--- title: "Infrastructure de contrôle système" version: 6.0 locale: fr source: https://docs.djangoproject.com/fr/6.0/ref/checks/ canonical: https://djangodocs.dev/fr/6.0/ref/checks/ --- # Infrastructure de contrôle système L’infrastructure de contrôle système est un ensemble de contrôles statiques pour valider les projets Django. Elle détecte les problèmes courants et fournit des conseils sur la façon de les corriger. L’infrastructure est extensible de sorte que vous pouvez facilement ajouter vos propres contrôles. Pour plus de détails sur la façon d’ajouter vos propres contrôles et les intégrer aux contrôles systèmes de Django, consultez le [Guide thématique sur la vérification système](/fr/6.0/topics/checks/). ## Référence de l’API ### `CheckMessage` #### `class CheckMessage(level, msg, hint=None, obj=None, id=None)` Les avertissements et les erreurs signalés par les contrôles systèmes doivent être des instances de `CheckMessage`. Une instance encapsule une seule erreur à signaler ou un seul avertissement. Elle fournit également des indicateurs et le contexte applicables au message, et un identifiant unique qui est utilisé à des fins de filtrage. Les arguments du constructeur sont : **`level`** La gravité du message. Utilisez l’une des valeurs prédéfinies : `DEBUG`, `INFO`, `WARNING`, `ERROR`, `CRITICAL`. Si le niveau est supérieur ou égal à `ERROR`, Django empêchera l’exécution des commandes de gestion. Les messages avec un niveau inférieur à `ERROR` (i.e. les avertissements) sont présentés dans la console, mais peuvent être réduits au silence. **`msg`** Une courte chaîne (moins de 80 caractères) décrivant le problème. La chaîne ne doit *pas* contenir des sauts de ligne. **`hint`** Une chaîne d’une seule ligne offrant un indicateur pour résoudre le problème. Si aucun indicateur ne peut être fourni, ou s’il est évident à partir du message d’erreur, l’indicateur peut être omis, ou une valeur `None` peut être utilisée. **`obj`** Facultatif. Un objet fournissant le contexte du message (par exemple, le modèle où le problème a été découvert). L’objet doit être un modèle, un champ, un gestionnaire ou tout autre objet qui définit la méthode `__str__()`. La méthode est utilisée lors de la collecte de tous les messages et son résultat précède le message. **`id`** Chaîne facultative. Un identifiant unique pour le problème. Les identifiants doivent suivre le modèle `applabel.X001`, où `X` est l’une des lettres `CEWID`, indiquant la gravité du message (`C` pour critique, `E` pour les erreurs et ainsi de suite). Le numéro peut être attribué par l’application, mais doit être unique au sein de cette application. Il existe des sous-classes pour faciliter la création des messages avec les niveaux de base. Lorsque vous les utilisez, vous pouvez omettre le paramètre `level` car il est sous-entendu par le nom de la classe. #### `class Debug(msg, hint=None, obj=None, id=None)` #### `class Info(msg, hint=None, obj=None, id=None)` #### `class Warning(msg, hint=None, obj=None, id=None)` #### `class Error(msg, hint=None, obj=None, id=None)` #### `class Critical(msg, hint=None, obj=None, id=None)` ## Étiquettes prédéfinies Les contrôles systèmes de Django sont organisés en utilisant les étiquettes suivantes : - `admin`: contrôles de toutes les déclarations de sites d’administration. - `async_support`: contrôle la configuration liée au code asynchrone. - `caches`: contrôle la configuration liée aux caches (mémoire tampon). - `compatibility`: identification de problèmes potentiels avec les mises à jour. - `commands`: contrôle la configuration liée aux commandes d’administration personnalisées. - `database`: vérifie des problèmes de configuration liés aux bases de données. Les contrôles de base de données ne sont pas exécutés par défaut car ils font plus que de l’analyse de code statique comme le font les autres contrôles. Ils ne sont lancés que par la commande [`migrate`](/fr/6.0/ref/django-admin/#django-admin-migrate) ou si vous indiquez des alias de base de données configurés avec l’option `database` lors de l’appel à la commande [`check`](/fr/6.0/ref/django-admin/#django-admin-check). - `files`: contrôle la configuration liée aux fichiers. - `models`: contrôles régissant les définitions de modèles, champs et gestionnaires. - `security`: contrôle la configuration liée à la sécurité. - `signals`: contrôles des déclarations de signaux et des enregistrements de gestionnaires. - `sites`: contrôle la configuration de [`django.contrib.sites`](/fr/6.0/ref/contrib/sites/#module-django.contrib.sites). - `staticfiles`: contrôle la configuration liée à [`django.contrib.staticfiles`](/fr/6.0/ref/contrib/staticfiles/#module-django.contrib.staticfiles). - `templates`: contrôle la configuration liée aux gabarits. - `translation`: vérifie la configuration liée aux traductions. - `urls`: contrôle la configuration des URL. Certains contrôles peuvent être enregistrés sous plusieurs étiquettes. ## Vérifications systèmes du noyau ### Gestion du code asynchrone Les contrôles suivants vérifient votre configuration concernant [Gestion du code asynchrone](/fr/6.0/topics/async/): - **async.E001** : vous ne devez pas définir la variable d’environnement envvar:DJANGO\_ALLOW\_ASYNC\_UNSAFE en déploiement. Cela désactive la [protection de sécurité async](/fr/6.0/topics/async/#async-safety). ### Rétrocompatibilité Les contrôles de compatibilité alertent sur des problèmes potentiels pouvant se produire après une mise à jour de Django. - **2\_0.W001** : le motif