Le bug, capturé par celui qui l’a vu

L’extension dessine la section choisie dans une image, directement dans le navigateur du visiteur, à partir du contenu de la page et des styles appliqués. Ce n’est pas une capture d’écran au pixel près : une police ou une image hébergée sur un autre domaine qui interdit l’accès inter-origines peut manquer. Le signalement porte toujours l’URL de la page, le sélecteur CSS et la position de la section, de sorte que vous retrouvez l’élément même si l’image est incomplète.

Une capture reproduit la page telle qu’elle s’affiche, champs de formulaire compris : ce qu’un visiteur a saisi dans un champ fait partie de l’image. Glitchpin, dans sa version gratuite, n’offre aucun moyen de masquer une partie d’une capture, ni automatiquement, ni à la main. Le masquage automatique des mots de passe, des numéros de carte et des codes à usage unique, les marqueurs data-octoscope-private et data-octoscope-ignore, l’option « masquer tous les champs de formulaire » et le caviardage manuel dans l’éditeur d’annotation sont des fonctions d’Glitchpin Pro. Si vos pages affichent des données personnelles, tenez-en compte avant d’activer le widget à cet endroit.

Pour chaque signalement : l’URL et le titre de la page, le contexte de votre propre site (version de WordPress, environnement, thème, version de PHP), et du navigateur : nom et version majeure, système d’exploitation, type d’appareil, taille d’écran, densité de pixels, orientation, langue, fuseau horaire, position de défilement, et le référent uniquement lorsqu’il vient de votre site. Aucune empreinte numérique n’est calculée : ni canvas, ni liste de polices, ni liste d’extensions, ni sondage du matériel. L’adresse IP n’est jamais stockée en clair : seule une empreinte salée est conservée, pour appliquer la limite de débit. Une adresse e-mail n’est stockée que si le visiteur en a saisi une pour être prévenu de la correction.

Le point d’entrée est protégé par un jeton signé à durée limitée, un piège à robots, un délai minimal avant l’envoi, une limite de 5 signalements par adresse IP toutes les 10 minutes et un plafond global de 200 signalements par jour. Les captures sont bornées en nombre, en poids et en définition, et un signalement portant sur un autre site que le vôtre est refusé. Tout cela sans imposer de captcha au visiteur.

Oui. Le jeton anti-spam est récupéré au moment où le visiteur ouvre le widget, et non au chargement de la page : une page servie depuis le cache ne pose donc aucun problème.

La capture est produite à partir du contenu réel de la page et des styles qui lui sont appliqués : elle ne dépend d’aucun thème ni d’aucun constructeur en particulier. Deux réserves honnêtes : ce n’est pas une capture au pixel près, et une police ou une image hébergée sur un autre domaine qui interdit l’accès inter-origines peut manquer à l’image. Dans tous les cas, le sélecteur CSS et la position de la section permettent de retrouver l’élément. Le widget visiteur est écrit en JavaScript et en CSS natifs, sans dépendance à un cadriciel.