הפוסט וורדפרס 3.4 עם טוויטר פורסם על ידי ~ניצן~ בבלוג המכללה

חשוב להבין – מדובר בקוד מסוכן שמקבל גישה אל השרת שלכם ויכול (ואף עושה בפועל) לעשות בו כרצונו. היות והערכות יכולות להכיל פונקציות מלאות הוא אפילו יכול בעיקרון לקבל גישה מלאה אל הבלוג שלכם.

לכן, ולפני הכל – אם הבלוג שלכם מריץ ערכת עיצוב שהגיע מאחד האתרים הבאים – הסירו אותה עכשיו במידי ואז חיזרו לקרוא.

mastergate.co.il
themeland.co.il
themes.org.il
wpstore.co.il (הערה, פה נמכרות תבניות בתשלום ולכן לא בדקתי את הקוד בפועל, אם קניתם דרך האתר ערכת עיצוב, אנא צרו איתי קשר על מנת שאוכל לבדוק)

הכל התחיל כשמיטל מבלוג הלקים גילתה שבפוטר של הערכה שלה, שהורדה מהאתר של מאסטרגייט, הופיעו לינקים שהיא לא שמה ולא רצתה בהם. ניסיון להסיר את הלינקים הללו הקפיץ הודעה שהאתר מפר זכויות יוצרים. זו, הייתה יריית הפתיחה – שכן מדובר בערכה המופצת תחת קוד GPL ולא רק שמותר לשנות בה את הקוד כאוות נפשנו, אלא שוודאי וודאי שאין למאסטרגייט שום זכויות יוצרים על הערכה.

התקנתי את הערכה על שרת מקומי והתחלתי לחפש את ההתערבויות, היות ומדובר בערכה די נרחבת קיים סיכוי סביר שלא מצאתי את הכל, אבל פה יש תיעוד של מה שמצאתי.

ההתחלה הייתה בקוד ה footer שם נמצא קוד ה PHP הבא:

eval(base64_decode("d3BfY2FjaGUoKTs="));

כאשר פתחנו את הקידוד נמצאה בתוכו הפונקציה
wp_cache();
לא ראינו שום סיבה להעלים את פונקציית ה cache אך ברגע שזו הוסרה הופיעה לפתע הודעה המכריזה כי האתר מפר זכויות יוצרים.

המקום הבא לחפש בו היה קובץ ה functions.php, זהו קובץ שנטען ביחד עם הערכה ומיועד לפונקציות יעודיות של המפתח. ואכן, בתוך הקובץ הלז, נמצאה שורה דומה:

eval(stripslashes(base64_decode(קוד זדוני ארוך פה));

לא סתם ציינתי כי מדובר בקוד זדוני, בוריס טרח לפרק את הקוד ולנתח אותו ויעלה פוסט בהקדם, נגיד רק שמדובר בקוד שמבצע גישה אל הדאטה בייס ואל הקבצים של הערכה, הוא ניגש אל השרת של מאסטרגייט ומוריד ממנו עידכונים אשר משוכתבים אל תוך הערכה עצמה. בפועל זה משמש להתקנת לינקים פירסומיים, בפועל, ניתן להשתמש בזה כדי להכניס כל קוד זדוני אחר.

לאחר שהשוותי את קבצי הפונקציה אל קבצי הערכה המקורית ראיתי שמדובר בתוספת שלא הוכנסה במקור על ידי המפתח המקורי. הסרתי את הפונקציה וטענתי את הבלוג מחדש – הפעם, כלום לא עבד.

יש שתי דרכים לפתור את הבעיה הזו, האחת ארוכה ויסודית ושולחת את המפתח לפתוח את הדחיסה ולקרוא את תכולת הקובץ. השניה, קלה יותר ומהירה יותר – להציץ בדוח השגיאות של שרת ה apache.
על אובונטו עושים את זה על ידי שימוש ב:

tail -f /var/log/apacge/error.log

הפונקציה tail “מציצה" למעשה אל סוף הקובץ הנקוב והפרמטר f אומר לפונקציה לעקוב אחרי שינויים בקובץ ולהדפיס אותם אל המסך. התוצאה אגב היא – בכל פעם שיש הודעת שגיאה היא תודפס בטרמינל.

לאחר הקלדת הפקודה וריענון העמוד קיבלתי את הודעת השגיאה הבאה:

Fatal error: Call to undefined function wp_get_header() in /home/nitzan/www/wordpress/wp-content/themes/des/index.php on line 1

אכן, הקובץ index.php הכיל קריאה לפונקציה wp_get_header רק שזו אינה פונקציה של וורדפרס. הפונקציה של וורדפרס היא get_header – החלפתי את הפונקציה ב get_header והמשכתי הלאה.

הודעת השגיאה הבאה שהתקבלה היא:
Fatal error: Call to undefined function wp_loaded() in /home/nitzan/www/wordpress/wp-content/themes/des/header.php on line 1

הפונקציה הזו אינה מוכרת לי אבל אכן בקובץ ה header.php נמצאה בדיקה בנוסח הבא:

<?php if (wp_loaded() === true) { ?>

הודעת השגיאה הבאה הייתה

Parse error: syntax error, unexpected '}' in /home/nitzan/www/wordpress/wp-content/themes/des/header.php on line 72

ואלו היו הסוגריים המסולסלים שסוגרים את הבדיקה של הפונקציה הקודמת.

לאחר ההסרה, חזר הבלוג לעבוד אבל ה footer לא הופיע יותר. בדיקה בקובץ index.php הראתה קריאה אל

wp_get_footer();

שבדיוק כמו במקרה הראשון – זו אינה הפונקציה המקורית אלא הסוואה שלה שכן הפונקציה המקורית היא

get_footer();

לאחר שינוי הפונקציה חזרה הערכה לעבוד בשלמותה בעמוד הראשי אבל דפים פנימיים חזרו להקפיץ הודעות שגיאה.
לצורך כך, על מנת להימנע מבדיקה של כל הערכה, הוספתי אל קובץ functions.php את הפונקציות הבאות:

function wp_get_header(){get_header();}
function wp_get_footer(){get_footer();}
function wp_loaded(){return true;}

ובכך הסתכם הטיפול בערכה. והיא חזרה לעבוד מבלי הקוד הזדוני שהושתל על ידי מאסטרגייט.

מדגימה של מספר ערכות באתר של מאסטרגייט ובאתר themes.org.il עלה כי בכולן הושתל קוד זדוני שכזה או דומה. ראוי לציין כי גם האתר wpstore.co.il הוא בבעלותו של מאסטרגייט, ואני מניח כי את אותם הקודים ניתן למצוא גם שם.

לסיכום

הזכויות לתרגום ערכה נגזרות מהיותה GPL ולכן מחייבות הפצה כ GPL, אם הוכנס "כל הזכויות שמורות" זה כבר דגל שאמור להחשיד. ככלל, ערכות עדיף ורצוי תמיד להוריד ממקורות בטוחים. רצוי תמיד לחפש את שם הערכה בגוגל, ברוב המקרים זה יוביל אתכם אל המקור. רצוי להוסיף שמאסטרגייט לא המציא את הגלגל, ראיתי קודים כאלה גם קודם באתרים אחרים ולפחות ערכה אחת שמצויה באתרו היא ערכה שבמקור הכילה קוד הגנה על זכויות יוצרים של המפתח – שהוסר והוחלף על ידי הקוד של מאסטרגייט.

הנוהג של השתלת לינקים על זכויות העברות הוא לא גם יחודי למאסטרגיט, ראיתי את זה במספר אתרים אחרים, מה שבטוח, כולם טוענים שהסרה של הקודים הן הפרה של זכויות היוצרים, רצוי לזכור שהתרגום נעשה מתוקף היות הערכה GPL ולכן, כחלק מהחוקים של GPL אין שום מניעה ואיסור וזו אף זכותכם המלאה להסיר את התוספות הללו מהקוד.

קריאה לפעולה
אם קניתם ערכה אצל אחת מחנויות הערכות הישראליות – אנא צרו איתי קשר למייל nitzanb (at) gmail.com – אני רוצה לבדוק עד כמה הנוהג הזה נפוץ ולעדכן.

עידכון – 16:10 – למרות שלמיטב ידיעתי האתר מסטרגייט שייך ליחיאל סימן טוב, הרי שעל פי רישום ה DNS הוא שייך כרגע לאדם אחר בשם ערן מיטל. אי לכך אין ביכולתי לדעת בוודאות באיזה תאריך בוצעה החלפת הבעלות ולכן אין ביכולתי לדעת האם הקוד הוא תורשה של יחיאל או תוספת של ערן.

זהירות ערכות בחינם מסוכנות – מאסטרגייט טימלנד

הפוסט זהירות ממאסטרגייט וטימלנד פורסם על ידי ~ניצן~ בבלוג המכללה

ככלי ראשוני להזנת תוכן ולהעמסת נפח הלורם איפסום ממלא את תפקידו לא רע בכלל, בטח יותר טוב מאותו "דג קטן שט בים" שמשוכפל בוורד אלפי פעמים כדי לייצר פיסקה. הבעיה היא, שאתרי אינטרנט אינם ספרים, והם מכילים הרבה יותר אלמנטים מרק פיסקאות של טקסט.