d’URL `` possède une route contenant `(?P<`, commençant par `^` ou se terminant par `$`. Il s’agit probablement d’un oubli lors du passage de `url()` à [`path()`](/fr/6.0/ref/urls/#django.urls.path). - **4\_0.E001**: à partir de Django 4.0, les valeurs du réglage [`CSRF_TRUSTED_ORIGINS`](/fr/6.0/ref/settings/#std-setting-CSRF_TRUSTED_ORIGINS) doivent commencer par un protocole (généralement http://\` ou `https://`), mais `` a été trouvé. ### Caches Les contrôles suivants vérifient que le réglage [`CACHES`](/fr/6.0/ref/settings/#std-setting-CACHES) est configuré correctement : - **caches.E001** : vous devez définir un cache `'default'` dans votre réglage [`CACHES`](/fr/6.0/ref/settings/#std-setting-CACHES). - **caches.W002** : votre configuration de `` peut exposer votre cache ou permettre une corruption de vos données car son emplacement [`LOCATION`](/fr/6.0/ref/settings/#std-setting-CACHES-LOCATION) correspond à, ou se trouve dans un des réglages [`MEDIA_ROOT`](/fr/6.0/ref/settings/#std-setting-MEDIA_ROOT)/[`STATIC_ROOT`](/fr/6.0/ref/settings/#std-setting-STATIC_ROOT)/[`STATICFILES_DIRS`](/fr/6.0/ref/settings/#std-setting-STATICFILES_DIRS). - **caches.W003** : l’emplacement [`LOCATION`](/fr/6.0/ref/settings/#std-setting-CACHES-LOCATION) du `` est relatif. Utilisez plutôt un chemin absolu. ### Base de données #### MySQL et MariaDB Si vous utilisez MySQL ou MariaDB, les contrôles suivants seront effectués : - **mysql.E001** : MySQL/MariaDB ne permet pas aux champs `CharField` uniques d’avoir un attribut `max_length` \> 255. *Ce contrôle a été transformé en* `mysql.W003` *dans Django 3.1 car la taille maximale réelle dépend de plusieurs facteurs.* - **mysql.W002** : le mode strict de MySQL/MariaDB n’est pas défini pour la connexion de base de données ``. Voir aussi [Définition de sql\_mode](/fr/6.0/ref/databases/#mysql-sql-mode). - **mysql.W003** : MySQL/MariaDB pourrait ne pas permettre aux champs `CharField` uniques d’avoir un attribut `max_length` \> 255. ### Gestion des fichiers Les contrôles suivants vérifient votre configuration concernant [Gestion des fichiers](/fr/6.0/topics/files/): - **files.E001** : le réglage [`FILE_UPLOAD_TEMP_DIR`](/fr/6.0/ref/settings/#std-setting-FILE_UPLOAD_TEMP_DIR) se réfère au répertoire inexistant ``. ### Champs de modèle - **fields.E001** : les noms de champ ne doivent pas se terminer par un trait de soulignement. - **fields.E002** : les noms de champ ne doivent pas contenir `"__"`. - *fields.E003\** : `pk` est un mot réservé et ne peut pas être utilisé comme nom de champ. - **fields.E004** : `choices` doit être une table de correspondance (par ex. un dictionnaire) ou un élément itérable (par ex. une liste ou un tuple). - **fields.E005** : `choices` doit être une table faisant correspondre des valeurs réelles à des noms humainement lisibles ou un élément itérable contenant des tuples `(valeur réelle, nom convivial)`. - **fields.E006** : `db_index` ne peut contenir que `None`, `True` ou `False`. - **fields.E007** : les clés primaires ne peuvent pas contenir `null=True`. - **fields.E008** : tous les `validators` doivent être exécutables. - **fields.E009** : `max_length` est trop court pour accueillir la plus longue valeur de `choices` (`` caractères). - **fields.E010** : la valeur par défaut de `` doit être un objet exécutable plutôt qu’une instance afin qu’elle ne soit pas partagée entre toutes les instances de ce champ. - **fields.E011** : `` ne prend pas en charge les valeurs par défaut en base de données contenant des expressions (`db_default`). - **fields.E012**: `` ne peut pas être utilisée dans `db_default`. - **fields.E013** : `CompositePrimaryKey` doit être nommée `pk`. - **fields.E100** : les champs `AutoField` doivent déclarer `primary_key=True`. - **fields.E110** : les champs `BooleanField` n’acceptent pas les valeurs nulles. *Ce contrôle est apparu avant la prise en charge des valeurs nulles ajoutée dans Django 2.1.* - **fields.E120** : les champs `CharField` doivent définir un attribut `max_length`. - **fields.E121** : `max_length` doit être un entier positif. - **fields.W122** : `max_length` est ignoré lorsqu’il est utilisé pour un champ ``. - **fields.E130** : les champs `DecimalField` doivent définir un attribut `decimal_places`. - **fields.E131** : `decimal_places` doit être un entier non négatif. - **fields.E132** : les champs `DecimalField` doivent définir un attribut `max_digits`. - **fields.E133** : `max_digits` doit être un entier positif. - **fields.E134** : `max_digits` doit être supérieur ou égal à `decimal_places`. - **fields.E140** : les champs `FilePathField` doivent comporter l’un des deux attributs `allow_files` et `allow_folders` défini à `True`. - **fields.E150** : les champs `GenericIPAddressField` ne peuvent avoir `blank=True` si `null=False`, car les valeurs vides sont stockées sous forme de valeurs nulles. - **fields.E160** : les options `auto_now`, `auto_now_add` et `default` sont mutuellement exclusives. Une seule de ces options doit être conservée. - **fields.W161** : une valeur par défaut fixe est indiquée. - **fields.W162** : `` ne prend pas en charge les index sur les colonnes ``. - **fields.W163**: `` ne gère pas les commentaires sur les colonnes (`db_comment`). - **fields.E170** : la valeur par défaut de `BinaryField` ne peut pas être une chaîne. Utilisez plutôt un contenu binaire. - **fields.E180** : `` ne prend pas en charge les champs `JSONField`. - **fields.E190** : `` ne prend pas en charge les collations sur les colonnes ``. - **fields.E220** : `` ne prend pas en charge les champs `GeneratedField`. - **fields.E221** : `` ne prend pas en charge les champs `GeneratedField` non persistants. - **fields.E222** : `` ne prend pas en charge les champs `GeneratedField` persistants. - **fields.E223** : `GeneratedField.output_field` contient des erreurs : … - **fields.W224** : `GeneratedField.output_field` contient des avertissements : … - **fields.E900** : `IPAddressField` a été supprimé, sauf pour la prise en charge de migrations historiques. - **fields.W900** : `IPAddressField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 1.9. *Ce contrôle apparaît dans Django 1.7 et 1.8*. - **fields.W901** : `CommaSeparatedIntegerField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 2.0. *Ce contrôle apparaît avec Django 1.10 et 1.11*. - **fields.E901** : `CommaSeparatedIntegerField` a été supprimé, sauf pour la prise en charge de migrations historiques. - **fields.W902**: `FloatRangeField` est obsolète et sera supprimé dans Django 3.1. *Ce contrôle est apparu dans Django 2.2 et 3.0*. - **fields.W903** : `NullBooleanField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 4.0. *Ce contrôle apparaît dans Django 3.1 et 3.2*. - **fields.E903** : `NullBooleanField` a été supprimé, sauf pour la prise en charge de migrations historiques. - **fields.W904** : `django.contrib.postgres.fields.JSONField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 4.0. *Ce contrôle apparaît dans Django 3.1 et 3.2*. - **fields.E904** : `django.contrib.postgres.fields.JSONField` a été supprimé, sauf pour la prise en charge de migrations historiques. - **fields.W905** : `django.contrib.postgres.fields.CICharField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 5.1. *Ce contrôle apparaît dans Django 4.2 et 5.0*. - **fields.E905** : `django.contrib.postgres.fields.CICharField` a été supprimé, sauf pour la prise en charge de migrations historiques. - **fields.W906** : `django.contrib.postgres.fields.CIEmailField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 5.1. *Ce contrôle apparaît dans Django 4.2 et 5.0*. - **fields.E906** : `django.contrib.postgres.fields.CIEmailField` a été supprimé, sauf pour la prise en charge de migrations historiques. - **fields.W907** : `django.contrib.postgres.fields.CITextField` est obsolète. Sa prise en charge (à l’exception des migrations historiques) sera supprimée dans Django 5.1. *Ce contrôle apparaît dans Django 4.2 et 5.0*. - **fields.E907** : `django.contrib.postgres.fields.CITextField` a été supprimé, sauf pour la prise en charge de migrations historiques. #### Champs de type fichier - **fields.E200** : `unique` n’est pas un paramètre valable pour un champ `FileField`. *Ce contrôle est supprimé dans Django 1.11*. - **fields.E201** : `primary_key` n’est pas un paramètre valable pour un champ `FileField`. - **fields.E202** : le paramètre `upload_to` de `FileField` doit être un chemin relatif, et non absolu. - **fields.E210** : impossible d’utiliser `ImageField` car Pillow n’est pas installé. #### Champs de liaison - **fields.E300** : le champ définit une relation avec le modèle ``, qui n’est pas installé ou qui est abstrait. - **fields.E301** : le champ définit une relation avec le modèle `<étiquette_app>.` qui a été substitué. - **fields.E302** : l’accesseur inverse `.` pour `<étiquette_app>..` entre en conflit avec le nom du champ `<étiquette_app>..`. - **fields.E303** : le nom de requête inverse pour `<étiquette_app>..` entre en conflit avec le nom du champ `<étiquette_app>..`. - **fields.E304** : l’accesseur inverse `.` pour `<étiquette_app>..` entre en conflit avec l’accesseur inverse pour `<étiquette_app>..`. - **fields.E305** : le nom de requête inverse de `<étiquette_app>..` entre en conflit avec le nom de requête inverse de `<étiquette_app>..`. - **fields.E306** : le nom `` n’est pas un nom `related_name` valable pour le champ `.`. - **fields.E307** : le champ `<étiquette_app>..` a été déclaré avec une référence différée à `<étiquette_app>.`, mais l’application `<étiquette_app>` n’est pas installée ou ne fournit pas de modèle ``. - **fields.E308** : le nom de requête inverse `` ne doit pas se terminer par un soulignement. - **fields.E309** : le nom de requête inverse `` ne doit pas contenir `'__'`. - **fields.E310** : aucun sous-ensemble des champs ``, ``, … du modèle `` n’a de contrainte unique. - **fields.E311** : `.` doit être unique car il est référencé par une clé `ForeignKey`. - **fields.E312** : le paramètre `to_field` `` n’existe pas dans le modèle lié `<étiquette_app>.`. - **fields.E320** : le champ contient `on_delete=SET_NULL` mais il ne peut pas être nul. - **fields.E321** : le champ contient `on_delete=SET_DEFAULT` mais il n’a pas de valeur par défaut. - **fields.E330** : les champs `ManyToManyField` ne peuvent pas être uniques. - **fields.E331** : le champ définit une relation plusieurs-à-plusieurs via le modèle `` qui n’a pas été installé. - **fields.E332** : les champs plusieurs-à-plusieurs avec des tables intermédiaires ne peuvent pas être symétriques. *Ce contrôle est apparu avant Django 3.0.