FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion #108

Merged

foXaCe merged 1 commit from passe-20261007-150256-70b8ff33 into main

2026-10-07 17:04:30 +02:00

foXaCe commented

2026-10-07 17:02:57 +02:00

Owner

Résumé

FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion

70b8ff3 FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion

Pourquoi

FOXA-3123 — le motif complet est dans le ticket, et dans le message du ou des commits ci-dessus.

Ce qui a été mesuré

Porte jouée par la forge, pas sur le poste. « Porte / porte* » est le seul contexte qu'exige la protection de « main » : la fusion attend son vert et ne le contourne pas.

Livrée par livrer-passe.sh depuis le worktree /home/agent/multica_workspaces/foxace-lab-f4e3a862d1f3/foxa-3123-475641da3641/workdir/backend, tête 70b8ff33.

## Résumé FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion - 70b8ff3 FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion ## Pourquoi FOXA-3123 — le motif complet est dans le ticket, et dans le message du ou des commits ci-dessus. ## Ce qui a été mesuré Porte jouée par la forge, pas sur le poste. « Porte / porte* » est le seul contexte qu'exige la protection de « main » : la fusion attend son vert et ne le contourne pas. Livrée par livrer-passe.sh depuis le worktree /home/agent/multica_workspaces/foxace-lab-f4e3a862d1f3/foxa-3123-475641da3641/workdir/backend, tête 70b8ff33.

foXaCe added 1 commit

2026-10-07 17:02:57 +02:00

FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion

Porte / porte (pull_request) Successful in 1m30s

Details

70b8ff331c

L'opérateur, le 2026-10-07 : Chrome remplissait « Utilisateur » et « Mot de passe » de la
page Xtream avec son propre compte de cabine — celui que le navigateur nomme d'après le
titre de la carte, « Compte Xtream ». Le risque n'est pas cosmétique : un enregistrement
après remplissage versait ces valeurs dans la table fermée des identifiants.

Cause : un input[type=password] apparié à un champ texte EST un formulaire de connexion
pour un gestionnaire de mots de passe, et autocomplete="off" ne l'empêche pas — MDN,
« How to turn off form autocompletion », § « Managing autofill for login fields », dit
que la plupart des navigateurs modernes ne respectent pas off pour les champs de
connexion, et recommande new-password pour le cas exact « on saisit le secret de
quelqu'un d'autre ».

Le jeton new-password remplace off sur les trois champs de secret de la cabine : les deux
de la page Xtream, et les deux emplacements de Réglages qui rendent un reglage secret:true
(clés API IntroDB, Torbox, Premiumize, Real-Debrid, MDBList, AnimeSkip, Seekr, PublicMetaDB).

Un jeton partagé ne peut pas vivre dans 00-infra.js : le banc exécute chaque fichier servi
SEUL dans Node (tests/test_webui_reglages_lisibles.py), et une constante d'un autre fichier
y rend ReferenceError — mesuré au premier tir, 18 erreurs. La valeur est donc écrite aux
trois appelants, et le récit vit à un seul endroit.

Aucun navigateur ne tourne sur le runtime : la pose se vérifie sur la page servie, le
remplissage lui-même par l'œil de l'opérateur.

Porte : 2023 passed, 46 skipped, 0 échec. Manifeste retamponné par --tamponner, jetons
? v= de 07-xtream.js et 09-reglages.js avancés dans index.html.

foXaCe scheduled this pull request to auto merge when all checks succeed

2026-10-07 17:02:58 +02:00

foXaCe merged commit 95313f241f into main

2026-10-07 17:04:30 +02:00

foXaCe deleted branch passe-20261007-150256-70b8ff33

2026-10-07 17:04:30 +02:00

foXaCe referenced this pull request from a commit

2026-10-07 17:04:31 +02:00

Merge pull request 'FOXA-3123 : les champs de secret de la cabine ne sont plus un formulaire de connexion' (#108) from passe-20261007-150256-70b8ff33 into main