רק לפני מספר ימים ישבתי עם אדם שהגיש פרוייקט לזירת פרילאנסרים כזו או אחרת ולקח את ההצעה "המשתלמת ביותר" (כלומר הבחור שרצה הכי פחות). היות והמעצב השתמש רק בלורם איפסום כדי להזין טקסט אל תוך הסקיצות, הרי שאותו מפתח התיחס אך ורק לטקסט הזה וטרח לעצב רק אותו. כשאותו אדם התחיל להזין את התוכן האמיתי הוא גילה לצערו שיש לא מעט תיקונים שיש לעשות על מנת שהטקסט יוצג כמו שצריך. מישהו פעם שאל אותי מה ההבדל בין תוכניתן למפתח, אני חושב שהדוגמה הזו היא דוגמה מצויינת להבדל שכזה.

אז איזה אלמנטים יש לנו בטקסט?
פיסקאות – זה הקטע הבסיסי ולורם איפסום רגיל מטפל בזה
ציטטה – לציטטה יש טיפול דיפולטי שמוגדר בדפדפן עצמו, אבל הוא בסיסי למדי ולעיתים נרצה להתאים אותו
קוד – בלוק קוד הוא בעייתי בעיקר בעברית כי לרוב נרצה להשתמש בו כדי להציג טקסט באנגלית משמאל לימין, אך היות ומדובר באלמנט שמוצג inline ולא כ block זה אחד האלמנטים המתסכלים יותר לטיפול.
טבלאות – הרבה פעמים אני פוגש טבלאות נוראיות, ברמת המסגרת ותו לא, אבל טבלאות הן אלמנטים עם שלל תתי אלמנטים שדורשים לא מעט התיחסות. אני אקדיש לטבלאות פוסט בעתיד הקרוב.
רשימות – רשימות יכולות להיות ממוספרות או בתבליטים, אבל גם לתבליטים ניתן להגדיר שלל סוגים, צריך להתיחס כמובן גם לתתי רשימות וכן הלאה.
תמונות – כשמכניסים תמונה לפוסט בוורדפרס ניתן לבחור האם היא תוצמד לימין, לשמאל, למרכז או לא תוצמד כלל. אפשר להגדיר שיהיה לה כיתוב (caption) או שתהייה ללא – לכל אחת מההגדרות הללו, יש צורך בהגדרה עיצובית תואמת. דבר נוסף שיש לקחת בחשבון – הגדרת גבול לתמונה – פעמים רבות מתוך חוסר תשומת לב לא מבטלים את הגבול לתמונה וברגע שהיא קישור, בדפדפנים פחות מתקדמים, היא תוקף אוטומטית במסגרת כחולה.
לינק – ללינק עצמו יש 4 מצבים – רגיל, במעבר עכבר, בתגובה לקליק ולינק שכבר ביקרנו בו – הדיפולט, לרוב מכוער.
משקלים ונטיות – האם ידעתם שהגדרה של טקסט בערבית ככתב נטוי (italic) – תגרום לטקסט להופיע כריבועים? מסתבר שרוב הפונטים הערבים לא תומכים בכתב נטוי בערבית (ככל הנראה זה לא באמת קיים) ולכן הטקסט מוצג כריבועים המוכרים מבעיות קידוד. מי שלא לוקח דבר שכזה בחשבון, או לא מודע לנושא עלול למצוא עצמו מתוסכל למדי. אם אתם משתמשים בפונטים מוטמעים, תגלו פעמים רבות כי פונטים שכאלו אינם מכילים את כל סוגי המשקלים אלא מחולקים לפונטים נפרדים. כך יש פונט אחד עבור bold, פונט אחר עבור normal או italic וכדומה. אם לא לוקחים דברים שכאלה בחשבון בזמן בדיקות – התוצאה עלולה להתגלות מאוחר מדי.

אז מה הפיתרון?

הפיתרון הוא כמובן פוסט בדיקה שרצוי, מומלץ ואף חובה להתקין לפחות על שרת הבדיקות כדי לראות שכל האלמנטים הגרפיים מעוצבים כנדרש. לטובת העיניין אני מצרף פה שני קבצים – קובץ css המכיל את מירב הסלקטורים שיכולתי לחשוב עליהם וכדאי לקחת בחשבון. בנוסף, קובץ html המכיל תוכן של פוסט וורדפרס אותו יש לפרסם כפוסט חדש. חשוב לשים לב שאת הפירסום יש לבצע במצב HTML ולא במצב עורך עשיר. כמו כן, הקפידו לפתוח את קובץ הטקסט בעזרת תוכנה כדוגמת Notepad ולא Word שעלולה לזרוק זבל עיצובי משלה אל תוך הקוד.

שכחתי אלמנט כלשהו? יש לכם משהו להוסיף? בתגובות.

הפוסט איפסום חייב למות פורסם על ידי ~ניצן~ בבלוג המכללה

הציפיות השתנו מאדם לאדם, סרטוני קונספט מופרכים יותר ופחות הסתובבו ביוטיוב ומעל לכל המקהלה המגוחכת הזו ניצחה ה"תקשורת" עם שלל מאמרים שריכזו את שלל השמועות כאילו היו מקורות מידע מהימנים. האמת, שכל מי שמסתכל על ההתנהלות של אפל בשנים האחרונות היה אמור להבין שאין שום מצב שאפל תחשוף את האיפון 5, לא בשלב הזה. האיפון 4S הגיע כי זו הטקטיקה של אפל מאז האיפון הראשון, כי זה בדיוק הזמן בשבילו.

כשיצא האיפון הראשון, הוא נמכר עם תג מחיר של 500-600 דולר (8 – 4 ג'יגה), חודשיים לאחר ההשקה, כאשר הרגישה אפל שמיצתה את שוק המאמצים המוקדמים הורידה החברה את מחיר המכשיר ב 200$. הלקוחות שכבר קנו את המכשיר היו ממורמרים וכעסו (ובצדק) וסטיב אפילו טרח להתנצל והציע פיצוי של 100$ בחנות של אפל.

האיפון הראשון הוחלף על ידי האיפון השני שנקרא גם iPhone 3G. הסיפרה 3 לא הגיעה מהיותו השלישי אלא כציון על העובדה שבניגוד לאיפון הקודם שפעל על רשת ישנה, האיפון השני עובד על רשת ה 3g. עברה לה שנה נוספת והינה שוב כנס השקה. הפעם אפל הציגה את האיפון 3GS – אותו עיצוב, אותה ניראות, רק יותר מהיר.
האיפון הרביעי הוא אכן האיפון הרביעי בסידרה, אבל הוא גם הראשון שנשא מספר שמייצג את מספרו בתור. האיפון הראשון שווק כאיפון והכינוי "הראשון" הוצמד לו רק בדיעבד כאשר אפל הציגה את ממשיכיו. האיפון השני מעולם לא נקרא השני וגם השלישי שאכן נשא את הסיפרה 3 בשמו, עשה זאת רק כי הוא גירסה משודרגת של הדגם הקודם.

וכך, שנה לאחר מכן (למעשה שנה ושלושה חודשים) שוב טקס השקה ואם אחרי ה 3G בא ה 3GS הרי שאחרי ה 4 צריך לבוא ה 4S – הגירסה ה"מחוזקת" של האיפון הרביעי.

המחשבה הנפוצה היא שאפל מוציאה כל שנה דגם כדי שמעריציה המושבעים ישדרגו את הדגם שבידם, אבל למעשה, מלבד קומץ פנאטים בעלי כיס עמוק מספיק, לא כך הדברים מתנהלים. בארה"ב (בדומה לישראל) המכשירים נמכרים במחיר מסובסד אצל המפעילות ביחד עם חוזה לשנתיים. זה אומר שאנשים שקנו את האיפון 4 עדיין לא סיימו את החוזה שלהם, אבל אלו שעדיין מחזיקים במכשירי ה 3GS (והקומץ שעדיין מחזיק ב 3G) כבר מוכנים ומזומנים לרכוש מכשיר חדש של אפל.

איפון 4S פה לא כי באפל לא רוצים לעשות את האיפון 5 המהולל. איפון 4S פה כי יש עדיין נתח שוק פוטנציאלי ענק של אנשים שיקנו אותו כשלב עד שיצא האיפון 5. אפל יודעת שכשיצא האיפון 5 יבוא גל עצום של קונים, אבל רגע לפני שאלו מסתערים, למה לא, בדיוק כמו עם האיפון הראשון, לעשות קופה על אלה שעוד לא הבינו את זה?

אפל איכזבה? רק את מי שלא למד מלקחי העבר.

הפוסט iכזבה? לגמרי מהלך עיסקי פורסם על ידי ~ניצן~ בבלוג המכללה

כדי שפורץ יצליח להציג את העמוד שלו, צריכים להתקיים שני תנאים – הראשון, שהוא יוכל לשים קובץ אצלכם בתיקיה. השני – שהשרת ידע שהקובץ שלו צריך להיטען ראשון.

כאשר מנסים לגשת אל דומיין כלשהו, אך לא מגדירים שם קובץ, באופן אוטומטי המערכת מחפשת אחר קובץ בשם index עם סיומות רלוונטיות. כברירת המחדל, הקובץ הראשון אותו מחפש האפאצ'י הוא קובץ ה html ורק לאחריו קובץ ה php. כלומר, ברגע שמעלים קובץ index.html, אם השרת לא מוגדר נכון באופן אוטומטי הוא מקבל קדימות לקובץ ה PHP. כלומר כל מה שפורץ צריך לעשות זה להעלות קובץ index.html אל השרת ומעכשיו ועד שתסירו אותו – זה מה שיראו המבקרים שלכם.