* - **fields.E333** : le modèle est utilisé en tant que modèle intermédiaire par `` mais il a plus de deux clés étrangères vers ``, ce qui est ambigu. Vous devez indiquer laquelle des deux clés étrangères Django doit utiliser via le paramètre nommé `through_fields`. - **fields.E334** : le modèle est utilisé en tant que modèle intermédiaire par `` mais il a plus d’une clé étrangère depuis ``, ce qui est ambigu. Vous devez indiquer quelle clé étrangère Django doit utiliser via le paramètre nommé `through_fields`. - **fields.E335** : le modèle est utilisé en tant que modèle intermédiaire par `` mais il a plus d’une clé étrangère vers ``, ce qui est ambigu. Vous devez indiquer quelle clé étrangère Django doit utiliser via le paramètre nommé `through_fields`. - **fields.E336** : le modèle est utilisé en tant que modèle intermédiaire par `` mais il n’a pas de clé étrangère vers `` ou ``. - **fields.E337** : le champ définit `through_fields` mais ne fournit pas le nom des deux champs de liaison qui doivent être utilisés pour la relation via ``. - **fields.E338** : le modèle intermédiaire `` n’a pas de champ ``. - **fields.E339** : `.` n’est pas une clé étrangère vers ``. - **fields.E340** : la table intermédiaire du champ `` entre en conflit avec le nom de la table de ``/`.`. - **fields.W340** : `null` n’a pas d’effet sur le champ `ManyToManyField`. - **fields.W341** : `ManyToManyField` ne prend pas en charge le paramètre `validators`. - **fields.W342** : la définition de `unique=True` sur un champ `ForeignKey` a le même effet que d’utiliser un champ `OneToOneField`. - **fields.W343** : `limit_choices_to` n’a aucun effet sur le champ `ManyToManyField` avec modèle intermédiaire. *Ce contrôle est apparu avant Django 4.0.* - **fields.W344** : la table intermédiaire du champ `` entre en conflit avec le nom de la table de ``/`.`. - **fields.W345** : `related_name` n’a aucun effet sur le champ `ManyToManyField` avec une relation symétrique, par ex. vers `self`. - **fields.W346** : `db_comment` n’a aucun effet sur les champs `ManyToManyField`. - **fields.E347** : le champ définit une relation impliquant le modèle `` qui possède une clé `CompositePrimaryKey` alors que de telles relations ne sont pas prises en charge. - **fields.E348** : l’accesseur inverse `` pour `.` entre en conflit avec le nom d’un gestionnaire de modèle. ### Modèles - **models.E001** : `` n’est pas sous la forme `étiquette_app.nom_app`. - **models.E002** : `` fait référence à ``, qui n’est pas installé ou qui est abstrait. - **models.E003** : le modèle possède deux relations plusieurs-à-plusieurs identiques via le modèle intermédiaire `<étiquette_app>.`. - **models.E004** : `id` ne peut être utilisé comme nom de champ que si le champ définit aussi `primary_key=True`. - **models.E005** : le champ `` du modèle parent `` entre en conflit avec le champ `` du modèle parent ``. - **models.E006** : le champ `` entre en conflit avec le champ `` du modèle ``. - **models.E007** : le champ `` a le nom de colonne `` qui est utilisé par un autre champ. - **models.E008** : `index_together` doit être une liste ou un tuple. *Ce contrôle est apparu avant Django 5.1.* - **models.E009** : tous les éléments de `index_together` doivent être des listes ou des tuples. *Ce contrôle est apparu avant Django 5.1.* - **models.E010** : `unique_together` doit être une liste ou un tuple. - **models.E011**: tous les éléments de `unique_together` doivent être des listes ou des tuples. - **models.E012** : `contrainte/index/unique_together` fait référence au champ inexistant ``. - **models.E013** : `contrainte/index/unique_together` fait référence à un `` de type `ManyToManyField`, mais ces champs ne sont pas pris en charge pour cette option. - **models.E014** : `ordering` doit être un tuple ou une liste (même si vous souhaitez trier sur un seul champ). - **models.E015** : `ordering` fait référence au champ, champ lié ou recherche inexistant ``. - **models.E016** : `contrainte/index/unique_together` se réfèrent au champ `` qui n’est pas local au modèle ``. - **models.E017** : le modèle mandataire `` contient des champs de modèle. - **models.E018** : nom de colonne auto-généré trop long pour le champ ``. La longueur maximale est de `` pour la base de données ``. - **models.E019** : nom de colonne auto-généré trop long pour le champ plusieurs-à-plusieurs ``. La longueur maximale est de `` pour la base de données ``. - **models.E020** : La méthode de classe `.check()` est actuellement surchargée. - **models.E021** : `ordering` et `order_with_respect_to` ne peuvent pas être utilisés simultanément. - **models.E022** : `` contient une référence différée à `<étiquette_app>.`, mais l’application `<étiquette_app>` n’est pas installée ou ne fournit pas de modèle ``. - **models.E023** : le nom de modèle `` ne peut pas commencer ni se terminer par un soulignement car cela entre en conflit avec la syntaxe de requête. - **models.E024** : le nom de modèle `` ne peut pas contenir de double soulignement car cela entre en conflit avec la syntaxe de requête. - **fields.E025** : la propriété `` entre en conflit avec un accesseur de champ lié. - **models.E026** : le modèle ne peut avoir plus d’un champ avec `primary_key=True`. - **models.W027**: `` ne prend pas en charge les contraintes de vérification. - **models.E028**: `db_table` `` est utilisée par plusieurs modèles : ``. - **models.E029** : le nom d’index `` n’est pas unique pour le modèle ``. - **models.E030** : le nom d’index `` n’est pas unique parmi les modèles : ``. - **models.E031** : le nom de contrainte `` n’est pas unique pour le modèle ``. - **models.E032** : le nom de contrainte `` n’est pas unique parmi les modèles ``. - **models.E033** : le nom d’index `` ne peut pas commencer par un soulignement, ni par un nombre. - **models.E034** : le nom d’index `` ne peut pas dépasser `` caractères. - **models.W035**: `db_table` `` est utilisée