Enregistrement auto de la clé API au premier request

Abeldvlpr commented 4 months ago

Nous avons discuté d'éventuellement stocker la clef API lors du premier appel au Companion pour permettre aux utilisateurs de ne pas avoir à saisir celle-ci dans les options.

Est-ce qu'il ne vaudrais pas mieux retirer tout simplement la clef API ? Sachant que nous n'acceptons déjà que des requests venant du localhost ce qui limite grandement la surface d'attaque et sachant que de toute façon nos requêtes entre l'extension et le Companion n'étant pas en HTTPS, la clef API est facilement interceptable et ne sert donc pas à grand chose à part rajouter de la friction à l'installation... L'accès non authentifié au Companion nécessitant une execution depuis le localhost et ne donnant accès pour l'instant qu'a l'impression ou au TPE (qui est déjà accessible à n'importe qui sur le réseau d'ailleurs)

Je propose donc de la retirer tout simplement et de profiter de l'arrivée de l'interface utilisateur pour la retirer, sans que cela ne casse la compatibilité avec l'extension qui pourra continuer à la fournir sans que nous la verifions.

Si jamais ca te parais trop dangereux on peut partir sur l'idée de la récupérer lors de la première requête au Companion..

Refhi commented 3 months ago

Pour en avoir discuté avec mon frère, je préfère laisser tel quel, même si ça rajoute une manip initiale, ça incite aussi à aller voir dans les options. Après si tu veux implémenter la récupération auto au premier lancement, ça me va aussi J'ai ajouté un message dans les options Est-ce que je peux te laisser compiler pour mac la dernière version et me l'envoyer stp ? Merci :)