Discussion :

[krokette]

Bonjour à tous, je suis nouveau sur ce forum.

Je cherche un avis au sujet de la sécurité que j'aimerais mettre en place.

Je construis petit à petit une base de données MySQL. Personne ne doit y avoir accès sauf moi.

Jusqu'à présent, c'était simple, j'injectais les données en passant par phpmyadmin.

A l'avenir, j'aimerais pouvoir utiliser une interface personnalisée pour mettre à jour les données et les consulter (envoi par formulaire, récupération des données triées par un script php, etc...).

J'ai lu sur le web que les scripts php mal sécurisés ouvraient la porte aux individus mal intentionnés. Or, je débute en php et mes scripts seront plus que probablement mal sécurisés.

Si je mets tous mes fichiers php dans un directory protégé par htaccess, avec le htpasswd situé en dehors de l'arborescence web (donc inaccessible), est-ce que cela constitue une protection efficace ?

Le but est de pouvoir utiliser des php de débutant, mal conçus et contenant des tas d'infos confidentielles non sécurisées, sans que ces failles sécuritaires puissent être exploitées par un pirate puisqu'il n'aurait accès à aucun script.

Par exemple, je ne vois pas comment il pourrait faire des injections MySQL via les formulaires s'il n'a pas accès à ces formulaires...

Par mesure de précaution, j'aimerais cependant avoir confirmation que ma façon de procéder est correcte, raison pour laquelle je me tourne vers votre avis d'expert

Merci !

[julp]

Si je mets tous mes fichiers php dans un directory protégé par htaccess, avec le htpasswd situé en dehors de l'arborescence web (donc inaccessible), est-ce que cela constitue une protection efficace ?

Oui bien qu'on puisse aller plus loin (mais ce n'est sans doute pas nécessaire ici)

Par exemple, je ne vois pas comment il pourrait faire des injections MySQL via les formulaires s'il n'a pas accès à ces formulaires...

Oui en effet. Mais il faudra bien en passer par là. Notez que nous avons un certain nombre d'articles couvrant divers aspects de la sécurité par rapport à PHP (voir au-delà) : http://php.developpez.com/cours/?page=securite

[krokette]

Merci beaucoup de m'avoir répondu si vite.

Me voila rassuré.

Bonne fin de journée.