איך אפשר למנוע את זה? הדרך הפשוטה והקלה היא להפנות באופן אוטומטי את כל הבקשות עבור index.html אל index.php בעזרת קובץ ניהול הגישה.

פותחים את קובץ ה .htaccess (נקודה בתחילת השם) ומוסיפים בראשו את השורות הבאות

RewriteEngine on
RewriteRule index\.html index.php [NC,R]

אם אתם משתמשים בלינקים יפים, השורה הראשונה כבר קיימת אצלכם ואין צורך להוסיף אותה שוב, פשוט הכניסו את השורה השניה מתחת לשורה הקיימת.

מעכשיו, כל מי שינסה לגשת אל קובץ ה index.html יועבר באופן אוטומטי אל index.php.

אבל איך הוא הגיע לשם?

הרבה אנשים חושבים שבשביל שמישהו יצליח להכניס להם קובץ לשרת, הוא צריך גישה ישירה אל החשבון שלהם (בד"כ את פרטי ה ftp). זו שגיאה נפוצה, ולמעשה, הפורץ לא צריך לדעת מה פרטי החשבון שלכם, הוא רק צריך גישה כלשהי לאחת התיקיות בשרת, אפילו של משתמשים אחרים. אם השרת לא אובטח כשורה והרשאות הקבצים לא עודכנו – הדרך להכניס קובץ index.html אל תיקיית השורש מצריכה לא יותר מאשר 15 שורות קוד, אולי אפילו פחות.

בעקבות הפוסט הקודם נתבקשתי להרחיב לגבי הרשאות הקבצים בלינוקס. דבר שלקחתי כברור מאליו (אני ורבים אחרים) והסתבר שיש לגביו חוסר בהירות רב. כפי שאמרתי בעבר, עבור וורדפרס (ואפליקציות php בכלל), הרשאות על כל הקבצים צריכות להיות 644 ועל כל התיקיות 755 – והנה ההסבר.

במחשבים בכלל, לכל קובץ יש שלושה מצבי גישה – קריאה, כתיבה, הרצה. בלינוקס מסמנים אותם בעזרת מספרים. כך למשל הסיפרה 4 מסמנת קריאה בלבד, הסיפרה 6 מסמנת קריאה וכתיבה והסיפרה 7 מסמנת קריאה, כתיבה והרצה.
בנוסף, מערכת ההרשאות של לינוקס מגדירה שלושה סוגי "מורשים". בעלים, קבוצה וכל השאר.
בעלים, הוא האדם שהקובץ הוא שלו. כך למשל, בתיקיית הבית אצלך בשרת, הקבצים מוגדרים שלך.
קבוצה לעומת זאת, פועלת בדיוק כמו שמה. כל האתרים המתאכסנים בשרת שייכים לקבוצת "אתרים" (המצאתי שם) ואל הקבוצה הזו שייך גם התהליך של האפאצ'י – שתפקידו להריץ את האתר.
לבסוף – כל השאר – זה כל האנשים שאין להם התיחסות מפורשת אל הקובץ. כך למשל, באיחסון שיתופי, האנשים שמאכסנים את האתר ביחד איתך על אותו השרת, מבחינת השרת הם "אחרים".

הערה: גם לחלונות אגב יש מערכת הרשאות קבצים לפי קבוצות אבל היא פועלת בצורה קצת שונה.

מה אומרת הרשאה 644 למעשה?
היא אומרת שלך, ולך בלבד, יש הרשאות קריאה וכתיבה אל הקובץ, לקבוצת השרת יש הרשאות קריאה בלבד וכך גם ל"כל השאר".

אם הקבצים שלך מוגדרים לצורך העיניין 664 זה אומר שלקבוצת השרת יש הרשאת כתיבה. מפתח זדוני, יכול לכתוב סקריפט PHP פשוט שיגש אל תיקיות אשר כמשתמש אין לו הרשאות כתיבה אליהן וינסה לכתוב אל הקבצים. מי שמריץ את הקובץ הוא לא הפורץ אלא השרת ואם הקובץ מוגדר 664 הרי שהכתיבה אל הקובץ והוא יפרץ. אם הקובץ מוגדר 644 אזי הכתיבה תיכשל והפריצה נכשלה.

אותו הדבר לגבי תיקיות. הסיפרה 7 אומרת שיש לאותו משתמש גישה מלאה אל התיקיה – כלומר שהוא יכול לכתוב פנימה קבצים. אם תיקיית השורש שלך מוגדרת 777 (טעות מאוד נפוצה ומאוד מסוכנת שנגרמת פעמים רבות בגלל יאוש של משתמשים שלא מבינים את נושא מערכות ההרשאות) או 775 (גם נפוץ, מסוכן לא פחות) זה אומר שלקבוצת השרת יש הרשאה לכתוב קבצים אל התיקיה.

נחזור אל הדוגמא לעיל – כתיבה לתיקיה. כתבתי סקריפט שמחפש תיקיות שורש ומנסה להכניס אליהן קובץ Index.html

אם הקובץ קיים ואין לו הרשאת כתיבה – נכשלתי ואעבור לשרת הבא
אם הקובץ קיים ויש לו הרשאת כתיבה – הצלחתי, פרצתי והמשכתי.
אם הקובץ לא קיים ויש לי הרשאת כתיבה לתיקיה (775 או 777) – הצלחתי – יצרתי את הקובץ
אם הקובץ לא קיים ואין לי הרשאות כתיבה לתיקיה (755) – נכשלתי, הבא.

איך משנים? תלוי בתוכנת ה Ftp איתה אתם עובדים, ב filezilla למשל, יש ללחוץ קליק ימני על קובץ או תיקיה ולבחור ב file permission, בתפריט שיפתח יש לסמן את ההרשאות הרלוונטיות ולאשר. אם אתם מסמנים תיקיה, תיתווסף גם האפשרות להחיל את ההרשאות על הקבצים שבתוכן ועל תתי תיקיות.

הפוסט פריצה לאתר והרשאות קבצים פורסם על ידי ~ניצן~ בבלוג המכללה

הערה: המאמר הזה מכיל דוגמאות חיות להתנסות בתוכו. אם אתם קוראים אותו מתוך קורא RSS או בתוך פייסבוק, כל החלק הכיפי לא יעבוד ואני ממליץ ללחוץ כאן כדי לקרוא את המאמר בצורה מהנה יותר.

את תגית ה contenteditable פשוט מוסיפים לאלמנט ביחד עם הערך true. כך למשל קוד ה html הבא:

<p contenteditable="true">הנה תראו, לחצו על הטקסט הזה ושנו אותו</p>

יניב את התוצאה הזו:

הנה תראו, לחצו על הטקסט הזה ושנו אותו

כמובן, שאנחנו לא מוגבלים רק לפסקאות (אגב, מי שיציץ לקוד אחרי שהוא יזין טקסט יגלה שאם הוא ניסה להוסיף פסקאות בתוך הפיסקה הוא יקבל div כדי להפריד בין בלוקי הטקסט) ולמרבה השמחה את התגית הזו ניתן להחיל על כל אלמנט HTML. כך למשל, אפשר לטפל ברשימה:

<ul class="testzone" contenteditable="true">
	<li>אלמנט ראשון</li>
	<li>השתמשו באנטר כדי להוסיף אלמנטים</li>
</ul>

• אלמנט ראשון
• השתמשו באנטר כדי להוסיף אלמנטים

התגית contenteditable היא תגית מורישה, זה אומר שאם נרצה להכיל מצב עריכה על מאמר מלא במקום להוסיף לכל אלמנט p (פיסקה) את התגית הרלוונטית, אפשר יהיה להוסיף את התגית הזו פעם אחת באלמנט העוטף את כל המאמר ובכך לאפשר עריכה של הטקסט בתוכו.

<div class="testzone" contenteditable="true">
	<p>הנה איזור המשחקים אפשר להוסיף פה פסקאות ללא גבול בעזרת אנטר</p>		
</div>

לרוע המזל, אם תרעננו את העמוד כרגע, כל התוכן שהזנתם אל תוך איזורי העריכה יעלם והתוכן המקורי שלי יופיע. התגית contenteditable כשלעצמה, לא מספיקה כדי לשמור מידע ואנחנו זקוקים לקצת מקסמי הג'אווהסקריפט כדי לחולל את הקסמים האמיתיים.

ישומים פרקטיים

כדי שהמידע ישמר אנחנו צריכים מקום לשמור אותו, זה יכול להעשות באתר עצמו, בצד השרת או על המחשב של המשתמש – בצד הלקוח. ההבדל הוא כמובן שאם נשמור את המידע בצד השרת כל שינוי יופיע עבור כלל המשתמשים בעוד שאם נשמור את המידע בצד לקוח הוא זמין רק למשתמש המקומי.

במשך תקופה מאוד ארוכה חיפשתי ישום משימות שיאפשר לי לייצר איזושהי רשימת משימות יומית. איכשהו, בסופו של יום אני תמיד חוזר אל המחברת והעט, עדי לעומת זאת פשוט מחזיקה מסמך וורד שאותו היא מעדכנת. אבל, הנה דוגמא מצוינת ליישום משימות קטן מבוסס דפדפן שיאפשר לכם להוסיף לעצמכם משימות ולמחוק אותן. אפשר להרחיב אותו בלי סוף כמובן אבל אני אשאר פה עם המינימום.

