2.4. Travailler avec le contenu. Formats de texte.
Les sites Drupal sont généralement conçus pour être publiés sur Internet. Et quand vous publiez un site, il devient accessible à tout le monde, y compris aux spammeurs et robots qui cherchent à poster du spam et leur code sur votre site. Drupal dispose de contrôles et de filtres de texte pour détecter et neutraliser le code malveillant dans vos formulaires de saisie (vous pouvez en apprendre plus sur les attaques XSS).
Allons dans Configuration - Rédaction de contenu - Formats de texte et éditeurs :
/admin/config/content/formats
Ici, nous avons les formats de texte par défaut : HTML complet, HTML de base, HTML restreint, Texte brut. Ils sont appliqués de haut en bas, si l’utilisateur possède le rôle correspondant, ce format est appliqué, sinon le filtre situé en dessous est utilisé. Plus le filtre est bas, moins de texte reste et plus de filtres sont appliqués. Mettons HTML complet tout en haut, c’est le filtre le plus permissif, avec le moins de restrictions, laissons-le par défaut aux administrateurs :
Allons maintenant dans les paramètres de HTML de base et attribuons ce format aux utilisateurs anonymes, leur permettant également d’utiliser CKEditor (éditeur visuel).
Notez que CKEditor est désactivé par défaut, et c’est fait exprès. Les éditeurs visuels obsolètes représentent une faille de sécurité pour votre site. Et puisque vous ouvrez l’éditeur visuel aux utilisateurs anonymes, vous ouvrez la faille à tout le monde. Mais ne vous inquiétez pas, CKEditor est intégré à Drupal et sera mis à jour avec Drupal.
Poursuivons avec les réglages avancés : ici, nous pouvons créer des groupes d’icônes et y glisser les icônes nécessaires. J’ai créé un groupe Alignement et y ai inséré des icônes pour aligner le texte.
Ensuite, nous pouvons configurer le téléchargement de fichiers via CKEditor, mais je pense que tout est en ordre par défaut :
Nous pouvons également définir des filtres pour le format de texte. Faites attention au filtre « Ignorer uniquement les balises HTML autorisées », qui est la base pour HTML de base, il filtre le code JavaScript des champs texte et conserve uniquement les balises nécessaires. Vous pouvez activer ou désactiver les autres filtres selon votre volonté.
Nous pouvons organiser l’ordre des filtres activés. Ici, le filtre principal « Limiter les balises HTML autorisées et corriger le HTML incorrect » doit être en haut, il doit filtrer tout code JavaScript avant que les autres filtres ne s’exécutent.
Enfin, nous pouvons définir quelles balises laisser après filtrage. En principe, il y a un assez large éventail de balises HTML autorisées, vous pouvez donc laisser cela tel quel. Mais je recommande d’ajouter rel="nofollow" afin que les commentaires spam ne nuisent pas à notre référencement SEO.
