Live Edit accessible en visiteur

[ker]

Bonjour,

 

Après que l'un de nos clients nous signale avoir eu accès à une interface différente de la boutique (possibilité de déplacer et supprimer les blocs), nous en avons conclu qu'il avait eu accès au Live Edit.

 

- J'ai testé l'accès du Livre Edit après m'être déconnecté de l'administration et malgré l'affichage d'une erreur, le Live Edit s'affiche. (Accès via  l'url : /live_edit=1&ad=adminxxx&liveToken=xxxxxxxxxxx&id_employee=1&id_shop=1 )
 Ce n'est théoriquement pas possible ?
 

- La 2ème question est : Est-il possible qu'un problème avec le cache est affichée le Live Edit à l'un de nos visiteurs ?

 

Merci

 

Version 1.6.9.1

Edited November 14, 2016 by ker (see edit history)

[GuillaumeCW]

J'avais constaté que l'accès direct (via une URL) à une prévisualisation de produit ne nécessitait pas d'être connecté. L'accès au Live Edit doit lui-aussi reposer uniquement sur le "liveToken", ce qui voudrait dire qu'il vaut mieux ne jamais partager un lien Live Edit.