Frappe Framework
FAQ sécurité
La page répond aux signalements fréquents : traces, cookies, force du mot de passe, liens externes et HTML des champs développeur.
Fichiers et traces
Frappe n’est pas un antivirus : aucun fichier déposé n’est analysé. Certaines extensions sont bloquées. La liste se règle dans System Settings, Files, Allowed File Extensions.
Les traces d’erreur aident au diagnostic. Dans la plupart des cas, elles ne révèlent rien qui ne soit déjà dans le code ouvert. Pour les couper : System Settings, décocher Show Full Error and Allow Reporting of Issues to the Developer.
Mots de passe
Le contenu d’une requête n’est pas chiffré une seconde fois. En production, le TLS chiffre déjà le transport. Intercepter avec un proxy du type Burp Suite sort du modèle de menace réel : si le TLS est compromis, le problème est plus large. Le mot de passe de connexion est stocké en PBKDF2 et SHA256, sans retour possible. Les champs dont il faut relire la valeur, par exemple un secret d’API, utilisent le chiffrement symétrique Fernet.
L’autocomplétion des mots de passe est laissée active : gestionnaires et navigateurs la traitent mieux qu’un attribut désactivé, que les navigateurs majeurs ignorent souvent. La rotation tous les 30 ou 90 jours n’est pas imposée. Pour l’exiger : System Settings, Force User to Reset Password. Il n’y a pas d’obligation codée en dur de majuscules, minuscules et caractères spéciaux. La force est estimée par heuristique. Le seuil se relève dans System Settings, Password, Minimum Password Score. Le libellé publié a une espace avant Minimum.
Cookies et origine
Le chemin du cookie est /. Frappe ne sert pas plusieurs applications sur des chemins différents : tout le domaine configuré est servi par Frappe. Le drapeau Secure n’est ajouté que si l’accès est en HTTPS. La source recommande HSTS pour bloquer le trafic en clair, et laisse le HTTP pour les réseaux internes sans TLS.
Masquer la marque ne cache pas Frappe : en-têtes de préchargement, noms de fichiers et chemins d’API suffisent.
Liens et HTML
Les commentaires peuvent lier un site externe, parce qu’un espace collaboratif s’en sert. Le risque d’hameçonnage se couvre par une fenêtre d’avertissement avant de quitter le bureau : System Settings, Show External Link Warning.
Les formats d’impression, scripts personnalisés et autres champs HTML pour développeurs acceptent du HTML et du JavaScript. Ils sont réservés à des utilisateurs de confiance, par exemple System Manager ou développeur. L’exécution y est attendue. Un signalement n’est valable que si un utilisateur non fiable ou peu privilégié peut l’exploiter.
Point d’attention
Ces réponses décrivent des choix assumés, pas des correctifs à appliquer dans le code. Les réglages cités sont tous dans System Settings, aux chemins indiqués.