Formulaire et sécurité

Bonjour,

Depuis quelques temps un petit malin s'amuse avec le formulaire d'inscription à la newsletter d'un site dont je m'occupe. N'étant pas un expert en php (j'utilise la fonction mail pour recevoir les  inscriptions), j'ai cherché à sécuriser un minimum le formulaire.

Voici son code avec le php qui traite les variables générées :

<form action="sommaire.php3" method="post" name="news" OnSubmit="return(VerifForm(this))">
<b>NEWSLETTER</b>, les nouvelles par mail. Je m'inscris :

<input type="text" name="monmail" size="17" maxlength="50" value="Votre e-mail" onclick="this.value=''">
&nbsp;
<INPUT name="choix" type="radio" value="oui">
Oui&nbsp;
<INPUT  name="choix" type="radio" value="non">
Non&nbsp;
<input name="bouton" type="submit" value="envoyer">
</form>
<?php //Envoi newsletter
if (!empty($_POST['choix']) && !empty($_POST['monmail'])) {
$email2="webmaster@mondomaine.com";
$headers="From: ".$_POST['monmail'];
$titre="NEWSLETTER : ".$_POST['choix'];
$message="Demande pour la newsletter :\n";
$message.="- Choix : ".$_POST['choix']."\n" ;
$message.="- Adresse email : ".$_POST['monmail']."\n";
$message.="\n - Message envoyé par le site http://www.mondomaine.com -\n";
mail($email2,$titre,$message,$headers);
echo "<font color='#FF0000'><b>&nbsp;-> envoyé !</b></font>";
}
?>

J'utilise $_POST comme il est recommandé, pour ne pouvoir récupérer que les variables générées par le formulaire, et bien que mon hébergeur ait laissé les variables globales à ON.
En oubliant la vérification de l'adresse mail via javascript, je devrais recevoir que "oui" ou "non pour la variable "choix". Or, le petit malin arrive à mettre un peu ce qu'il veut dans ces variables, ainsi qu'à faire du bcc vers une adresse aol. C'est pas bien méchant mais j'aime pas trop ça.

Des idées pour blinder tout ça ?

Tu veux dire que j'utilise
$choix = ( $_POST['choix'] === 'oui' ) ? 'oui' : 'non';
au début du traitement php pour forcer la variable à ne prendre que ces valeurs là ou bien à la place du "if" ?

Mets le dans le bloc de ton if () (donc dans le traitement php). Ainsi, en effet, si le choix est égal à autre chose que 'oui', il sera mis à non par défaut.
Tu peux aussi sortir du traitement, si le choix est différent de oui ou de non, et logger une erreur.

Merci pour l'explication. Ce qui m'intéresse c'est qu'on ne puisse pas mettre autre chose que ce qui est prévu :
- Pour $choix : oui ou non.
- Pour $monmail : un email (dont je valide le @ et le . en javascript), donc ça peut être n'importe quoi dans la limite du champ (50 caractères).

Les logs que je récupère me prouve que ce n'est pas blindé car mon petit malin arrive également à faire passer du html (avec pas grand chose dedans jusqu'à présent) dans $monmail.

Un exemple de log que je récupère avec du php (mondomaine.com remplace le nom du site):

16/09/2005 02:40:32 ;
// la première parenthèse montre le contenu de $monmail)
(tduzwsqkxe@mondomaine.com
Content-Type: multipart/mixed; boundary="===============1629525477=="
MIME-Version: 1.0
Subject: bde4ce20
To: tduzwsqkxe@mondomaine.com
bcc: mhkoch321@aol.com
From: tduzwsqkxe@mondomaine.com

This is a multi-part message in MIME format.

--===============1629525477==
Content-Type: text/plain; charset="us-ascii"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit

mgplvm
--===============1629525477==--
);
// la deuxième parenthèse montre le contenu de $choix)
(tduzwsqkxe@mondomaine.com); 66.199.163.xxx(66.199.163.xxx) ;  ;  ; /

Je n'ai aucune info sur l'environnement (navigateur et plate-forme).

Normal...

plusieurs choses :
- dans ton if (), teste aussi le submit de ton formulaire
- le principe de sécurisation n'est pas tant d'empêcher un utilisateur malveillant d'essayer de te hacker...mais d'empêcher que ses tentatives soient couronnées de succès. Il enverra toujours ce qu'il veut dans tes $_POST...ton but à toi est de vérifier que tes $_POST contiennent bien les valeurs que tu attends, et pas d'autres. Là, il est bloqué. ON se fiche qu'il ait réussi à t'envoyer toto ou tata...toi, tu n'acceptes que oui ou non.
- ne teste pas tes emails en javascript...pour 2 raisons : c'est moins efficace qu'une expression régulière côté serveur, et ...il suffit de désactiver le javascript au moment de la saisie pour que ta "sécurité" soit anéantie. Le javascript doit rester un confort optionnel! Il doit se cantonner à ça. Jamais, Ô grand jamais, il ne faut l'utiliser dans une optique de sécurisation. C'est voué à l'échec. Et c'est le B-A BA de tout hacker que d'éviter les sécurisations javascript.
- mettre, toujours, toutes les vérifications possibles et imaginables. Enfin, un maximum, en tous cas. Teste le domaine du mail. Passe l'email aux expressions régulières. Pense aux addslashes. Pense à tout... ;-)

En fait je mentionnais juste le javascript comme option de confort, tout à fait, pour les utilisateurs distraits, pas dans un but de sécurisation.

Ce site est très modeste ; je souhaite juste éviter que le serveur envoie des mails à tout va pour rien. Mais bon, comme mes connaissances sont limitées en php, j'apprends petit à petit.

- Pour tester la saisie d'une adresse mail en php, je vais trouver ça.
- Pour tester le submit, on fait comment en gros (cad tester qu'il a bien cliqué sur le bouton ?)

if (!empty($_POST['choix']) && !empty($_POST['monmail'])) {
Bah comme ca par exemple. Quand tu cliques sur ton bouton "envoyer", tu as une variable superglobal qui contient toute ta liste de champs ainsi que les valeurs que l'utilisateur a rentrées dedand.

Donc tu testes via un if ( isset($_POST['un_champ_au_hasard']) ) pour savoir si le formulaire a été soumis où non :)

Si je comprends bien la fonction isset teste si la variable testée est renseignée par le bouton de validation. Ça ne garantie pas que le champ est renseigné, juste qu'il est renseigné par le bouton de validation ?
Donc je pourrais faire quelque chose comme ça ?

$choix=( $_POST['choix']==='oui' )?'oui' : 'non';
$monmail=$_POST['monmail'];
if (isset($monmail) && !empty($choix) && !empty($monmail)) {