לצורך שמירת הנתונים, אני אשתמש בזיכרון של הדפדפן בעזרת מנגנון ה localStorage, המנגנון הזה נתמך באקספלורר 8 ומעלה, בפיירפוקס 3.5 ומעלה ובכרום / ספארי מגירסה 4 ומעלה. לגירסאות קודמות יותר, יש כלים שונים ומי שמעוניין לשבור את הראש על תאימות אחורה ברכותי.

לצורך הדוגמא ניצור מסמך html חדש שמכיל אך ורק אובייקט ol (רשימה ממוספרת) ונכניס לתוכו שני אלמנטים התחלתיים.

<ol id="tasks" contenteditable="true" onblur="savedata()">
	<li>משימה ראשונה</li>
	<li>משימה שניה</li>
</ol>

כפי שניתן לראות, שייכתי פונקציה בשם savedata לאירוע blur – שזה אירוע שבו הפוקוס עוזב את האלמנט – למשל, ברגע שהקלקנו עם העכבר אל מחוץ לאיזור העריכה או לחצנו על כפתור ה tab.

var tasks = document.getElementById('tasks');
function savedata() {		
  localStorage.setItem('mytasks', tasks.innerHTML);	 
}; 
if (localStorage.getItem('mytasks')) {
 tasks.innerHTML = localStorage.getItem('mytasks');
}

השורה הראשונה, מגדירה את האלמנט לו אנחנו מאזינים. קרוב לוודאי שבאפליקציה אמיתית נשתמש בספריה כגון jQuery ואז נוכל לחסוך את המשתנה הזה, מצד שני, נוכל גם לחסוך את ה onblur בתוך הקוד. כאמור, ניסיתי להישמר פה למינימום הנדרש.
ישר לאחר הגדרת המשתנה נמצאת הפונקציה savedata שאחראית על השמירה. כל מה שהפונקציה הזו עושה היא לשמור את קוד ה html הפנימי של הרשימה אל תוך משתנה בשם mytasks במנגנון ה localStorage של הדפדפן.
בנוסף לפונקציה והגדרת המשתנה, יש לנו גם בדיקה שרצה בזמן הטעינה של העמוד. הבדיקה הזו מחפשת את mytasks במנגנון ה localStorage ואם היא מוצאת אותו, היא מעדכנת את התוכן של האובייקט.

היתרון הגדול פה – גם אם סגרתם את הדפדפן בטעות, או ריעננתם את העמוד, התוכן האחרון שהזנתם הוא תמיד התוכן שיוצג.

אפשר לשחק עם דוגמה פעילה כאן, וכמובן הנה הקוד המלא:

<!DOCTYPE>
<html>
<head>
	<title>Tasks</title>	
</head>
<body>
	<ol id="tasks" contenteditable="true" onblur="savedata()">
		<li>משימה ראשונה</li>
		<li>משימה שניה</li>
	</ol>
	<script>	
		var tasks = document.getElementById('tasks');
		function savedata() {		
		  localStorage.setItem('mytasks', tasks.innerHTML);	 
		}; 
		if (localStorage.getItem('mytasks')) {
		 tasks.innerHTML = localStorage.getItem('mytasks');
		}
	</script>	
</body>
</html>

כאמור, המידע נשמר על הדפדפן וזה אומר שאם תיכנסו אל הישום מדפדפן אחר או תמחקו את נתוני הגלישה שלכם המידע הזה יאבד ואתם תקבלו את הרשימה המקורית. כמו כן, היות ומדובר במידע שיושב בדפדפן שלכם, כמובן שאיש לא יוכל לראותו.

אבל מה קורה אם אנחנו כן רוצים לשמור את המידע הזה על שרת מרוחק? במקרה שכזה, נזדקק גם ל ajax על מנת לעדכן את המידע על השרת. את התוכן של savedata מהדוגמא הקודמת נחליף בשליחת מידע באמצעות post אל קובץ php שיושב על השרת שלנו. קובץ ה php יחזיק את הפונקציונאליות הרצויה (שמירה למסד נתונים, שמירה לקובץ טקסט, החלפת מילים או כל דבר אחר שתרצו). בנוסף, קובץ האפליקציה כבר לא יוכל להיות עמוד html פשוט כפי שהיה בדוגמא הקודמת ונזדקק לקובץ php שידע למשוך את המידע שאוכסן על השרת.

מה אפשר לעשות עם זה? החל ממערכת ניהול משימות מתוחכמת יותר (כך נוכל לגשת אליה מהמחשב, מהסלולר ומהנייד) דרך תיקון שגיאת כתיב בכתבה ב ynet (על ידי עורך כמובן) וכלה במערכת ניהול תוכן שלא מכילה אדמין וכל העריכה מתבצעת על התוכן החי.

אזהרה
חשוב לקחת בחשבון (וזו בדיוק הסיבה שבגינה לא העלתי דוגמא חיה לשרת כרגע) שברגע שאנחנו נותנים למשתמש אפשרות לכתוב מידע אל השרת אנחנו לוקחים סיכון. אם אנחנו כותבים מידע אל מסד הנתונים ואנחנו לא בודקים את הקלט מסד הנתונים יכול ליפול קורבן לידיים זדוניות. אם מתבצעת כתיבה אל קובץ בשרת, הרי שמפתח זדוני יוכל להשיג בקלות גישה אל קבצים אחרים בתיקיה ולגרום לנזק. בקיצור – למרות שאפשר להשתמש בישום שכזה, מומלץ לבדוק טוב טוב את הקלט על מנת להימנע מטעויות יקרות.

הפוסט תגית contenteditable – ישומים פרקטיים פורסם על ידי ~ניצן~ בבלוג המכללה

דרישות.
אין פה מערכת נדרשת, רק המלצות. בעיקרון הדרישה היא מחשב, סטרימר ורשת ביתית – וביננו, למי אין היום את אלה? את המדריך אני כותב על בסיס חלונות 7, מי שעדיין משתמש ב XP עלול לגלות שהוא צריך לחפש קצת אחר המידע במקומות אחרים. על משתמשי לינוקס אני סומך שהם כבר יסתדרו בעצמם.

סטרימר – אני מניח שאפשר לקנות איזה סטרימר זול דרך דילאקסטרים או אחד מהאתרים הסינים החשיבות היחידה – שיהיה לסטרימר חיבור רשת פעיל. גם ברשתות הצרכנות השונות יש לא מעט סטרימרים זולים ופשוטים. אישית, מתוך הניסיון שלי, אני ממליץ על האקסטרימר סיידווינדר. מדובר בסטרימר שהוא טיפה יקר (כיום בסביבות ה 700 שקלים ללא כונן קשיח, תוספת של כונן קשיח תעלה לכם עוד כמה גרושים). אין חובה להשתמש באופציה של הכונן הקשיח, אבל מהניסיון שלי, בהחלט מומלץ שכן למרות שאין שום בעיה להגדיר את התיקיה במחשב כתיקיה משותפת ולגשת אליה דרך הרשת הרי שאם אתם מעדיפים תוכן HD תגלו שהרשת לא תמיד עומדת בקצב.
למי שיש קצת יותר כסף הייתי ממליץ להזמין את האקסטרימר אולטרא – פה כבר מדובר במחשב לכל דבר והמחיר בהתאם. במכירה מוקדמת ברשת באג הוא עולה כ 1400 שקלים, בחו"ל תוכלו לרכוש אותו בכ 1200 שקלים.
כך או כך, מדובר בהשקעה כספית ראשונית לא קטנה, אבל אם אתם עושים את הצעד הזה ביחד עם התנתקות מהוט/יס הרי שההשקעה הזו היא לא נוראית.

תוכנה – אני אסביר את השימוש בעזרת Vuse – בעיקר כי זו התוכנה שאני מכיר ועובד איתה, אבל גם בגלל שהיא כתובה ב JAVA ולכן יודעת לרוץ על כל מערכות ההפעלה. חוץ מזה, מלבד היותה תוכנת ביטורנט מעולה, יש לה שלל יתרונות כמרכז מדיה בפני עצמו, ומשתמשי חלונות או מק יגלו שלל פיצ'רים נוספים שלא קיימים בגירסת הלינוקס, אבל אם יש לכם אקסבוקס או פלייסטיישן 3 או אפילו איפאד, בוודאי תגלו שאתם יכולים להשתמש בפיצ'ר הזרמת מדיה ולהפסיק לקרוא כאן.

התקנה והגדרה

שלב א – הגדרות

אם המחשב שלכם מריץ חלונות 7 והרשת הביתית שלכם מוגדרת נכון, אחרי שתחברו את הסטרימר לרשת ותלחצו על Computer (מה שהיה פעם "המחשב שלי") תגלו בעמודה הצידית את רשימת המכשירים ברשת. בין כל המחשבים אמור להופיע גם הסטרימר שלכם. אחרי שתקישו עליו פעמיים, אמור הסטרימר להופיע בתצוגה הראשית שלכם. בשלב הזה אתם יכולים להציץ לו בכונן אבל מה שאנחנו באמת צריכים לעשות זה למפות אותו ככונן רשת תחת המחשב שלנו. לצורך כך לוחצים על הסטרימר קליק ימני ובוחרים ב"מיפוי כונן רשת" (Map network drive). בחרו אות לכונן וסמנו את תיבת הסימון תחת "Reconnect at logon".