par plusieurs modèles : ``. - **models.W036**: `` ne prend pas en charge les contraintes d’unicité avec conditions. - **models.W037**: `` ne prend pas en charge les index avec conditions. - **models.W038**: `` ne prend pas en charge les contraintes d’unicité différables. - **models.W039**: `` ne prend pas en charge les contraintes d’unicité avec des colonnes qui ne sont pas des clés. - **models.W040**: `` ne prend pas en charge les index avec des colonnes qui ne sont pas des clés. - **models.E041** : `constraints` fait référence au champ joint ``. - **models.E042** : `` ne peut pas faire partie de la clé primaire composite. - **models.W042** : clé primaire créée automatiquement sans qu’un type de clé primaire ne soit défini, par défaut `django.db.models.AutoField`. *Ce contrôle est présent dans Django 3.2 - 5.2*. - **models.W043**: `` ne prend pas en charge les index sur les expressions. - **models.W044**: `` ne prend pas en charge les contraintes d’unicité avec les expressions. - **models.W045** : la contrainte d’intégrité `` contient une expression `RawSQL()` et ne sera pas validée dans la méthode `full_clean()` du modèle. - **models.W046** : `` ne prend pas en charge les commentaires sur les tables (`db_table_comment`). - **models.W047** : `` ne prend pas en charge les contraintes d’unicité avec nuls distincts. - **models.E048** : `constraints/indexes/unique_together` fait référence à une clé `CompositePrimaryKey` ``, mais les clés `CompositePrimaryKey` ne sont pas autorisées pour cette option. - **models.E049** : `contrainte/index/unique_together` fait référence à un `ForeignObject` `` avec plusieurs `from_fields`, ce qui n’est pas pris en charge pour cette option. ### Commandes d’administration Les contrôles suivants vérifient que les commandes d’administration personnalisées sont correctement configurées : - **commands.E001** : les commandes `migrate` et `makemigrations` doivent posséder la même valeur `autodetector`. ### Sécurité Les contrôles de sécurité ne rendent pas votre site sûr. Ils n’auditent pas votre code, ne font pas de détection d’intrusion ou quoi que ce soit d’autre de particulièrement complexe. Ils s’occupent plutôt d’une liste de contrôles automatisés détectant les problèmes les plus évidents qui peuvent vous aider à améliorer la sécurité d’un site. Certains de ces contrôles ne sont pas forcément adéquats pour votre configuration de déploiement particulière. Par exemple, si vous avez délégué la redirection HTTP vers HTTPS à un répartiteur de charge, il serait gênant d’être constamment averti que le réglage [`SECURE_SSL_REDIRECT`](/fr/6.0/ref/settings/#std-setting-SECURE_SSL_REDIRECT) n’est pas actif. Utilisez [`SILENCED_SYSTEM_CHECKS`](/fr/6.0/ref/settings/#std-setting-SILENCED_SYSTEM_CHECKS) pour réduire au silence les contrôles non nécessaires. Les contrôles suivants sont exécutés si l’option [`check --deploy`](/fr/6.0/ref/django-admin/#cmdoption-check-deploy) est indiquée : - **security.W001** : l’intergiciel [`django.middleware.security.SecurityMiddleware`](/fr/6.0/ref/middleware/#django.middleware.security.SecurityMiddleware) ne figure pas dans [`MIDDLEWARE`](/fr/6.0/ref/settings/#std-setting-MIDDLEWARE) ce qui rendra ineffectif les réglages [`SECURE_HSTS_SECONDS`](/fr/6.0/ref/settings/#std-setting-SECURE_HSTS_SECONDS), [`SECURE_CONTENT_TYPE_NOSNIFF`](/fr/6.0/ref/settings/#std-setting-SECURE_CONTENT_TYPE_NOSNIFF), [`SECURE_REFERRER_POLICY`](/fr/6.0/ref/settings/#std-setting-SECURE_REFERRER_POLICY), [`SECURE_CROSS_ORIGIN_OPENER_POLICY`](/fr/6.0/ref/settings/#std-setting-SECURE_CROSS_ORIGIN_OPENER_POLICY) et [`SECURE_SSL_REDIRECT`](/fr/6.0/ref/settings/#std-setting-SECURE_SSL_REDIRECT). - **security.W002** : l’intergiciel [`django.middleware.clickjacking.XFrameOptionsMiddleware`](/fr/6.0/ref/middleware/#django.middleware.clickjacking.XFrameOptionsMiddleware) ne figure pas dans [`MIDDLEWARE`](/fr/6.0/ref/settings/#std-setting-MIDDLEWARE), ce qui fait que vos pages ne seront pas servies avec un en-tête `'x-frame-options'`. Sauf dans les cas où il existe une bonne raison pour que votre site apparaisse dans un cadre, il est recommandé d’activer cet en-tête pour contribuer à prévenir les attaques par détournement de clic. - **security.W003** : il semble que vous n’utilisiez pas la protection intégrée de Django contre la falsification de requêtes inter-sites avec l’intergiciel dédié ([`django.middleware.csrf.CsrfViewMiddleware`](/fr/6.0/ref/middleware/#django.middleware.csrf.CsrfViewMiddleware) ne figure pas dans [`MIDDLEWARE`](/fr/6.0/ref/settings/#std-setting-MIDDLEWARE)). L’activation de l’intergiciel est l’approche la plus sûre pour s’assurer qu’aucun trou ne subsiste dans cette protection. - **security.W004** : vous n’avez pas défini de valeur pour le réglage [`SECURE_HSTS_SECONDS`](/fr/6.0/ref/settings/#std-setting-SECURE_HSTS_SECONDS). Si tout votre site est entièrement servi par SSL, il est possible d’envisager définir une valeur et d’activer [HSTS (HTTP Strict Transport Security)](/fr/6.0/ref/middleware/#http-strict-transport-security). Mais prenez soin de lire premièrement la documentation ; l’activation précipitée de HSTS peut être la cause de problèmes sérieux et irréversibles. - **security.W005** : vous n’avez pas défini le réglage [`SECURE_HSTS_INCLUDE_SUBDOMAINS`](/fr/6.0/ref/settings/#std-setting-SECURE_HSTS_INCLUDE_SUBDOMAINS) à `True`. Sans cela, votre site est potentiellement vulnérable à des attaques via une connexion non sécurisée à un sous-domaine. Ne choisissez la