0,'path'=>'/','secure'=>true,'httponly'=>true,'samesite'=>'Strict']); session_start(); header('X-Content-Type-Options: nosniff'); header('Referrer-Policy: strict-origin-when-cross-origin'); header('X-Frame-Options: DENY'); header('Cache-Control: no-store, max-age=0'); const MAX_NAME = 60; const MAX_MESSAGE = 1200; const RETENTION_DAYS = 365; $dataDir = __DIR__ . '/livre-or-data'; $dataFile = $dataDir . '/messages.json'; function e(string $s): string { return htmlspecialchars($s, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'); } function load_messages(string $file, bool $prune = false): array { $fp = @fopen($file, 'c+'); if (!$fp) return []; if (!flock($fp, LOCK_EX)) { fclose($fp); return []; } rewind($fp); $raw = stream_get_contents($fp); $rows = json_decode($raw ?: '[]', true); if (!is_array($rows)) $rows = []; $cutoff = time() - RETENTION_DAYS * 86400; $rows = array_values(array_filter($rows, static fn($r) => is_array($r) && isset($r['created']) && (int)$r['created'] >= $cutoff)); if ($prune) { rewind($fp); ftruncate($fp, 0); fwrite($fp, json_encode($rows, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)); fflush($fp); } flock($fp, LOCK_UN); fclose($fp); return $rows; } function append_message(string $file, array $newRow): bool { $fp = @fopen($file, 'c+'); if (!$fp || !flock($fp, LOCK_EX)) { if ($fp) fclose($fp); return false; } rewind($fp); $raw = stream_get_contents($fp); $rows = json_decode($raw ?: '[]', true); if (!is_array($rows)) $rows = []; $cutoff = time() - RETENTION_DAYS * 86400; $rows = array_values(array_filter($rows, static fn($r) => is_array($r) && isset($r['created']) && (int)$r['created'] >= $cutoff)); $rows[] = $newRow; rewind($fp); ftruncate($fp, 0); $ok = fwrite($fp, json_encode($rows, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)) !== false; fflush($fp); flock($fp, LOCK_UN); fclose($fp); return $ok; } function valid_facebook_url(string $url): bool { if (strlen($url) > 255 || preg_match('/[\x00-\x20\x7F]/', $url)) return false; $parts = parse_url($url); if (!is_array($parts) || strtolower((string)($parts['scheme'] ?? '')) !== 'https') return false; $host = strtolower(rtrim((string)($parts['host'] ?? ''), '.')); if (!in_array($host, ['facebook.com', 'www.facebook.com', 'm.facebook.com'], true)) return false; if (isset($parts['user']) || isset($parts['pass']) || (isset($parts['port']) && (int)$parts['port'] !== 443)) return false; return isset($parts['path']) && $parts['path'] !== '/' && filter_var($url, FILTER_VALIDATE_URL) !== false; } function clean_text(string $s, int $max): string { $s = trim(str_replace(["\r\n", "\r"], "\n", $s)); $s = preg_replace('/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]/u', '', $s) ?? ''; if (function_exists('mb_substr')) return mb_substr($s, 0, $max, 'UTF-8'); return substr($s, 0, $max); } if (!isset($_SESSION['guestbook_csrf'])) $_SESSION['guestbook_csrf'] = bin2hex(random_bytes(32)); $formTime = time(); $formSig = hash_hmac('sha256', (string)$formTime, (string)$_SESSION['guestbook_csrf']); $notice = ''; if ($_SERVER['REQUEST_METHOD'] === 'POST') { $provided = is_string($_POST['csrf'] ?? null) ? $_POST['csrf'] : ''; $trap = is_string($_POST['website'] ?? null) ? trim($_POST['website']) : ''; $postedTime = is_string($_POST['form_time'] ?? null) ? $_POST['form_time'] : ''; $postedSig = is_string($_POST['form_sig'] ?? null) ? $_POST['form_sig'] : ''; $now = time(); $last = (int)($_SESSION['guestbook_last_post'] ?? 0); $nameRaw = is_string($_POST['name'] ?? null) ? $_POST['name'] : ''; $messageRaw = is_string($_POST['message'] ?? null) ? $_POST['message'] : ''; $name = clean_text($nameRaw, MAX_NAME); $message = clean_text($messageRaw, MAX_MESSAGE); $facebookUrl = is_string($_POST['facebook_url'] ?? null) ? trim($_POST['facebook_url']) : ''; $consent = isset($_POST['consent']) && $_POST['consent'] === 'yes'; $timingValid = ctype_digit($postedTime) && hash_equals(hash_hmac('sha256', $postedTime, (string)$_SESSION['guestbook_csrf']), $postedSig) && $now - (int)$postedTime >= 3 && $now - (int)$postedTime <= 7200; $facebookValid = $facebookUrl === '' || valid_facebook_url($facebookUrl); if (!hash_equals((string)$_SESSION['guestbook_csrf'], $provided) || !$timingValid || $trap !== '' || ($last && $now - $last < 60)) { $notice = 'Votre message n’a pas pu être envoyé. Vérifiez le formulaire et réessayez dans un instant.'; } elseif (!$consent || $message === '' || strlen($nameRaw) > 512 || strlen($messageRaw) > 10000 || preg_match('//u', $name) !== 1 || preg_match('//u', $message) !== 1 || !$facebookValid) { $notice = 'Merci de vérifier le message, le lien Facebook et la case de publication.'; } elseif (!is_dir($dataDir) || !is_writable($dataDir)) { $notice = 'Le Livre d’or est momentanément indisponible.'; } else { $ok = append_message($dataFile, ['name' => $name !== '' ? $name : 'Visiteur', 'message' => $message, 'facebook_url' => $facebookUrl, 'created' => $now, 'approved' => false]); if ($ok) { $_SESSION['guestbook_last_post'] = $now; $_SESSION['guestbook_csrf'] = bin2hex(random_bytes(32)); $notice = 'Merci pour votre message. Il sera visible après validation.'; } else $notice = 'Le Livre d’or est momentanément indisponible.'; } } $rows = load_messages($dataFile, true); $approved = array_values(array_filter($rows, static fn($r) => !empty($r['approved']))); ?> Livre d’or — Voleur d’images
← Voleur d’images

Un mot de votre visite

Livre d’or

Merci de partager vos impressions après votre visite. Les messages sont vérifiés avant leur publication.

Partager le Livre d’or sur Facebook

Laisser un message

Ajoutez le lien public de votre profil. Il sera affiché comme lien vers Facebook après validation, uniquement si vous le renseignez.

1 200 caractères maximum. N’indiquez pas d’adresse, de numéro de téléphone ni d’autre information personnelle.

Les mots des visiteurs

Aucun message publié pour le moment.

Confidentialité et données personnelles

Le formulaire ne demande ni adresse e-mail ni adresse postale. Le nom ou pseudonyme et le message, ainsi que le lien Facebook si vous le fournissez, sont utilisés uniquement pour gérer et, après validation et avec votre accord, afficher votre contribution. Ils sont conservés au maximum 12 mois, puis supprimés automatiquement lors d’une visite du Livre d’or. Aucun outil publicitaire ni traceur n’est installé par cette page. Le code du Livre d’or ne conserve pas votre adresse IP ; l’hébergeur peut toutefois traiter des données techniques dans ses journaux selon ses propres règles.

Vous pouvez demander la suppression de votre contribution au responsable du site, Helis Denis, par le moyen de contact indiqué sur le site. Ne publiez pas d’informations concernant une autre personne. Les messages sont soumis à validation et peuvent être refusés ou supprimés.