אם עדיין לא הורדתם והתקנתם את Vuse עכשיו זה זמן טוב. בסוף ההתקנה דאגו להגדיר את הפורטים הרלוונטיים בתוכנה ובראוטר שלכם על מנת לנצל את כל פוטנציאל ההורדה.
השלב הבא יהיה להגדיר את מיקומי שמירת הקבצים. הטעות המתבקשת יהיה לשמור את הקבצים אל כונן הרשת החדש שלנו, אבל זו כאמור טעות. בצורת הגדרה שכזו, ברגע שהמחשב יתחיל להוריד קובץ הוא יעמיס, בנוסף לתעבורת ההורדה, גם תעבורה פנימית ברשת בין המחשב לבין הסטרימר. יש לזה פוטנציאל להאט את תעבורת הרשת הביתית שלכם כמו גם להשפיע על מהירות ההורדה שאתם מקבלים. לכן, לאחר שתגדירו ספריה מקומית תחת קבצים (files) בפאנל ההגדרות ( תחת tools->settings או לחיצה משולבת על מקש קונטרול ביחד עם פסיק) גשו אל files -> Completion moving.
האפשרות הזו מאפשרת לנו להגדיר לתוכנה תיקית יעד אליה היא תעביר את הקבצים בתום ההורדה. בשלב הזה נגדיר את היעד ככונן הרשת שהגדרנו (הסטרימר) בשלב הקודם.

שלב ב – אוטומציה

כמו מספר תוכנות ביטורנט נוספות, גם Vuse יודעת לעבוד עם מנוי RSS. הטכניקה הזו מאפשרת לנו לספק קישור לתוכנה והיא בתורה תעשה בדיקה אחת לתקופה האם יש עידכונים עבור התוכן האהוב עלינו. אם יש עדכון, התוכנה תדע למשוך אותו ולהציג אותו. אותנו פחות מעניין להציג אותו ויותר מעניין שההורדה תתצבע אוטומטית, אבל הרעיון זהה.

יש מספר אתרים שמספקים זרם RSS עבור סדרות, אישית אני הכי אוהב את EzRss הפשוטה והנוחה. כל שיש לעשות זה להקליד את שם התוכנית הרצויה ולקבל את המידע. לצורך הדוגמא, בחרתי את Doctor Who וקיבלתי את הפיד הזה. ברמת העיקרון, EzRss מאפשרים להפעיל כל מיני פילטרים על הפיד ולקבל פיד מצומצם וממוין, הבעיה היא שלעיתים השרתים שלהם מחזירים הודעות שגיאה עבור הפידים הללו ולכן עדיף להוריד את הפיד המלא.

בבר השמאלי של Vuse נמצאים מספר קיצורי דרך, אחד מהם הוא ה Subscriptions המרכז את זרמי העידכונים אליהם נרשמתם. אם תלחצו על כפתור ה + שמופיע לידו יפתח המסך הבא (אם המסך אצלכם נראה שונה, חפשו את כפתור ה Create new subscription בפינה השמאלית תחתונה – הוא יופיע במקום הכפתור Available subscriptions בתמונה):

אל תוך תיבת הטקסט נדביק את קישור ה RSS שקיבלנו מ EzRss ולאחר קריאה קצרה יוצג בפנינו מסך ההגדרות של הפיד שיאפשר לנו לבצע שלל חיתוכים כדי לוודא תוכן איכותי.

היות והתוכנה אמורה לרוץ כל הזמן ברקע יש פה פוטנציאל לשתיית רוחב פס אדיר. אם לא תטרחו להיכנס אחת לתקופה ולהסיר את הטורנטים הרצים הרי שהם ימשיכו להעלות תוכן כל הזמן. היות וככל הנראה אתם תגבילו את נפח ההעלאה שלכם מצב שכזה עלול לגרום לכך שתוענשו בקצב ההורדה שלכם. לכן, מומלץ להתקין את התוסף Auto Stopper שמאפשר להגדיר יחס הורדה מקסימלי שברגע שתגיעו אליו הטורנט יוסר מרשימת ההורדות שלכם. נכון, התוסף הזה לא יאפשר לכם להגדיר יחס קטן מ 1 (מגה העלאה על כל מגה הורדה) אבל כשחושבים על זה, ככל שיש יותר משתפים מישראל, כך קצב ההורדה שלכם יגדל – זה רק הוגן.

צפיה
זהו, מעכשיו כאמור Vuse תרוץ ברקע ותוריד את הסדרות האהובות שלכם באופן אוטומטי לחלוטין. כשהיא תסיים, היא תעביר את הפרקים הללו ישירות אל תוך הסטרימר שלכם, שוב, באופן אוטומטי לחלוטין. כל שעליכם לעשות הוא לזכור את הימים שבהם הסידרה האהובה עליכם מוקרנת בארץ המקור, רוב הסיכויים שביום המחרת התוכן כבר ישב בסטרימר שלכם ואתם תצטרכו רק ללחוץ על play בשלט.

הערות
אני צופה בסדרות באנגלית ללא כתוביות, לרוב, אין לי בעיה עם אנגלית ואני מסתדר. אבל, אני מניח שלא כולם ככה ויש אנשים שכן זקוקים לכתוביות. לכן אני ממליץ לוודא שהסטרימר שלכם תומך בקבצי כתוביות חיצוניים. לרוע המזל, לפחות עד שיקום פה אתר טורנטים עברי שיכיל גם קבצי תרגום ביחד עם קבצי הוידאו, תאלצו לבצע את ההורדה הזו ידנית.

לסיכום
זהו, יש פה תהליך התקנה ראשוני לא ארוך במיוחד שיאפשר לכם להפוך סטרימר בסיסי לסוג של ממיר שמציג את התוכניות האהובות עליכם. אתם כבר לא תלויים בשאלה האם הספק X ירכוש את סידרה Y ואם אתם מאלה ששוקלים לעזוב לחלוטין את ספק הטלוויזיה שלכם, זה עלול להיות פיתרון מצויין עבורכם.

אישית, אני חושב שיש פה מקום לשירות פרימיום בתשלום, אני מניח שאם היה ערוץ הפצה חוקי שמספק תוכן שכזה בתשלום באופן מוסדר הייתי עושה מנוי, אבל זה לא יקרה כל זמן שיש נושאים כמו "זכויות הפצה". אולי אם יותר ויותר אנשים יתחילו לאמץ את המודל הזה, למישהו באולפנים יפול האסימון. נכון שרוב הסיכויים שהתוכן בסופו ידלוף אל רשתות השיתוף, אבל הוא שם במילא – אז למה לא להרוויח עליו קצת כסף.

הפוסט מנוי RSS לטלוויזיה שלכם פורסם על ידי ~ניצן~ בבלוג המכללה

המסך הראשי הוא דווקא פשוט מגניב ונוח – בחר כמה אנשים מעוניינים להזמין וקבל את המבצעים הרלוונטיים עבורך. כשבחרנו קבוצה של 3-5 אנשים קיבלנו אפשרות לבחור בין שני מבצעים. המבצע שנבחר, הוא סוג של אסון ניסוחי – שתי פיצות + 2 תוספות + לחם שום + שתיה. זה חטא שגם דומינוס עושים – שכן אף פעם לא ברור האם 2 תוספות מתיחס לפיצה או להזמנה. ההבדל הוא בין 2 פיצות עם 2 תוספות כ"א או 2 פיצות וסה"כ 2 תוספות.

האתר של דומינוס אומנם חוטא באותו ניסוח, אבל באתר שלהם, ברגע שתחרגו מכמות התוספות המותרת תופיע התראה כי אתם חורגים ממספר התוספות שבמבצע ותאלצו לשלם על ההפרש. באתר של פיצה האט לעומת זאת, זה לא קרה. המשכנו להוסיף תוספות ולא קיבלנו כל התרעה לגבי חריגה מהכמות המותרת.

בצד שמאל של המסך ניתן לראות את מצב ההזמנה, אך בניגוד לאתר דומינוס בו סטטוס ההזמנה מתעדכן בזמן אמת ומאפשר אינטראקציה בזמן ההזמנה (למשל, להסיר תוספת מפיצה שכבר הזמנת) הרי שבפיצה האט הסיכום מופיע רק בסוף תהליך המבצע. כלומר, רק אחרי שסיימנו להרכיב את שתי הפיצות שלנו, ורק אחרי שבחרנו לחם שום וקולה – התעדכן המסך להציג את המחיר הסופי.

המסקנה – 2 תוספות לכל פיצה שהם בסה"כ 4 תוספות למבצע – מעבר לזה, תחויבו ב 10 שקלים לכל תוספת. אבל – אם תחליטו למקם 4 תוספות על פיצה אחת ולהזמין את הפיצה השניה בלי תוספות, תגלו שזה בלתי אפשרי. אתם תקבלו 2 תוספות בחינם ותוסיפו עוד 20 שקלים להזמנה על שתי תוספות נוספות.

החלפת סניף? נפל הסשן.

הנה הודעה מעניינת – “הסניף שבחרת שונה מהסניף שהתחלת בו. לחיצת המשך תגרום לאיפוס הזמנתך".
איך זה קרה? בשלב הראשון בחרנו באיסוף עצמי. ביצענו הזמנה דרך האתר ואז לחצנו על שינוי כדי לבחור סניף אחר. כאשר מאשרים את ההודעה אכן נמחקת ההזמנה ועולה השאלה מדוע? האם כל ההליך מבוצע ישירות אל מול שרתים שיושבים בסניפים הרלוונטיים? אם כל ההזמנה גם ככה מבוצעת אל מול השרת הראשי שמפנה אותה לסניף הרלוונטי רק בסוף התהליך (כמו שהגיוני שיקרה) איזו סיבה יש לבטל את ההזמנה בגלל בחירה בסניף אחר?
אגב, אם תבחרו במשלוח למשל, תגדירו כתובת בעיר אחת ולאחר מכן, באמצע ההזמנה תבחרו להזמין לכתובת בעיר אחרת, ההזמנה תישמר ותוכלו להמשיך מהמקום בו הפסקתם.

הודעות שלא אומרות דבר

"הפרטים שנרמו אינם תקנים או חסרים, אנא נסה שנית!” הכריז לי חלון קופץ של שגיאת מערכת בשלב זה או אחר. נתעלם לרגע משגיאת הכתיב המביכה וננסה להבין מה בדיוק הבעיה. אינם תקינים או חסרים – האם הכוונה לאין במלאי או שאולי לא מילאתי פרט כלשה? לא תקין מאיזו בחינה? השתמשתי רק בקלט שאתם סיפקתם – איך יכול להיות שהקלט לא חוקי? לא ברור.

איפה אתה גר?

הרעיון שמאחורי מילוי הכתובת הוא חביב. תתחיל לכתוב בשדה הטקסט, אנחנו נספק לך השלמה אוטומטית של כתובות רלוונטיות. הפרטים נמשכים מהשרת בעזרת אג'אקס ואם החיבור שלכם טיפה איטי והעיר שלכם קצרה אתם צפויים לחוויה מעניינת.
הטופס עלה, כתבתי חיפה ולחצתי על הטאב. התחלתי לכתוב את שם הרחוב ובכל פעם שהפוקוס עבר לתיבה הבאה – הטקס בתיבת הרחוב נמחק. מדוע? כי היות ולא ביצעתי אירוע של בחירה מרשימה, כפי שהמתכנתים רצו, המערכת לא יודעת שאני בחיפה ולכן היא לא יודעת להגיש לי את שמות הרחובות של העיר הרלוונטית. העסק היה יכול להיפטר בקלות אם הייתה מתבצעת בדיקה על הערך הרשום בשדה העיר ברגע עזיבת הפוקוס, אבל זה לא נעשה ורשימת הרחובות לא נטענת. יתר על כן, אם אתם משתמשים בכרום למשל, ברגע שתתחילו לרשום את שם העיר שלכם ישום הטפסים המובנה (בהנחה ואתם משתמשים בו) יציע לכם את ההשלמה האוטומטית שלו, שכמובן – דורסת את ההשלמה האוטומטית של האתר – בקיצור – תענוג.

רשומים? אז תרשמו.

צלחתם בשלום את תהליך ההזמנה? כל הכבוד, עכשיו, כדי שתוכלו לשלם ולהזמין אתם צריכים להרשם באתר שלנו המערכת מספיק חכמה כדי לזכור את הכתובת אליה בחרתם להזמין ולמלא אותה בתוך השדות הרלוונטיים. אבל מה אם אתם גרים בחיפה אבל מזמינים למשרד ברמת גן? ובכן, השדות הללו נעולים ואינכם יכולים לעדכן את התוכן שלהם.
אגב, אחרי תהליך הרשמה מפרך שלא הוביל לשום מקום, החלטנו לעבור למחשב של מישהו אחר שהוא כבר משתמש קיים. הדפדפן שלו, אפילו זכר את שם המשתמש ואת הסיסמא – סיסמא שבאתר החדש הוחלט שלא לקבל ונאלצנו לעבור תהליך של שיחזור סיסמא.

טפסים, מידע ובדיקת קלט

מסך הרישום נראה די פשוט וטרוויאלי, תזינו את הפרטים ותלחצו על השלח. רק שכפתור השליחה, מסיבות לא ברורות – פשוט לא עובד. ההנחה, שהכפתור אחראי לבצע מספר אימותי קלט על השדות ופשוט מסיבה כזו או אחרת – נכשל. אם רק היה קופץ בשלב הזה איזשהו פופאפ שמכריז היכן התקלות ומה עלי לתקן, דיינו. אבל לא קפץ ואני פשוט לחצתי שוב ושוב על הכפתור בלי שום אינדיקציה שקורה משהו. אגב, אם כבר מגדירים כפתור, אפשר, רצוי וצריך להשתמש בתגיות ה css המיועדות למעבר עכבר (hover) וללחיצה (active). ככה המשתמש לפחות מקבל חיווי על העובדה שהוא לחץ (גם אם לא קורה כלום). אגב, תסמונת הכפתור שלא מחזיר פידבק מלווה את האתר לכל אורכו.

כמו כל מפתח טוב, ניסיתי לעקוף את השלב הזה על ידי פתיחת הקונסולה של הדפדפן וביצוע submit על הטופס דרך שורת הפקודה. הטופס נשלח אכן אבל אז התגלתה הזוועה במלוא מערומיה. רצה המזל והמשרד שלנו ממוקם ברחוב ז'בוטינסקי. כן, יש גרש בשם הרחוב שלנו. מה אפשר לעשות בנידון? לא מכיר את ASP אבל ב PHP יש מספר פונקציות שמטהרות מחרוזות מקלט לא תקין, במיוחד לפני פניה אל מסד הנתונים. אני די משוכנע שב ASP קיימות פונקציות דומות, אבל למה להשקיע אם אפשר פשוט לזרוק הודעת שגיאה:

וכמו הסיפור הידוע על בובי מפיל השולחנות, מזל ששמו של הרחוב שלנו הוא לא sql dump. אגב, הקטע הכי עצוב בכל הסיפור הוא ששם הרחוב, על הגרש שבו, מגיע מתוך מסד הנתונים של שמות הרחובות של פיצה האט בתחילת התהליך.

אז נכון, אני מניח שלא הייתי אמור להגיע למסך הזה, וקרוב לוודאי שהג'אווהסקריפט במסך ההרשמה היה אמור (מקווה לפחות) לבצע ניקוי וטיהור של שדות הטקסט אבל:
א. הוא לא עשה, הוא פשוט נתקע.
ב. בהתחשב בהיסטוריה העגומה של פיצה האט עם זליגת הסיסמאות לפורום התורכי (ביחד עם הסיסמאות של הומלס) – הייתי מצפה שבדיקות כאלה יבוצעו לא רק בצד המשתמש אלא גם בצד השרת.

לסיכום

כשמרימים אתר שתפקידו לאפשר הזמנה דרך האינטרנט – טעויות פירושן כסף, ולא מעט. בעיקר, כי כל המטרה של האתר היא להפחית את כמות הפניות הטלפוניות ובכך לאפשר בין היתר, גם קיצוץ במשרות של טלפניות. במקום זה, אנשים רבים יגלו שהם מסתבכים וילחצו על כפתור ה"זקוקים לעזרה, לחצו ונתקשר אליכם" – מצב שבו הרשת צריכה ליזום שיחה למשתמש, לרוב אל מכשיר סלולר.

שנית, אם משתמש לא מסוגל לבצע הזמנה בגלל שהוא לא יכול להמשיך את תהליך הרישום, קרוב לוודאי שהוא יתיאש ויעבור לאתר של המתחרים. בהתחשב בעובדה שהאתר של דומינוס הוא הרבה יותר ידידותי, יש פה פוטנציאל אובדן. יתרה מזאת, לקוח שנכווה בעבר עלול לא לחזור בעתיד עקב הניסיון העגום.

הפוסט ככה לא מכינים פיצה פורסם על ידי ~ניצן~ בבלוג המכללה

נתחיל מההצהרה החשובה ביותר – אף מנעול אינו חסין בפני פריצות, ואם מישהו רוצה להשיג גישה אל החשבון הספציפי שלכם מן הסתם הוא יצליח לעשות את זה. מצד שני, אם לא מדובר בפריצה איכותית (קורבן שסומן מראש, מתוך מטרה) אלא במשתמש שמנסה להשיג גישה לחשבונות כדי לייצר נזק אפשר להקשות עליו עד מאוד. שימוש במספר כלים בסיסיים יאפשר לכם להגביר את רמת האבטחה על החשבון שלכם ולהקטין את הסיכוי בפריצה.

סיסמאות
אחרי שדלף קובץ הסיסמאות של אתר הומלס / פיצה האט לפורומים התורכיים פירסם רן פוסט עם 208 הסיסמאות הנפוצות ביותר בישראל. באופן לא מפתיע בכלל, רוב רובן של הסיסמאות היה 123456, שזה יותר טוב מ 1234 בלבד – הסיסמא העוקבת מבחינת כמות השימושים.
אז נכון שבפעם הקודמת שדיברתי על אבטחת מידע הסברתי שלא מספיק לדעת את הסיסמא אלא צריך גם את כתובת המייל, אבל כאמור, ברשת מסתובבת רשימה ארוכה של כתובות מייל ישראליות, ואני מוכן להמר שרוב המשתמשים ב 123456 עברו לסיסמאות נבונות וחכמות כגון 654321 או 456789. סיסמא חזקה צריכה להכיל שילוב של מספרים ואותיות, אפשר (ורצוי) אפילו סימנים. צריכים סיסמא חזקה אתם יכולים לנסות את מחולל הסיסמאות הזה.