valeur `True` que si vous êtes sûr que tous les sous-domaines de votre domaine sont exclusivement servis par SSL. - **security.W006** : le réglage [`SECURE_CONTENT_TYPE_NOSNIFF`](/fr/6.0/ref/settings/#std-setting-SECURE_CONTENT_TYPE_NOSNIFF) n’est pas défini à `True`, ce qui fait que vos pages ne seront pas servies avec un en-tête `'X-Content-Type-Options: nosniff'`. Vous devriez envisager d’activer cet en-tête pour empêcher les navigateurs d’identifier de manière incorrecte les types de contenu. - **security.W007** : le réglage `SECURE_BROWSER_XSS_FILTER` n’est pas défini à `True`, ce qui fait que vos pages ne seront pas servies avec un en-tête `'X-XSS-protection: 1; mode=block'`. Vous devriez envisager d’activer cet en-tête pour activer le filtrage XSS des navigateurs et aider ainsi à prévenir les attaques XSS. *Ce contrôle a été supprimé dans Django 3.0 car l’en-tête* `X-XSS-Protection` *n’est plus pris en compte par les navigateurs modernes.* - **security.W008** : le réglage [`SECURE_SSL_REDIRECT`](/fr/6.0/ref/settings/#std-setting-SECURE_SSL_REDIRECT) n’est pas défini à `True`. Sauf si votre site doit être accessible à la fois par des connexions SSL et non SSL, il est conseillé de soit définir ce réglage à `True`, soit de configurer un répartiteur de charge ou un serveur mandataire inverse pour rediriger toutes les connexions vers HTTPS. - **security.W009** : la clé secrète [`SECRET_KEY`](/fr/6.0/ref/settings/#std-setting-SECRET_KEY) contient moins de 50 caractères, moins de 5 caractères différents ou est préfixée par `'django-insecure-'`, ce qui indique qu’elle a été générée automatiquement par Django. Veuillez générer une valeur longue et aléatoire, faute de quoi de nombreuses fonctionnalités de Django liées à la sécurité seront vulnérables aux attaques. - **security.W010** : l’application [`django.contrib.sessions`](/fr/6.0/topics/http/sessions/#module-django.contrib.sessions) se trouve dans votre réglage [`INSTALLED_APPS`](/fr/6.0/ref/settings/#std-setting-INSTALLED_APPS) mais vous n’avez pas défini [`SESSION_COOKIE_SECURE`](/fr/6.0/ref/settings/#std-setting-SESSION_COOKIE_SECURE) à `True`. L’utilisation d’un cookie de session sécurisé complique la tâche des renifleurs de trafic réseau quand ils essaient de s’immiscer dans les sessions des utilisateurs. - **security.W011** : [`django.contrib.sessions.middleware.SessionMiddleware`](/fr/6.0/ref/middleware/#django.contrib.sessions.middleware.SessionMiddleware) figure dans [`MIDDLEWARE`](/fr/6.0/ref/settings/#std-setting-MIDDLEWARE), mais vous n’avez pas défini [`SESSION_COOKIE_SECURE`](/fr/6.0/ref/settings/#std-setting-SESSION_COOKIE_SECURE) à `True`. L’utilisation d’un cookie de session sécurisé complique la tâche des renifleurs de trafic réseau quand ils essaient de s’immiscer dans les sessions des utilisateurs. - **security.W012** : [`SESSION_COOKIE_SECURE`](/fr/6.0/ref/settings/#std-setting-SESSION_COOKIE_SECURE) n’est pas défini à `True`. L’utilisation d’un cookie de session sécurisé complique la tâche des renifleurs de trafic réseau quand ils essaient de s’immiscer dans les sessions des utilisateurs. - **security.W013** : l’application [`django.contrib.sessions`](/fr/6.0/topics/http/sessions/#module-django.contrib.sessions) se trouve dans votre réglage [`INSTALLED_APPS`](/fr/6.0/ref/settings/#std-setting-INSTALLED_APPS) mais vous n’avez pas défini [`SESSION_COOKIE_HTTPONLY`](/fr/6.0/ref/settings/#std-setting-SESSION_COOKIE_HTTPONLY) à `True`. L’utilisation d’un cookie de session `HttpOnly` complique la tâche des attaques par script inter-site quand elles essaient de s’immiscer dans les sessions des utilisateurs. - **security.W014** : [`django.contrib.sessions.middleware.SessionMiddleware`](/fr/6.0/ref/middleware/#django.contrib.sessions.middleware.SessionMiddleware) figure dans [`MIDDLEWARE`](/fr/6.0/ref/settings/#std-setting-MIDDLEWARE), mais vous n’avez pas défini [`SESSION_COOKIE_HTTPONLY`](/fr/6.0/ref/settings/#std-setting-SESSION_COOKIE_HTTPONLY) à `True`. L’utilisation d’un cookie de session `HttpOnly` complique la tâche des attaques par script inter-site quand elles essaient de s’immiscer dans les sessions des utilisateurs. - **security.W015** : [`SESSION_COOKIE_HTTPONLY`](/fr/6.0/ref/settings/#std-setting-SESSION_COOKIE_HTTPONLY) n’est pas défini à `True`. L’utilisation d’un cookie de session `HttpOnly` complique la tâche des attaques par script inter-site quand elles essaient de s’immiscer dans les sessions des utilisateurs. - **security.W016** : [`CSRF_COOKIE_SECURE`](/fr/6.0/ref/settings/#std-setting-CSRF_COOKIE_SECURE) n’est pas défini à `True`. L’utilisation d’un cookie CSRF sécurisé complique la tâche des renifleurs de trafic réseau quand ils essaient de voler le jeton CSRF. - **security.W017** : [`CSRF_COOKIE_HTTPONLY`](/fr/6.0/ref/settings/#std-setting-CSRF_COOKIE_HTTPONLY) n’est pas défini à `True`. L’utilisation d’un cookie CSRF `HttpOnly` complique la tâche des attaques par script inter-site quand elles essaient de voler le jeton CSRF. *Ce contrôle est supprimé dans Django 1.11 car le réglage* [`CSRF_COOKIE_HTTPONLY`](/fr/6.0/ref/settings/#std-setting-CSRF_COOKIE_HTTPONLY) *n’offre aucun bénéfice concret.