accepte, ^[a-zA-Z0-9.+]+$ pour la partie user ?

Regarder ce qu'exim accepte ?

  # The second rule applies to all other domains, and its default is
  # considerably less strict.

  # The default value of CHECK_RCPT_REMOTE_LOCALPARTS is defined in
  # main/01_exim4-config_listmacrosdefs:
  # CHECK_RCPT_REMOTE_LOCALPARTS = ^[./|] : ^.*[@%!`#&?] : ^.*/\\.\\./

  # It allows local users to send outgoing messages to sites
  # that use slashes and vertical bars in their local parts. It blocks
  # local parts that begin with a dot, slash, or vertical bar, but allows
  # these characters within the local part. However, the sequence /../ is
  # barred. The use of some other non-alphanumeric characters is blocked.
  # Single quotes might probably be dangerous as well, but they're
  # allowed by the default regexps to avoid rejecting mails to Ireland.
  # The motivation here is to prevent local users (or local users' malware)
  # from mounting certain kinds of attack on remote sites.

Mon avis c'est que si on veut "contrôler" on n'y arrivera pas, il faut javascripter le truc comme pour le contrôle des domaines ("attention, votre adresse ne semble pas valable, vérifiez-là bien" quand la partie gauche contient des trucs étranges, mais bon j'ai pas vraiment de regex à fournir)

Et pour la 500 que se tape l'usager qui veut quand même valider la page, je pense comme vous : remonter SMTP jusqu'à l'utilisateur (SMTPRecipientsRefused) sans tracer.

je pense comme vous : remonter SMTP jusqu'à l'utilisateur (SMTPRecipientsRefused) sans tracer

Sûr ok "sans tracer" mais ma position est plutôt de détecter en amont, en ayant au niveau de la validation les mêmes restrictions que dans exim.

Frédéric Péters a écrit :

je pense comme vous : remonter SMTP jusqu'à l'utilisateur (SMTPRecipientsRefused) sans tracer

Sûr ok "sans tracer" mais ma position est plutôt de détecter en amont, en ayant au niveau de la validation les mêmes restrictions que dans exim.

C'est ce que je propose, mais comme pour les domaines, le faire plutôt en javascript (je ne vois pas comment autrement, sauf des choses que je n'aime pas)

Bon je pense quand même qu'une première mesure serait d'intercepter les SMTPError dans form_valid(), il n'y a pas que les adresses mal-formés qui font ce genre d'erreurs, on verra plus tard pour la regexp qui plaît à tout le monde.

C'est ce que je propose, mais comme pour les domaines, le faire plutôt en javascript (je ne vois pas comment autrement, sauf des choses que je n'aime pas)

Il y a déjà de la validation, côté serveur, il s'agirait "juste" de l'étendre :

--- a/src/authentic2/validators.py
+++ b/src/authentic2/validators.py
@@ -82,6 +82,7 @@ class EmailValidator(object):
         DjangoEmailValidator()(value)

         localpart, hostname = value.split('@', 1)
+        # ici vérifier localpart
         if app_settings.A2_VALIDATE_EMAIL_DOMAIN:
             mxs = self.query_mxs(hostname)
             if not mxs: