En parcourant ce sujet et les sujets précédents, je constate que le fonctionnement actuel est « par conception », mais qu’il ne reflète pas les nouveaux changements apportés au système d’invitation. Il est devenu beaucoup plus facile de créer des liens d’invitation qui peuvent être utilisés par des personnes inconnues. Les liens d’invitation peuvent désormais également être créés dangereusement par le personnel qui ajoute des invités à des groupes qui peuvent avoir accès à des catégories sécurisées sur le site.
@Wall-E Je suis curieux de comprendre comment vos liens d’invitation tombent entre les mains de personnes qui ne devraient pas être autorisées à accéder à votre site. On suppose que le personnel de votre site saura faire attention à ne pas créer de liens d’invitation qui peuvent être utilisés par n’importe qui et à ne pas les partager publiquement ou dans des contextes où les mauvaises personnes pourront les utiliser. Dans une certaine mesure, le problème que vous rencontrez est un problème de formation du personnel. N’hésitez pas à m’envoyer un message privé si votre réponse contient des détails sensibles.
S’il existe actuellement des liens d’invitation compromis, vous pouvez les supprimer et en créer de nouveaux, et les partager plus prudemment à l’avenir. En tant qu’administrateur, vous pouvez également toujours consulter la page des invitations pour voir qui a utilisé ses invitations. Si vous avez du personnel en qui vous n’avez pas confiance, vous pouvez abaisser ses privilèges à TL4, qui possède des privilèges de modérateur.
Je vois trois actions possibles :
- Ne rien faire. Le système d’invitation fonctionne comme prévu, le personnel doit simplement faire attention avec ses liens d’invitation. Si nous choisissons cette voie, suggérons de modifier la description du paramètre d’administration
doit approuver les utilisateurspour qu’il soit parfaitement clair que les liens d’invitation créés par les administrateurs contournent ce paramètre.
Le personnel doit approuver tous les nouveaux comptes d’utilisateurs avant qu’ils ne soient autorisés à accéder au site. Remarque : les invitations créées par le personnel contournent ce paramètre et ne nécessitent pas d’approbation.
La demande de tirage pour cette modification est ici : clarify that invites by staff bypass user approval by tobiaseigen · Pull Request #16966 · discourse/discourse · GitHub
-
Faire (1) mais aussi ajouter une étape d’avertissement supplémentaire « êtes-vous sûr » lorsque les administrateurs créent un lien d’invitation qui peut être utilisé pour obtenir immédiatement un accès au site. Uniquement sur les sites où l’approbation est requise.
-
Modifier le comportement afin que les liens d’invitation créés par les administrateurs respectent le paramètre d’approbation requis, tout comme les invitations des non-administrateurs.
Je suis d’accord avec l’OP sur le fait que le comportement actuel est trompeur et peut entraîner des problèmes sur les sites lorsque l’approbation est requise. Les sites avec ce paramètre activé sont plus prudents et ont besoin de ce niveau de contrôle supplémentaire et paranoïaque sur qui peut y accéder.
Ma recommandation serait donc de choisir la porte numéro trois : faire en sorte que tous les liens d’invitation fonctionnent de la même manière et respectent le paramètre doit approuver les utilisateurs.
Je ne pense pas qu’il s’agisse d’un bug, cependant. Cela fonctionne comme prévu. Reclassification en demande de fonctionnalité.