Une mise à jour de sécurité sera appliquée le 13/1/2025 sur toutes les plateformes PCSCloud.

Afin de garantir la diffusion de l'information, voici une copie de l'e-mail informatif envoyé par les équipes de PCSCloud. Il détaille les éventuels changements à effectuer dans les sites et webservices hébergés, ainsi que dans les réglages des accès aux plateformes. Les modifications sont minimes si toutes les recommandations de sécurité courantes sont déjà appliquées (framework WINDEV / WEBDEV à jour et protocole HTTPS en place).

En cas de doute sur les opérations à effectuer, n'hésitez pas à contacter :

• le support de PCSCloud si le sujet concerne l'accès aux plateformes ou la gestion des rôles :
  https://pcscloud.net/dashboard
• notre support s'il s'agit de l'utilisation d'un rôle d'une plateforme depuis WINDEV, WEBDEV ou WINDEV Mobile :
  https://techsupportrequest.pcsoft.fr/

Dans le but de vous fournir un service sécurisé de qualité, vos plateformes PCSCloud vont évoluer le 13/01/2025.Ce qui va changer :

1. Désactivation des protocoles obsolètes TLS 1.0 et 1.1
2. TLS à partir de la version 1.2 : suppression des algorithmes de chiffrement dépréciés (voir détails ici)
3. Activation automatique de la redirection HTTP vers HTTPS.
4. Le protocole FTP n'est plus accepté. Passage en FTPS obligatoire.
5. Sécurisation automatique des entêtes HTTP renvoyés par le serveur.
6. Modification de comportement dans les applications Web et les sites Web.

Ce que vous devez vérifier dans vos applications / process :
1. Si vos sites ou vos webservices sont utilisés avec des navigateurs ou des outils qui ne supportent pas TLS en version 1.2, l'utilisateur devra mettre à jour son navigateur ou ses outils. Pour information, le protocole TLS 1.2 est supporté :

• par tous les navigateurs actuels. En cas de doute, n'hésitez pas à consulter cette page :
  https://caniuse.com/?search= TLS%201.2
• par le WLangage à partir de la version 23.

2. Suppression des algorithmes de chiffrement dépréciés (voir ici pour la liste complète)

La suppression des algorithmes de chiffrement dépréciés n'implique pas de modifications dans vos applications et vos sites.
Cette suppression empêche l'utilisation de vieux navigateurs non sécurisés.

3. Lorsqu'une adresse HTTP est utilisée pour accéder aux sites ou aux webservices installés sur vos plateformes PCSCloud, le terme HTTP sera automatiquement remplacé par le terme HTTPS.

• Pour vos sites, vous n'avez rien à faire : les navigateurs suivront automatiquement les redirections sans action de votre part.
• Si vous consommez des webservices par programmation, vérifiez :
  • que l'URL d'accès au webservice est bien en HTTPS.
  • que l'URL utilise un nom de domaine et non une adresse IP.

4. Dans le cas contraire, une erreur de certificat apparaîtra.

Le transfert de fichiers depuis vos plateformes PCSCloud (récupération de sauvegarde) :

• s'effectuera uniquement en FTPS. Deux paramétrages seront possibles :
  • sur le port 990, avec un chiffrement "TLS Implicite".
  • sur le port 21, avec un chiffrement "TLS Explicite".
• devra utiliser le nom de votre plateforme : "<plateforme>.pcscloud.net" et non l'adresse IP de la plateforme.

Il vous faut donc adapter le paramétrage des accès FTPS à vos plateformes PCSCloud (soit depuis les outils utilisés, soit depuis le code).

5. La sécurisation de certains entêtes renvoyés n'affecte ni vos sites ni vos applications.

Cela vise simplement à limiter les informations divulguées sur les systèmes sous-jacents.
Les entêtes sécurisés par cette opération sont :

• Suppression de l'entête "Server".
• Ajout de l'entête "X-Content-Type-Options".

6. Modification de comportement dans les applications Web et les sites Web

• Concernant les versions à partir de la version 2024 update 4.
  • 6.1 Procédures internes avec automatisme
    La gestion des annulations de procédure avec délai est désormais entièrement opérationnelle dans toutes les configurations.
  • 6.2 Page interne et modèles de champs
    L'ordre d'exécution des traitements liés aux déclarations a été modifié. À partir de cette version, l'exécution du traitement de déclaration des fils est désormais traitée avant celui de leurs parents.
  • 6.3 Zones répétées et appels AJAX
    En cas de modification des pages internes intégrées dans des zones répétées, le mécanisme de mise à jour de la page HTML a été optimisé pour garantir une meilleure performance.
• Concernant toutes les versions
  • 6.4 Dans les états créés avec l'éditeur d'états et appelés depuis un site ou un webservice :
    • dans certaines situations, une consommation excessive de mémoire peut conduire à un blocage du système ou du serveur,
    • l'utilisation des balises [%%] contenant une fonction n'est plus disponible.

N'attendez pas :

• Informez les utilisateurs de vos sites, de vos applications et de vos webservices hébergés sur vos plateformes PCSCloud que les outils ne supportant pas TLS 1.2 ne pourront plus être utilisés.
• Vérifiez que le protocole HTTPS est utilisé en lieu et place du protocole HTTP lors des accès aux sites, applications et Webservices déployés sur vos plateformes.
• Assurez-vous d'avoir remplacé tous les accès FTP en accès FTPS.
  • Utilisez le port 990 avec le mode de chiffrement "TLS Explicite".
  • Utilisez le port 21 avec le mode de chiffrement "TLS Implicite".
• Assurez-vous également que les accès FTPS utilisent bien le nom de votre plateforme "<plateforme>.pcscloud.net".
• Supprimez les utilisations des balises [%%] avec fonctions dans les états.

IMPORTANT : Au 13/01/2025, vos plateformes seront modifiées. Effectuez impérativement les adaptations avant cette date.