מחשב מאומת
לפני זמן מה, התעורר בי חשד שמישהו השיג גישה אל חשבון הפייסבוק שלי והחלפתי בו את הסיסמא. הבעיה עם סיסמאות חדשות, זה שלוקח זמן עד שאנחנו מתרגלים שהחלפנו וממשיכים להקליד את הישנה. באופן מפתיע, בכל פעם שהקלדתי את הסיסמא הישנה על המחשב הספציפי ההוא, במקום לקבל את ההודעה הג'נרית על סיסמא שגויה קיבלתי הודעה שמסבירה לי שלא מזמן החלפתי את הסיסמא בדיוק על המחשב הזה.

לא מזמן, התקנתי את האפליקציה של סטים על הלפטופ שלי. כשניסיתי להתחבר סטים הודיעה לי שמדובר במחשב שהיא לא מכירה ולכן היא רוצה לעשות ואלידציה למחשב. הייתי צריך לעבור תהליך אימות של החשבון שלי שכלל שליחה של קוד סודי אל תיבת הדואר שלי. ככל הנראה מתוך הנחה שגם אם מישהו השיג את חשבון הסטים שלך, הוא לא מחזיק גם בתיבת הדוא"ל שלך.

המנגנון הזה של לזהות מחשב ספציפי מוסיף רובד נוסף של אבטחה ומאפשר לחברה לקבל אינדיקציה כאשר מישהו מנסה לגשת לחשבון ממחשב לא מוכר. בג'ימייל, יש רישום של פעולות אחרונות על בסיס כתובת ה IP של המשתמש ואם תיכנסו לרשימה תוכלו לראות אם יש שם כתובת IP שנראית לכם חשודה.
בפייסבוק, הלכו שלב אחד קדימה והכניסו את מנגנון אימות המחשבים אל תוך מערך האבטחה הזמין למשתמש. כך למשל,ניתן להגדיר לפייסבוק שתעדכן אתכם בכל פעם שנעשה שימוש במחשב שאינו מוכר לה. העידכון יכול להגיע בדמות הודעת מייל או SMS (בתנאי שתסכימו לתת לפיסבוק את מספר הטלפון שלכם).

אופציה נוספת, לפרנואידים במיוחד, מגדירה לפייסבוק לבצע הליך של אימות סלולארי עבור כל מחשב חדש. אם אם תסמנו את האופציה הזו, בכל פעם שתנסו להתחבר ממחשב לא מוכר תאלצו להקליד גם קוד שישלח אל מכשיר הסלולר שלכם. במקרה שכזה, גם אם פורץ ישיג גישה אל חשבון המייל שלכם ואת הפרטים של חשבון הפייסבוק שלכם – הוא עדיין ישאר בחוץ.

התהליך הזה כמובן קצת מסורבל והוא מתאים בעיקר עבור אנשים שעובדים על מספר מצומצם של מחשבים. כך למשל אצלי מאומת המחשב בבית, הלפטופ והמחשב במשרד. סטודנט או תלמיד בבית ספר למשל, שנסמכים על מעבדת מחשבים פתוחה – יגלו שהתהליך הזה מעיק למדי.

דומיין פרטי

העלות של דומיין בימנו היא מגוחכת ובאתרי רישום כמו גו-דאדי ניתן להשיג דומיין עם סיומת info בפחות מ 2$ לשנה. לאחר שתרשמו את הדומיין, תוכלו להשתמש בתוכנית כגון Google apps for domain כדי ליצור חשבון מייל על הדומיין שלכם. היתרון הגדול בניהול הדומיין היא שגם אם חס וחלילה נפרץ חשבון המייל, תמיד תוכלו, כבעלי הדומיין לשחזר את הגישה אליו.
מי שרוצה להגדיל את הביטחון, יגדיר את התיבה כ catch all. תיבה שכזו תופסת את כל התכתובות המגיעות לשרת ולא משויכות למשתמש קיים. עכשיו אפשר להרשם עם כתובת מייל פקטיבית כאשר כל זמן שהיא מוגדרת על הדומיין עצמו, התכתובת תגיע אל התיבה האמיתית שלכם. היתרון פה הוא שגם אם מישהו ישיג את כתובת המייל שאיתה נרשמתם לשירות כזה או אחר הוא לא יוכל לקבל אליו גישה כי הכתובת לא באמת קיימת.

חשבונות מקושרים

פייסבוק קונקט הפך במהירות רבה להיות סוג של פרוטוקול חיבור אלטרנטיבי לאתרים. רוב האתרים מאפשרים קישור של חשבון משתמש באתר אל חשבון הפייסבוק שלכם ומאותו הרגע, במקום להקליד שם משתמש וסיסמא אפשר פשוט ללחוץ על כפתור הפייסבוק קונקט כדי להגיע אל תוך האתר.

מעט מאוד אנשים יודעים שהעסק הזה יכול לעבוד גם בכיוון ההפוך. פייסבוק בעצמה תומכת בחשבונות מקושרים ומאפשרת לכם לשייך מספר פרוטוקולי אימות אל חשבון הפייסבוק שלכם. כך למשל, ניתן לחבר את חשבון הגוגל שלכם אל פייסבוק – כך ברגע שתתחברו אל ג'ימייל למשל פייסבוק תזהה אתכם ותאפשר לכם להיכנס אל חשבון הפייסבוק מבלי להקליד שם משתמש וסיסמא.

יש פה מלכוד, כי אם קישרתם את חשבון הגוגל שלכם והפורץ השתלט עליו הרי שהוא השיג גם גישה אל חשבון הפייסבוק שלכם. אבל, אם תטרחו לקשר חשבון אחר כגון Open ID שנשלט דרך כתובת מייל אחרת – יש לכם סיכוי לא רע להצליח להשתלט על החשבון שלכם בחזרה במהירות.

שורה תחתונה
כפי שכבר אמרתי, הפריצות מתחלקות לשני סוגים – פריצה איכותית היא מקרה שבו נבחר קורבן ואז נשלפים כל הכלים כדי להשיג גישה אל החשבון שלו. פריצה כמותית היא מקרה שבו גוף כלשהו מנסה להשיג גישה למקסימום מידע וחשבונות כדי לקדם מטרה כזו או אחרת.
אם סומנתם כקורבן, הרי שפורץ מיומן יצליח לבסוף להשיג גישה אל החשבון שלכם. היתרון בשימוש בשילוב של השיטות הללו מצוי בעובדה שבמהלך העבודה אמורים להתרומם לא מעט דגלים (SMS שנשלח בגלל משתמש שמנסה להיכנס ממחשב אחר למשל) שיכולים להוות סימן מזהיר.
הכלי החזק ביותר בתוך ארגז הכלים הזה, לדעתי, הוא נושא המחשבים המאומתים ב SMS. במקרה שכזה, על מנת להשיג גישה אל חשבון הפייסבוק שלכם פורץ פוטנציאלי יצטרך להגיע עד לאחד המחשבים המאומתים שלכם או לגנוב לכם את מכשיר הסלולר – הרבה מאוד עבודה בשביל להשחית עמודי פייסבוק.
אתם לא חייבים להשתמש בכל השיטות, אבל שילוב, לפחות של חלק מהן, יאפשר לכם לוודא שאף אחד לא משיג גישה אל החשבון שלכם.

הפוסט לאבטח את חשבון הפייסבוק פורסם על ידי ~ניצן~ בבלוג המכללה

ספקיות התוכן – הוט ויס.
כששודר הפרק הראשון בעונה האחרונה של אבודים טרחה הוט לפמפם ללקוחותיה כי הפרק ישודר בארץ כ 24 שעות אחרי השידור בחו"ל. בהוט הבינו שהמעריצים המושבעים של התוכנית לא יחכו הרבה לפני שירוצו להוריד את הפרק מהרשת וכך – אין להם באמת סיבה להישאר. שיטת ה"שידור בתוך 24 שעות משידור המקור" תפסה תאוצה והרבה מאוד סדרות פופולאריות משודרות כך – עם זמן המתנה קצר מאוד בין שידור המקור לשידור בארץ. כאשר הסידרה משודרת בטלויזיה, עם תרגום בפרק זמן כל כך קצר – כל תהליך ההורדה קצת מאבד מטעמו.
אותו דבר קורה גם עם הסרטים אם כי שם פרק הזמן קצת יותר ארוך. כבר אחרי ההקרנה הראשונה בארה"ב, ולפעמים עוד לפני ניתן למצוא שלל גירסאות – רובן cam או TS המאוד לא איכותיות. הקבצים האיכותיים מגיעים אחרי תקופה יחסית ארוכה כאשר הסרטים הללו מקבלים גירסאות DVD ובלו ריי.
אני לא יודע איך זה אצל הוט, אבל אצל יס, הסרט מופיע ברשימת הסרטים להשכרה כמעט באופן מיידי מרגע שהוא יורד מהמסכים. אחרי כחודש, כשיס מבינה שכבר מיצתה את פוטנציאל המשלמים על הסרט היא מעבירה אותו לערוץ הסרטים. בהתחשב בעובדה שהממירים כיום מגיעים עם אפשרות הקלטה ו HD, איזה אינטרס יש ללכת ולהוריד את הסרט במחשב?
כמובן שיש יוצאי דופן, יס למשל עדיין לא משדרת את הפרקים של דוקטור הו מהעונה החדשה ומקרינה כרגע רק את העונה החמישית, אבל מצד שני, קהל המעריצים של הדוקטור הוא קצת יותר טכנולוגי מראש ומעדיף את הביטורנט גם ככה.
אז נכון, זה לא מכסה את כל תחום התוכן, אבל יש לזה השפעה רבה וכאשר הכל זמין כאן ועכשיו על גבי הטלויזיה בלחיצת כפתור בשלט, הערכות להורדה הופכת להיות מטלה שלרוב הצופים פשוט לא משתלמת.

