Discussion :

[belouga79]

Bonjour,
Comme le code PHP est exécuté côté serveur, je pensais être tranquille en écrivant en clair ma connexion à MySQL :

Code PHP :

Sélectionner tout - Visualiser dans une fenêtre à part

$bdd = new PDO('mysql:host=host; dbname=nom_db; charset=utf8', 'user', 'mdp');

Mais il semblerait que ce soit une vulnérabilité : les pirates peuvent lire le code et récupérer ces identifiants.
Curieusement je n'arrive pas à trouver une réponse claire sur la meilleure façon de sécuriser des données sensibles.

J'ai vu qu'on pouvait les déclarer dans .htaccess et les récupérer avec getenv()... mais si ils peuvent lire le PHP, ils pourront aussi lire ce fichier ! Non ?

D'où ma question : comment sécuriser des données sensibles (identifiant MySQL, mdp, clés API...) tout en y ayant accès depuis PHP ?

Pour info, je suis en serveur mutualisé chez LWS, donc les modifs de config PHP sont limitées.
Par avance, merci.
Dav.

[NuageDev81]

Le risque principal n'est pas que le visiteur lise directement ton PHP : normalement le serveur l'exécute et ne renvoie que le HTML. Le vrai problème, c'est plutôt une fuite de code, une sauvegarde exposée, un mauvais déploiement, ou une faille qui donne accès aux fichiers.

Sur mutualisé, je ferais simple : un fichier de configuration PHP non versionné, si possible hors du répertoire public, inclus par l'application ; droits fichiers les plus restrictifs possibles ; et côté MySQL un utilisateur dédié avec seulement les droits nécessaires. Mettre des variables dans .htaccess n'apporte pas grand-chose si l'attaquant peut lire tous les fichiers du compte. Pour les clés API, même logique : limiter les droits de la clé, la restreindre par domaine/IP si le fournisseur le permet, et prévoir une rotation si elle a pu fuiter.

[belouga79]

Bonjour,
Merci pour cette réactivité.
Pour ce qui est de la modification du fichier de configuration (php.ini ?) je ne suis pas sûr que ce soit possible en mutualisé chez LWS.
Ensuite comment fait-on "un fichier PHP non versionné" ? Est-ce qu'il s'agit du masquage de la version utilisée via expose_php ... dans php.ini ?

J'ai posé la question sur d'autres forums et à LWS. Il en ressort :
- confirmation que mettre les données dans htaccess et les récupérer avec getenv() est une erreur (même si ca fonctionne)
- le code php n'est effectivement pas visible depuis les navigateurs
- mais les fichiers pourraient être téléchargés puisque leur url est visible dans les fetch JS
- du coup : toutes les données sensibles sont à mettre dans un fichier.php
> dont l'url ne sera jamais visible côté navigateur : jamais appelé depuis js
> qui ne sera inclus que dans les php qui en ont besoin
> qui aura des permissions strictes 600 ou même 400
> qui pourrait contenir un test de sécurité : vérifier que l'appel est bien réalisé par mes fichiers php

Encore merci pour ce retour.
Dav.