Cette version regroupe les changements depuis la 2.9.162. La mise à jour est recommandée sur tous les sites.
🔒 Sécurité — l’adresse IP des visiteurs ne peut plus être usurpée
L’extension lisait l’adresse IP du visiteur dans des en-têtes fournis par le navigateur lui-même (CF-Connecting-IP, X-Forwarded-For, X-Real-IP). Un attaquant pouvait annoncer une adresse différente à chaque requête : il contournait le blocage après plusieurs mots de passe erronés et la limite de requêtes, et pouvait franchir la page de maintenance en se faisant passer pour une adresse autorisée.
Ces en-têtes ne sont désormais acceptés que si la connexion provient réellement d’un relais connu. Les plages publiées par Cloudflare sont reconnues d’office, et le filtre mgenius_trusted_proxies permet d’ajouter les vôtres. Les trois routines de détection d’IP n’en font plus qu’une.
🔧 Corrections
- Listes blanche et noire : ni le bouton Enregistrer global ni l’enregistrement automatique ne les sauvegardaient, tout en affichant un succès. Corrigé : le succès n’est plus affiché qu’une fois l’enregistrement confirmé.
- Décocher tous les rôles ou tous les pays n’était jamais enregistré. Corrigé.
- Liens d’accès (jetons) : ils ne fonctionnaient plus depuis la 2.9.162. Corrigé ; les liens déjà envoyés restent valides.
- Quelques libellés de l’administration étaient écrits en français en dur. Corrigé.
✨ Améliorations
- La liste blanche affiche votre adresse IP actuelle, telle que l’extension la voit, avec un bouton pour l’ajouter en un clic.
- L’onglet « IA », qui ne contenait que l’aide et les informations système, devient « Support ». Il est visible en mode Simple et mène d’abord au Diagnostic.
- Le lien vers la politique de confidentialité pointe maintenant vers la version anglaise, la version française restant liée à côté.