איכות זו לא מילה גסה
לפני זמן מה, שלחה לי אמי קישור לסירטון כלשהו ביוטיוב עם בקשה להפוך אותו ל DVD כדי שתוכל לצפות בו על גבי הטלויזיה שלה. כשראיתי את הקובץ די נחרדתי, הוא סופק ברזולוציה של 320 או 240 שורות. מצד שני, אחרי שחשבתי על זה לרגע – נזכרתי שאצל הורי בסלון לא יושב מסך LCD משוכלל אלא טלויזית CRT פשוטה.
נכון, מחירן של טלוויזיות ה LCD צנח בשנים האחרונות בצורה משמעותית אבל לא בכל מקום מיהרו לרכוש אותם וגם אלו שרכשו – פעמים רבות פשוט העבירו את הטלויזיה הישנה אל חדר הילדים.
אז נכון, הטלויזיה בחדר השינה שלי היא 720P ובסלון היא 1080P ועדיין – בחדר השינה יש ממיר פשוט המספק אות המתאים לטלויזית CRT ולא למסך HD – ומה אגיד ומה אומר – אני לא מרגיש שחווית הצפיה שלי נפגמת.
אז אם אתם מורידים סרט בגובה של 320 פיקסלים וצופים בו על מסך מחשב ברזולוציה של 1280 פיקסלים לגובה ממרחק של מטר – זה נראה איום ונורא אבל כשמביטים על זה במסך טלוויזיה ממרחק של 2-4 מטרים – הפרספקטיבה משתנה.

רוחב פס – סטרימינג
פעם, היו פה ימים שקצב הורדה של 1.5 מגה נחשב "מהיר" כאשר הרוב הסתפקו ב 750 קב"ש וחלק אף בפחות. כשהיינו רוצים לראות סרטון סטרימינג באותה תקופה היינו לוחצים על נגינה ואז מיד על השהיה והולכים להכין קפה כדי שהבאפר יספיק להתמלא בצורה שתאפשר צפיה יחסית חלקה.
הימים התקדמו, ואם תנסו להקים קו חדש יהיה לכם קשה לקבל קצב של פחות מ 2.5 מגה. אם תקחו את הפרוקסים השקופים ששמו הספקיות לאורך הדרך ברור לנו למדי שהורדת HTTP רגילה (בין אם מדובר בהורדה ישירה ובין אם בצפיה ישירה) תהיה מהירה מאוד ופעמים רבות, אפילו ללא קטיעות באפרינג.
בניגוד להורדות המוזיקה – אותה אנו נוטים לצבור עד בלי די על הנגן שלנו. הרי שאין הדבר כך עם קבצי וידאו. אנחנו מורידים את הפרק כי אנחנו רוצים לצפות בו, אחר כך – כבר אין לו שימוש ולרוב אנו מוחקים אותו.
כל תחום ההורדות של הסרטונים התפתח בעיקר בגלל הקושי בהורדה ישירה / סטרימינג ומרגע שבעיה זו נפתרה, הצורך בהורדה של סרטים – די התבטל.

השקעה מול הכנסה.
אחד הטיעונים כנגד אתרי האימיול למיניהם הייתה שהם שמים פירסומות ולכן יוצרים רווחים על גבי תוכן מפר. נוצר צורך למצוא מודל הכנסות אחר ושרתי ההורדה / צפיה ישירה מיהרו לספק אותו בצורת תוכנית שותפים. על צפיה ישירה יקבל האתר בין דולר לשניים על כל צפיה של מעל לחצי שעה. גם אתרי ההורדות מציעים קופונים דומים באחוזים על מכירת מנוי / שליחת SMS וכ'.
העסק פשוט למדי – מצא קובץ באיכות טובה מספיק או העלה אחד חדש ושתף את לינק השותף שלך בכל מקום אפשרי. אם יש לך אתר שמרכז את כל התוכן – אתה מסודר. כמות צופים נאה תסדר לך משכורת חודשית נאה, שאת רובה אגב אפשר להעלים ממס הכנסה די בקלות.
לא רק שבטורנטים אי אפשר לייצר הכנסה שכזו אלא שגם תהליך החיפוש והבדיקה הוא מאוד מיגע. אם אני רוצה לוודא שסרט בצפיה ישירה הוא אכן איכותי כל שעלי לעשות הוא להתחיל הקרנה ולדגום אותו במספר נקודות בעוד שעם טורנט עלי להוריד את הקובץ אל המחשב שלי ולוודא שהוא תקין. זה לא בעיה כשאתה אדם פרטי אבל כשאתה מנסה לאנדקס מקסימום של הורדות – אתה הולך לאיבוד.
בקיצור, קיומו של מודל עיסקי מפותח מאחורי אתרי הצפיה הישירה גרם לבעלי האתרים להעדיף את השיטה הזו על פני הטורנטים.

לשתף? אני רק לוקח.
ספקיות התשתית די מגבילות את מהירות ההעלאה ללקוחותיהן כאשר בדרך כלל מדובר על קצב העלאה של עד 0.5 מגה סל"ש. כאשר במקביל בזק מנסה להעביר את רוב משתמשיה כיום ל NGN או לכל הפחות לחבילת הורדה של 5 מגה סל"ש.
0.5 מגה סל"ש עדיין מאפשר העלאה בקצב מכובד, ואם תגדירו אפלואד של רק 10 אחוזים מזה (50 קילו סל"ש) עדיין תחשבו כמשתפים מעולים – כמה מאיתנו באמת מאפשרים להוריד מהם בקצב שכזה?
וגם אם נאפשר להוריד מאיתנו בקצב ובמהירות שכזו, כמה זמן יקח עד שנצליח לבסס יחס הורדה העלאה מכובד? אם הורדתם ג'יגה תצטרכו להעלות 10 מגה עבור כל אחוז. העלאה של 200 מגה תעניק לכם את היחס המדהים של 0.2%. מתי בפעם האחרונה ניסיתם להעלות 200 מגה לרשת? אפילו בהעלאה לאתרים כמו יוטיוב עדיין מדובר במשימה שעלולה לקחת מספר שעות טובות.
בפרוטוקול האימיול עוד הייתה הגבלה על מהירות ההורדה כפונקציה של מהירות ההעלאה אבל זו אינה קיימת ברשת הביטורנט (קיימת כפונקציה, ויש טראקרים פרטיים רשומים שלא מאפשרים למי שלא משתף להוריד מהם וכ' אבל הרוב – פתוח לכל).
הישראלי לא אוהב לשתף, הוא יעדיף להוריד את הקובץ שלו ולסגור את התוכנה ברגע שההורדה תסתיים. היות ורוב המורידים לא אוהבים לשתף, הקבצים העבריים יסבלו מהורדה איטית, מיעוט של זורעים ומבלי להחזיק תשתית תומכת שתפקידה להחזיק את הטורנט בחיים הקבצים ימותו במהירות.
מסיבה זו בדיוק, קהילות הטורנט הבודדות שכן פעילות בארץ הן על בסיס הרשמה והיכרות – כך אפשר לוודא שהקהילה מורכבת ממשתפים איכותיים והקבצים ישארו בחיים.

Time to Market + added value
הגם שרמת האנגלית שלי גבוהה למדי ואני מסוגל לצפות בפרקים וסרטים ללא תרגום, ברגע שיש קצת רעש רקע בעברית אני מאבד את הריכוז. אני מניח שיש פה בארץ קהל לא קטן שמסיבות דומות או אחרות עדיין זקוק לתרגום. אם ניקח פרק חדש של סידרה כלשהי ששודר הרגע בארה"ב הרי שאם אנחנו רוצים לראות אותו מתורגם יש שתי דרכים – להוריד את הקובץ המקורי ולחכות שיגיע תרגום כקובץ נפרד או לחכות שיגיע קובץ משולב אל הרשתות.
עבור מנהל תאורטי של אתר שכזה, הקמה של מערך שכזה הוא מסורבל ומורכב. הוא צריך להוריד את הקובץ המקורי, להוריד תרגום (לכשיצא) לשלב אותם ביחד ואז להפיץ.
אם יש לו קצב העלאה מהיר במיוחד הוא יוכל לגמור את כל התהליך במספר שעות עם צפיה ישירה / הורדה ישירה.
אם לעומת זאת הוא ירצה להרים טורנט הרי שמדובר בסיפור ארוך ומורכב. כל שלב ההכנה דורש את אותו הזמן, אך מגיע הרגע שבו יש להפיץ את הקובץ החדש לרשת הטורנטים ואז נוצר צוואר הבקבוק. כפי שכבר אמרתי – הישראלים לא אוהבים לשתף ולכן, תהליך הלידה של הטורנט עד לרגע התבססותו יקח זמן ארוך ומיגע – זמן שכמובן המוריד הקלאסי אינו מעוניין להמתין.

לסיכום
עבור מי שמחפש תוכן איכותי קבוע, רשת הביטורנט, על כל יתרונותיה היא עדיפה. עבור מי שמחפש לראות כאן ועכשיו – כמעט תמיד ינצחו ההורדות הישירות. נכון, האיכות היא פחות טובה, אבל הצפיה – היא כמעט מידית, ועבור רוב אוכלוסית המורידים – זה הקריטריון העיקרי.

הפוסט מחשבות על הטורנטים בישראל פורסם על ידי ~ניצן~ בבלוג המכללה