* - **security.W018** : le réglage [`DEBUG`](/fr/6.0/ref/settings/#std-setting-DEBUG) ne devrait pas être défini à `True` pour une application Django déployée. - **security.W019** : [`django.middleware.clickjacking.XFrameOptionsMiddleware`](/fr/6.0/ref/middleware/#django.middleware.clickjacking.XFrameOptionsMiddleware) figure dans [`MIDDLEWARE`](/fr/6.0/ref/settings/#std-setting-MIDDLEWARE), mais [`X_FRAME_OPTIONS`](/fr/6.0/ref/settings/#std-setting-X_FRAME_OPTIONS) n’est pas défini à `'DENY'`. Sauf dans les cas où un site a une bonne raison de servir certaines de ses parties dans un cadre, vous devriez modifier ce réglage à `'DENY'`. - **security.W020** : le réglage [`ALLOWED_HOSTS`](/fr/6.0/ref/settings/#std-setting-ALLOWED_HOSTS) ne peut pas être vide en déploiement. - **security.W021** : vous n’avez pas défini le réglage [`SECURE_HSTS_PRELOAD`](/fr/6.0/ref/settings/#std-setting-SECURE_HSTS_PRELOAD) à `True`. Sans cela, votre site ne peut pas être proposé à la liste de préchargement des navigateurs. - **security.W022** : vous n’avez pas défini le réglage [`SECURE_REFERRER_POLICY`](/fr/6.0/ref/settings/#std-setting-SECURE_REFERRER_POLICY). Sans cela, votre site n’enverra pas d’en-tête Referrer-Policy. Vous devriez envisager d’activer cet en-tête pour protéger la confidentialité des utilisateurs. - **security.E023** : la valeur contenue dans le réglage [`SECURE_REFERRER_POLICY`](/fr/6.0/ref/settings/#std-setting-SECURE_REFERRER_POLICY) n’est pas valable. - **security.E024** : la valeur contenue dans le réglage [`SECURE_CROSS_ORIGIN_OPENER_POLICY`](/fr/6.0/ref/settings/#std-setting-SECURE_CROSS_ORIGIN_OPENER_POLICY) n’est pas valable. - **security.W025** : la clé [`SECRET_KEY_FALLBACKS[n]`](/fr/6.0/ref/settings/#std-setting-SECRET_KEY_FALLBACKS) contient moins de 50 caractères, moins de 5 caractères différents ou est préfixée par `'django-insecure-'`, ce qui indique qu’elle a été générée automatiquement par Django. Veuillez générer une valeur longue et aléatoire, faute de quoi de nombreuses fonctionnalités de Django liées à la sécurité seront vulnérables aux attaques. Les contrôles suivants vérifient que les réglages liés à la sécurité sont correctement configurés : - **security.E100** : `DEFAULT_HASHING_ALGORITHM` doit contenir `'sha1'` ou `'sha256'`. *Ce contrôle est apparu dans Django 3.1 et 3.2*. - **security.E101** : la vue d’échec CSRF `chemin.vers.vue` n’accepte pas le bon nombre d’arguments. - **security.E102** : la vue d’échec CSRF `chemin.vers.vue` n’a pas pu être importée. - **security.E026** : le réglage CSP `` doit être un dictionnaire (et non ``). ### Signaux - **signals.E001** : `` est connecté au signal `` avec une référence différée vers l’expéditeur `<étiquette app>.`, mais `<étiquette app>` n’est pas installé ou ne fournit pas le modèle ``. ### Gabarits Les contrôles suivants vérifient que le réglage [`TEMPLATES`](/fr/6.0/ref/settings/#std-setting-TEMPLATES) est configuré correctement : - **templates.E001** : `'APP_DIRS': True` figure dans votre réglage [`TEMPLATES`](/fr/6.0/ref/settings/#std-setting-TEMPLATES) mais `'loaders'` est aussi dans `OPTIONS`. Supprimez `APP_DIRS` ou l’option `'loaders'`. *Ce contrôle a été supprimé dans Django 5.1 car les contrôles système peuvent dorénavant générer* `ImproperlyConfigured` *à la place.* - **templates.E002** : `string_if_invalid` dans [`TEMPLATES`](/fr/6.0/ref/settings/#std-setting-TEMPLATES) [`OPTIONS`](/fr/6.0/ref/settings/#std-setting-TEMPLATES-OPTIONS) doit être une chaîne, mais c’est actuellement : `{valeur}` (`{type}`). - **templates.E003**: `` est utilisé pour plusieurs modules de balises de gabarits: ``. *Ce contrôle a été modifié en* `templates.W003` *dans Django 4.1.2*. - **templates.W003** : `` est utilisé pour plusieurs modules de balises de gabarits : ``. ### Traduction Les contrôles suivants sont effectués sur votre configuration de traduction : - **translation.E001**: le réglage [`LANGUAGE_CODE`](/fr/6.0/ref/settings/#std-setting-LANGUAGE_CODE) contient une valeur non valide : ``. - **translation.E002** : le code de langue contenu dans le réglage [`LANGUAGES`](/fr/6.0/ref/settings/#std-setting-LANGUAGES) n’est pas valable : ``. - **translation.E003** : le code de langue contenu dans le réglage [`LANGUAGES_BIDI`](/fr/6.0/ref/settings/#std-setting-LANGUAGES_BIDI) n’est pas valable : ``. - **translation.E004**: la valeur contenue dans le réglage [`LANGUAGE_CODE`](/fr/6.0/ref/settings/#std-setting-LANGUAGE_CODE) n’est pas présente dans le réglage [`LANGUAGES`](/fr/6.0/ref/settings/#std-setting-LANGUAGES). ### URL Les contrôles suivants sont effectués sur votre configuration d’URL : - **urls.W001** : le motif d’URL `` utilise [`include()`](/fr/6.0/ref/urls/#django.urls.include) avec une expression `route` se terminant par `$`. Enlevez le dollar de l’expression `route` pour éviter des problèmes lors de l’inclusion d’URL. - **urls.W002** : le motif d’URL `` possède une expression `route` commençant par `/`. Enlevez cette barre oblique car elle n’est pas nécessaire. Si ce motif est référencé par un [`include()`](/fr/6.0/ref/urls/#django.urls.include), vérifiez que le motif [`include()`](/fr/6.0/ref/urls/#django.urls.include) se termine par `/`. - **urls.W003** : le motif d’URL `` possède un nom `name` contenant un `:`. Enlevez ces deux-points pour éviter des références d’espaces de noms ambigus. - **urls.E004** : le motif d’URL `` n’est pas valide. Vérifiez que `urlpatterns` est bien une liste d’instances [`path()`](/fr/6.0/ref/urls/#django.urls.path) ou [`re_path()`](/fr/6.0/ref/urls/#django.urls.re_path). - **urls.W005** : l’espace de noms d’URL `` n’est pas unique. Il est possible que certains URL de cet espace de noms ne puissent pas être résolus. - **urls.E006** : les réglages [`MEDIA_URL`](/fr/6.0/ref/settings/#std-setting-MEDIA_URL)/ [`STATIC_URL`](/fr/6.0/ref/settings/#std-setting-STATIC_URL) doivent se terminer par une barre oblique. - **urls.E007**: la vue `handlerXXX` personnalisée `'chemin.vers.vue'` ne prend pas le nombre correct de paramètres (…). - **urls.E008** : la vue `handlerXXX` personnalisée `'chemin.vers.vue'` n’a pas pu être importée. - **urls.E009** : le motif d’URL `` possède un vue non valable, passez `.as_view()` au lieu de ``. - **urls.W010** : le motif d’URL `` possède un `` non symétrique. ## Contrôles des applications `contrib` ### `admin` Les contrôles de l’interface d’administration sont tous effectués sous l’étiquette `admin`. Les contrôles suivants sont effectués sur toute classe (ou sous-classe de) [`ModelAdmin`](/fr/6.0/ref/contrib/admin/#django.contrib.admin.ModelAdmin) qui est inscrite auprès du site d’administration : - **admin.E001** : la valeur de `raw_id_fields` doit être une liste ou un tuple. - **admin.E002** : la valeur de `raw_id_fields[n]` fait référence à ``, qui n’est pas un champ de ``. - **admin.E003** : la valeur de `raw_id_fields[n]` doit être une clé étrangère ou un champ plusieurs-à-plusieurs. - **admin.E004** : la valeur de `fields` doit être une liste ou un tuple. - **admin.E005** : `fieldsets` et `fields` sont tous deux spécifiés. - **admin.E006** : la valeur de `fields` contient des champs en double. - **admin.E007** : la valeur de `fieldsets` doit être une liste ou un tuple. - **admin.E008** : la valeur de `fieldsets[n]` doit être une liste ou un tuple. - **admin.E009** : la valeur de `fieldsets[n]` doit être de longueur 2. - **admin.E010** : la valeur de `fieldsets[n][1]` doit être un dictionnaire. - **admin.E011** : la valeur de `fieldsets[n][1]` doit contenir la clé `fields`. - **admin.E012** : il y a des champs en double dans `fieldsets[n][1]`. - **admin.E013** : la valeur de `fields[n]/filter_horizontal[n]/filter_vertical[n]/fieldsets[n][m]` ne peut pas inclure le champ `ManyToManyField` ``, car ce champ définit manuellement un modèle de relation. - **admin.E014** : la valeur de `exclude` doit être une liste ou un tuple. - **admin.E015** : la valeur de `exclude` contient des champs en double. - **admin.E016** : la valeur de `form` doit hériter de `BaseModelForm`. - **admin.E017** : la valeur de `filter_vertical` doit être une liste ou un tuple. - **admin.E018** : la valeur de `filter_horizontal` doit être une liste ou un tuple. - **admin.E019** : la valeur de `filter_vertical[n]/filter_horizontall[n]` fait référence à ``, qui n’est pas un champ de ``. - **admin.E020** : la valeur de `filter_vertical[n]/filter_horizontal[n]` doit être un champ plusieurs-à-plusieurs. - **admin.E021** : la valeur de `radio_fields` doit être un dictionnaire. - **admin.E022** : la valeur de `radio_fields` fait référence à ``, qui n’est pas un champ de ``. - **admin.E023** : la valeur de `radio_fields` fait référence à ``, qui n’est pas une instance de clé `ForeignKey` et n’a pas de définition `choices`. - **admin.E024** : la valeur de `radio_fields[]` doit être soit `admin.HORIZONTAL` soit `admin.VERTICAL`. - **admin.E025** : la valeur de `view_on_site` doit être soit un objet exécutable, soit une valeur booléenne. - **admin.E026** : la valeur de `prepopulated_fields` doit être un dictionnaire. - **admin.E027** : la valeur de `prepopulated_fields` fait référence à ``, qui n’est pas un champ de ``. - **admin.E028** : la valeur de `prepopulated_fields` fait référence à ``, qui ne doit pas être un champ `DateTimeField`, `ForeignKey`, `OneToOneField` ni `ManyToManyField`. - **admin.E029** : la valeur de `prepopulated_fields[]` doit être une liste ou un tuple. - **admin.E030** : la valeur de `prepopulated_fields` fait référence à ``, qui n’est pas un champ de ``. - **admin.E031** : la valeur de `ordering` doit être une liste ou un tuple. - **admin.E032** : la valeur de `ordering` a le marqueur d’ordre aléatoire `?`, mais contient aussi d’autres champs. - **admin.E033** : la valeur de `ordering` fait référence à ``, qui n’est pas un champ de ``. - **admin.E034** : la valeur de `readonly_fields` doit être une liste ou un tuple. - **admin.E035** : la valeur de `readonly_fields[n]` fait référence à ``, qui n’est pas un objet exécutable, un attribut de ``, ni un attribut de ``. - **admin.E036** : la valeur de `autocomplete_fields` doit être une liste ou un tuple. - **admin.E037** : la valeur de `autocomplete_fields[n]` fait référence à ``, qui n’est pas un champ de ``. - **admin.E038** : la valeur de `autocomplete_fields[n]` doit être une clé étrangère ou un champ plusieurs-à-plusieurs. - **admin.E039** : une classe admin du modèle `` doit être inscrite pour être référencée par `.autocomplete_fields`. - **admin.E040** : `` doit définir `search_fields` car il est référencé par `.autocomplete_fields` . #### `ModelAdmin` Les contrôles suivants sont effectués sur toute classes (ou sous-classe de) [`ModelAdmin`](/fr/6.0/ref/contrib/admin/#django.contrib.admin.ModelAdmin) qui est enregistrée auprès du site d’administration: - **admin.E101**: La valeur de `save_as` doit être un booléen. - **admin.E102**: La valeur de `save_on_top` doit être un booléen. - **admin.E103**: La valeur de `inlines` doit être une liste ou un tuple. - **admin.E104** : `` doit hériter de `InlineModelAdmin`. - **admin.E105**: `` doit avoir un attribut `model`. - **admin.E106**: La valeur de `.model` doit être un `Model`. - **admin.E107**: La valeur de `list_display` doit être une liste ou un tuple. - **admin.E108** : la valeur de `list_display[n]` fait référence à `