eCommerce & Publicité

Mail de Google :

Cher utilisateur de l’Optimiseur de Site,

Nous souhaitons vous informer d’un possible problème de sécurité dans l’Optimiseur de Site. En exploitant une faille dans le script de contrôle de l’Optimiseur de Site, une personne malveillante pourrait exécuter un code malveillant sur votre site par le biais d’une attaque de script de site à site. Cette attaque ne peut se produire que si le site Web ou le navigateur a déjà fait l’objet d’une attaque distincte. La probabilité immédiate d’une telle attaque est faible, mais nous vous incitons tout de même à prendre des mesures pour protéger votre site.

Nous avons corrigé le bug et tous les nouveaux tests ne sont pas vulnérables. Toutefois, vous devez mettre à jour tous les tests que vous exécutez actuellement afin de corriger le bug sur votre site. En outre, si vous disposez de scripts de l’Optimiseur de Site issus de tests mis en veille ou arrêtés que vous avez créés avant le 3 décembre 2010, vous devez également supprimer ou mettre à jour ce code.

Vous disposez de deux méthodes pour mettre à jour votre code. Vous pouvez arrêter les tests en cours, supprimer les anciens scripts, puis créer un autre test, ou mettre à jour le code directement sur votre site. Nous vous recommandons vivement de créer un test, car il s’agit de la méthode la plus simple.

Création d’un test

1. Arrêtez tous les tests de l’Optimiseur de Site en cours.
2. Supprimez tous les scripts de l’Optimiseur de Site de votre site.
3. Créez un test comme vous le faites habituellement. Les nouveaux tests ne sont pas vulnérables.

Mise à jour directe du script de contrôle de l’Optimiseur de Site

1. Localisez le script de contrôle sur votre site. Il se présente comme suit :

Script de contrôle d’un test A/B
<!-- Google Website Optimizer Control Script -->
<script>
function utmx_section(){}function utmx(){}
(function(){var k='XXXXXXXXXX',d=document,l=d.location,c=d.cookie;function f(n){
if(c){var i=c.indexOf(n+'=');if(i>-1){var j=c.indexOf(';',i);return c.substring(i+n.
length+1,j<0?c.length:j)}}}var x=f('__utmx'),xx=f('__utmxx'),h=l.hash;
d.write('<sc'+'ript src="'+
'http'+(l.protocol=='https:'?'s://ssl':'://www')+'.google-analytics.com'
+'/siteopt.js?v=1&utmxkey='+k+'&utmx='+(x?x:'')+'&utmxx='+(xx?xx:'')+'&utmxtime='
+new Date().valueOf()+(h?'&utmxhash='+escape(h.substr(1)):'')+
'" type="text/javascript" charset="utf-8"></sc'+'ript>')})();
</script><script>utmx("url",'A/B');</script>
<!-- End of Google Website Optimizer Control Script -->

Script de contrôle d’un test à plusieurs variables
<!-- Google Website Optimizer Control Script -->
<script>
function utmx_section(){}function utmx(){}
(function(){var k='XXXXXXXXXX',d=document,l=d.location,c=d.cookie;function f(n){
if(c){var i=c.indexOf(n+'=');if(i>-1){var j=c.indexOf(';',i);return c.substring(i+n.
length+1,j<0?c.length:j)}}}var x=f('__utmx'),xx=f('__utmxx'),h=l.hash;
d.write('<sc'+'ript src="'+
'http'+(l.protocol=='https:'?'s://ssl':'://www')+'.google-analytics.com'
+'/siteopt.js?v=1&utmxkey='+k+'&utmx='+(x?x:'')+'&utmxx='+(xx?xx:'')+'&utmxtime='
+new Date().valueOf()+(h?'&utmxhash='+escape(h.substr(1)):'')+
'" type="text/javascript" charset="utf-8"></sc'+'ript>')})();
</script>
<!-- End of Google Website Optimizer Control Script -->

1. Localisez le code suivant dans le script de contrôle : return c.substring(...
2. Modifiez la ligne suivante comme indiqué :
   AVANT : return c.substring(i+n.length+1,j<0?c.length:j)
   CODE CORRIGÉ : return escape(c.substring(i+n.length+1,j<0?c.length:j))
   Veillez à inclure la parenthèse fermante finale « ) ».

Script de contrôle corrigé d’un test A/B
<!-- Google Website Optimizer Control Script -->
<script>
function utmx_section(){}function utmx(){} (function(){var k='XXXXXXXXXX',d=document,l=d.location,c=d.cookie;function f(n){ if(c){var i=c.indexOf(n+'=');if(i>-1){var j=c.indexOf(';',i);
return escape(c.substring(i+n.length+1,j<0?c.length:j))}}}
var x=f('__utmx'),xx=f('__utmxx'),h=l.hash; d.write('<sc'+'ript src="'+
'http'+(l.protocol=='https:'?'s://ssl':'://www')+'.google-analytics.com'
+'/siteopt.js?v=1&utmxkey='+k+'&utmx='+(x?x:'')+'&utmxx='+(xx?xx:'')+'&utmxtime='
+new Date().valueOf()+(h?'&utmxhash='+escape(h.substr(1)):'')+
'" type="text/javascript" charset="utf-8"></sc'+'ript>')})();
</script><script>utmx("url",'A/B');
</script>
<!-- End of Google Website Optimizer Control Script -->

Script de contrôle corrigé d’un test à plusieurs variables
<!-- Google Website Optimizer Control Script -->
<script>
function utmx_section(){}function utmx(){}
(function(){var k='XXXXXXXXXX',d=document,l=d.location,c=d.cookie;function f(n){
if(c){var i=c.indexOf(n+'=');if(i>-1){var j=c.indexOf(';',i);
return escape(c.substring(i+n.length+1,j<0?c.length:j))}}}
var x=f('__utmx'),xx=f('__utmxx'),h=l.hash; d.write('<sc'+'ript src="'+
'http'+(l.protocol=='https:'?'s://ssl':'://www')+'.google-analytics.com'
+'/siteopt.js?v=1&utmxkey='+k+'&utmx='+(x?x:'')+'&utmxx='+(xx?xx:'')+'&utmxtime='
+new Date().valueOf()+(h?'&utmxhash='+escape(h.substr(1)):'')+
'" type="text/javascript" charset="utf-8"></sc'+'ript>')})();
</script>
<!-- End of Google Website Optimizer Control Script -->

Notez que, dans les exemples de script de contrôle ci-dessus, la ligne k=XXXXXXXXX constitue un espace réservé.

Une fois que vous aurez effectué cette mise à jour, votre test se poursuivra normalement. Vous n’avez pas besoin de le mettre en veille ou de le redémarrer.

Nous avons pris l’engagement de garantir la sécurité de l’Optimiseur de Site et nous regrettons vivement ce problème. Nous nous efforcerons d’éviter toute autre vulnérabilité à l’avenir.
Cordialement,
Trevor
Équipe de l’Optimiseur de Site Google