Un truc important à savoir si tu utilises une configuration personnelle (non basée sur Spacemacs, doom ou autre) et des paquets téléchargés depuis ELPA ou MELPA avec package.el (le système de paquets intégré à Emacs) : par défaut les téléchargements sont en clair (HTTP au lieu de HTTPS), et configurer explicitement la liste des dépôts avec des URLs en HTTPS n'est pas suffisant pour forcer la vérification des certificats SSL/TLS. C'est expliqué en détails dans cet article : Your text editor is malware.
La solution que j'avais trouvée (depuis je suis passé à doom), c'était :
télécharger un fichier de certificats racines à jour mis à disposition par le développeur de curl (en utilisant les certificats du système hôte pour ce premier téléchargement, c'est la ligne 8 dans ce script, donc à ajuster selon l'emplacement de ce fichier sur ton système) ; ce script ne télécharge pas le fichier si la version locale existe et n'est pas plus ancienne que la version sur le serveur
dans la configuration d'Emacs, ajuster certaines variables de configuration, et surtout s'assurer que le script ci dessus est lancé à chaque démarrage d'Emacs (lignes 25-29 dans ce fichier de configuration ; ça ne ralentit presque pas le démarrage, puisque le téléchargement n'a lieu que si le fichier de certificats a été mis à jour), puis s'assurer qu'Emacs utilises bien ce fichier pour trouver les certificats TLS (lignes 31-32 ; d'ailleurs je m'aperçois que ce fichier n'est pas à jour sur GitHub, il faudrait bien sûr décommenter "~/.emacs.d/cacert.pem" dans cette liste)
Avec doom il n'y a pas besoin de faire tout ça car il n'utilise pas package.el : il clone les dépôts git des paquets directement. Et il me semble (mais à vérifier) que git opère bien la vérification des certificats SSL/TLS quand il clone ou fetch depuis une URL en HTTPS.
# Paquets ELPA/MELPA et config perso
Posté par Guillawme (site web personnel, Mastodon) . En réponse au journal Un noob et son Emacs: charger différentes configs au démarrage. Évalué à 5.
Un truc important à savoir si tu utilises une configuration personnelle (non basée sur Spacemacs, doom ou autre) et des paquets téléchargés depuis ELPA ou MELPA avec
package.el(le système de paquets intégré à Emacs) : par défaut les téléchargements sont en clair (HTTP au lieu de HTTPS), et configurer explicitement la liste des dépôts avec des URLs en HTTPS n'est pas suffisant pour forcer la vérification des certificats SSL/TLS. C'est expliqué en détails dans cet article : Your text editor is malware.La solution que j'avais trouvée (depuis je suis passé à doom), c'était :
"~/.emacs.d/cacert.pem"dans cette liste)package.elpour qu'il utilise les URLs en HTTPS pour les dépôts de paquets (lignes 9-23 dans ce fichier).Avec doom il n'y a pas besoin de faire tout ça car il n'utilise pas
package.el: il clone les dépôts git des paquets directement. Et il me semble (mais à vérifier) que git opère bien la vérification des certificats SSL/TLS quand il clone ou fetch depuis une URL en HTTPS.