Filtre par formulaire — Limiter l'accès aux enregistrements

Pour les formulaires qui chargent ou modifient des enregistrements d'adresse ou de bien immobilier (par exemple « Modifier l'adresse », « Modifier le bien immobilier », « Compléter les données »), un utilisateur peut théoriquement, en manipulant le paramètre UUID dans l'URL, accéder à n'importe quel enregistrement que l'utilisateur de l'API est autorisé à consulter dans onOffice. Le filtre par formulaire limite cette possibilité.


Quand est-ce important ?

C'est critique pour les formulaires accessibles au public qui modifient des enregistrements :

  • Déclaration du locataire mettant à jour un enregistrement d'adresse
  • Formulaire de remise de bien immobilier qui écrit dans un bien immobilier
  • Formulaires de retour d'information aux propriétaires/acheteurs
  • Formulaires de correction de données via un lien e-mail

Sans filtre, toute personne disposant de la structure d'URL correcte (?address[ID]=<UUID>) pourrait charger n'importe quel enregistrement dans la zone de visibilité du compte de l'utilisateur de l'API — même si cela ne le concerne pas.


Configuration

1. Créer un filtre dans onOffice

Les filtres sont une fonctionnalité standard d'onOffice : Module Adresses / Biens immobiliers → Gestion des filtres → Nouveau filtre.

Exemples de filtres :

  • « Uniquement les biens immobiliers actifs » (Statut = actif)
  • « Uniquement les profils de recherche de la région X »
  • « Uniquement les adresses avec type de contact = locataire »
  • « Uniquement statut > 5 » (pour les biens prêts à être commercialisés)

2. Activer le filtre dans le formulaire propform

Dans l'éditeur de formulaire → Champs d'adresse ou de biens immobiliers → Paramètres de filtrage → sélectionner le filtre onOffice dans le menu déroulant.

3. Résultat

Le formulaire peut désormais charger/modifier uniquement les enregistrements qui correspondent au filtre. Si quelqu’un tente d’accéder à un UUID hors du filtre → le formulaire rejette la demande.


Bonnes pratiques

  • Filtre aussi restrictif que possible : uniquement les enregistrements que le formulaire spécifique doit réellement traiter
  • Un filtre par formulaire : différents formulaires nécessitent souvent des restrictions différentes
  • Vérifier régulièrement les filtres : si de nouveaux enregistrements doivent être automatiquement intégrés au filtre, les conditions de filtrage doivent être dynamiques en conséquence
  • Tester : essayer d'appeler le formulaire avec un UUID en dehors du filtre — la requête devrait être rejetée

Combinaison avec d'autres mécanismes de protection

Le filtre par formulaire est une couche de protection des données, et non une protection d'accès au formulaire lui-même. En complément :

  • Liste blanche d'adresses IP — qui est autorisé à accéder au formulaire
  • Mot de passe du formulaire — accès uniquement avec un mot de passe
  • Clé de formulaire via un paramètre URL — protection par jeton dynamique

Pour en savoir plus, consultez la documentation sur la protection des formulaires.


Connexes