Guide d'utilisation Annuler

Amélioration de la sécurité du compte Adobe Connect

Rechercher

Dernière mise à jour le 6 janv. 2022 | S’applique également à Adobe Connect 10, Adobe Connect 9

Les administrateurs Adobe Connect peuvent activer et appliquer les connexions HTTPS sécurisées pour renforcer la sécurité de leurs serveurs.

Les administrateurs d’Adobe Connect peuvent améliorer la sécurité de leur compte depuis l’onglet Administration.

Cliquez sur Administration > Compte > Autres paramètres.
Sélectionnez Connexion SSL requise pour qu’Adobe Connect impose l’utilisation du protocole RTMPS.
Cochez la case Activer la sécurité améliorée afin de forcer l’API des services Web à utiliser la connexion sécurisée (HTTPS) et à générer le nouvel identifiant de session après l’établissement de la connexion.

Remarque : Adobe recommande de sélectionner cette option.

Protection contre la contrefaçon de requête multisite (CSRF)

Adobe Connect permet aux utilisateurs finaux ou aux administrateurs d’appliquer une protection CSRF pour les appels d’API XML à changement d’état.

Nous vous recommandons d’activer la protection CSRF pour les API XML, car il s’agit de la configuration la plus sécurisée.

Pour activer la protection CSRF, procédez comme suit :

Sur la page centrale d’Adobe Connect, cliquez sur Administration > Compte > Plus de paramètres.
Dans la section Paramètres CSRF, cochez l’option Activer la protection CSRF pour l'API XML.

Remarque : si Adobe Connect 11.4 a été installé en tant que correctif par rapport à une version précédente, l’option est désactivée par défaut.
La protection CSRF repose sur le client pour envoyer un cookie CSRF sécurisé spécifique à la session et un paramètre de demande correspondant. Tous les appels API qui changent d’état sont protégés, par exemple :
- acl-create
- acl-field-update
- acl-multi-field-update
- permissions-update
- sco-update
- sco-upload
Procédez comme suit :

1. Une fois que vous êtes authentifié, les cookies suivants sont générés :
- BREEZESESSION en tant que cookie de session Connect principal
- BreezeCookie en tant que cookie CSRF, en fonction du cookie de session Connect
2. Appelez l’API common-info pour obtenir le jeton CSRF correspondant au cookie CSRF (BreezeCookie).
- le jeton CSRF est renvoyé sous la forme <OWASP_CSRFTOKEN><token>...........</token></OWASP_CSRFTOKEN>
3. Envoyez tous les appels d’API HTTP GET suivants qui changent d’état avec BreezeCookie comme cookie et OWASP_CSRFTOKEN. Par exemple :

https://\[URL_SERVEUR\]/api/xml?action=\[action de changement d’état\]&........&OWASP_CSRFTOKEN=[token_extracted_above]

4. Pour les intégrations qui appellent une ou plusieurs API XML via une méthode HTTP POST unique, envoyez OWASP_CSRFTOKEN (avec le cookie CSRF BreezeCookie), comme indiqué ci-dessous :

<actions mode='...' OWASP_CSRFTOKEN=[token_extracted_above]>
Activez l’option Exclure la protection CSRF pour les appels API XML vers le chemin suivant.

Lorsque vous cochez cette option, une URL sécurisée générée par le serveur apparaît. Cette URL permet aux comptes disposant d’intégrations d’API XML de continuer à effectuer leurs appels d’API XML par rapport à un chemin d’URL sécurisé et unique généré par le serveur.