Le lien caché : lire un lien invisible dans le code source
Le défi
Cette page de compte ressemble à une page client ordinaire. Mais la page envoie plus qu'elle n'affiche : il y a un lien dans le HTML réglé pour rester invisible. Ouvrez le code source, trouvez le lien caché, et soumettez l'adresse de page vers laquelle il pointe.
Ce que tu vas apprendre
- Ouvrir pour la première fois le code source d'une page web
- Comprendre qu'une page envoie au navigateur plus qu'elle n'affiche à l'écran
- Trouver un lien réglé pour rester invisible dans le HTML
- Lire dans le code source l'adresse vers laquelle pointe un lien
- Expliquer pourquoi masquer quelque chose à l'écran ne le rend pas privé
Compétences testées
Prérequis
- Savoir faire un clic droit sur une page et choisir Afficher le code source
- Notion de base que les adresses web ressemblent à /quelque-chose
Comment ça marche
Lorsque vous chargez une page web, le serveur envoie à votre navigateur un bloc de texte appelé HTML. Le navigateur lit ce texte et dessine la page que vous voyez. Mais il ne dessine pas tout : un développeur peut marquer un élément pour qu'il reste invisible, et le navigateur ne l'affichera tout simplement pas. L'élément est toujours présent dans le texte, il n'est simplement pas montré.
Vous pouvez lire le texte original de n'importe quelle page en ouvrant Afficher le code source (clic droit sur la page, puis choisissez « Afficher le code source de la page », ou utilisez le menu du navigateur). Cela montre le HTML exactement tel qu'il est arrivé, y compris les éléments masqués à l'affichage. Dans ce challenge, il y a un lien marqué invisible qui pointe vers /admin-old, une ancienne page du personnel. Vous ne le voyez jamais à l'écran, mais il est clairement présent dans le code source.
La leçon pour les débutants est simple et importante : rendre quelque chose invisible sur la page est un choix d'affichage, pas un moyen de le garder secret. Tout ce qui compose la page (liens, texte, notes) est envoyé à votre navigateur et peut être lu. Si une page contient un lien vers une zone privée, le masquer n'empêche en rien quelqu'un de le trouver dans le code source.
Erreurs fréquentes
- Ne regarder que la page visible. Lire ce qui est affiché à l'écran en supposant que c'est tout ce que contient la page.
- Penser qu'invisible signifie supprimé. Croire qu'un lien caché a disparu, alors qu'il est toujours présent dans le HTML.
- Soumettre le mauvais texte. Taper le mot affiché pour le lien au lieu de l'adresse vers laquelle il pointe.
- Se perdre dans le code source. Parcourir trop vite et manquer le seul lien qui n'est pas dessiné sur la page.
Comment s'en protéger
Ne comptez pas sur le masquage à l'écran pour garder des éléments privés. Si une page ou une zone doit être restreinte, le serveur doit réellement exiger une autorisation pour y accéder, pas seulement retirer le lien de l'affichage.
- Retirez les liens vers des pages anciennes ou internes des pages publiques au lieu de les masquer.
- Protégez les pages privées côté serveur pour qu'elles refusent les visiteurs sans autorisation, même si quelqu'un trouve l'adresse.
- Supprimez les anciennes pages comme
/admin-oldplutôt que de les laisser accessibles. - Considérez que tout ce qui se trouve dans le HTML est lisible par n'importe qui, car c'est le cas.