question securité [sitephp]

[diden138]

bonjour,
bon je vien de creer mon site en php avant de l'heberger je voulais juste savoir qu'elle etaient toutes les faill possible je suis debutant en php et je veux pas non plus qu'on me pirate mon site j'ai lu plusieurs articles sur les failles en php je l'ai ai corriger heureusement mais y'a une chose qui raude dans ma tete si le pirate s'amuse a indexé les repertoire de mon site il va trouvé lefichier fonction.php et si il l'ouvre in prend le mot de passe de la base de donnée et tout et tous je voulais savoir comment faire pour remedier a cela est ce qu'il ya une astuce

[julp]

Comme tous les débutants vous semblez oubliés une chose (tout le monde est passé par là) : le code PHP est exécuté côté serveur. Donc les clients n'ont pas accès à votre code source PHP.


Voilà pour le rappel, Julp.

[Eusebius]

Envoyé par julp

Comme tous les débutants vous semblez oubliés une chose (tout le monde est passé par là) : le code PHP est exécuté côté serveur. Donc les clients n'ont pas accès à votre code source PHP.


Voilà pour le rappel, Julp.

Sauf erreurs de configurations, scripts d'include en .inc...

[diden138]

je sais ça mais si il index le repertoire de mon site avec intelitemper ou flash get
il va trouver le fichier fonction.php dans ce fichier y'a les parametres d'aces a ma base de donnée donc qu'est ce que je peux faire pour remedier a cela

[Eusebius]

Envoyé par diden138

je sais ça mais si il index le repertoire de mon site avec intelitemper ou flash get
il va trouver le fichier fonction.php dans ce fichier y'a les parametres d'aces a ma base de donnée donc qu'est ce que je peux faire pour remedier a cela

niveau 1 : tu laisses comme ça, le code PHP n'est pas accessible
-- à partir de là, je suppose que c'est un fichier sur lequel tu fais un "include" --
niveau 2 : tu protèges le répertoire où est ce script par un fichier .htaccess
niveau 3 : tu places ce fichier en-dehors du DocumentRoot du serveur web, en faisant attention que le répertoire soit accessible par PHP (dans le open_basedir s'il est activé)

[diden138]

effectivement j'ai mi un include vers ce fichier mais meme si je le protege le repertoire avec un .htacces desque le pirate telecharge les fichiers sur son pc y'a plus de serveur apache pour executer le .htacess donc il finira par l'ouvrir et recuperer les données corrigez moi si je me trompe..

[Eusebius]

Envoyé par diden138

effectivement j'ai mi un include vers ce fichier mais meme si je le protege le repertoire avec un .htacces desque le pirate telecharge les fichiers sur son pc y'a plus de serveur apache pour executer le .htacess donc il finira par l'ouvrir et recuperer les données corrigez moi si je me trompe..

Tu te trompes : il ne PEUT PAS télécharger ces fichiers. Il ne peut télécharger que les sources générées par le parseur PHP, et uniquement si le .htacess lui donne l'accès.

[diden138]

Donc si je resume bien je protege mon repertoire x je met dedan mon fichier fonction.php +htaccess et le htpasswd et mon fichier sera proteger c'est juste pour confirmer
ps:en plus de ça je voudrais savoir un peu plus sur ces question de securité parceque sincerement je suis un peu parano.. et comment contrer ces faill merci encore

[Eusebius]

Envoyé par diden138

Donc si je resume bien je protege mon repertoire x je met dedan mon fichier fonction.php +htaccess et le htpasswd et mon fichier sera proteger c'est juste pour confirmer

Si tu fais ça correctement, oui, c'est raisonnablement sécurisé.

Envoyé par diden138

ps:en plus de ça je voudrais savoir un peu plus sur ces question de securité parceque sincerement je suis un peu parano.. et comment contrer ces faill merci encore

Houlà, c'est général ça comme question

[diden138]

par exemple
est ce obligatoire de crypter les données apres l'envoi d'un formulaire que ne faut'il pas faire bref tous les gestes qui sauve un site surtout avec ces jeunes hacker qui s'attaque au new webmaster..

[diden138]

mon hebergeur (ifrance ) ne prend pas en compte les fichiers .htacess comment faire

[Eusebius]

Envoyé par diden138

mon hebergeur (ifrance ) ne prend pas en compte les fichiers .htacess comment faire

Pas du tout ??
bon alors on va refaire nos niveaux de sécurité :
1. tu laisses tel quel
2. tu changes d'hébergeur

J'ai l'intuition que ton application n'aura pas forcément à se "défendre" contre des "pirates" qui auraient les moyens d'attaquer les serveurs de iFrance. Par conséquent, si tu places bien tes informations sensibles dans un fichier .php séparé et sans aucune erreur, je pense que les risques sont limités.

[diden138]

je crois que la faute vient plutot de moi j'arrive pas a mettre en place le .htaccess est ce qu'il faut configurer le serveur apache pour qu'il marche