Isoler les scripts PHP dans leurs VHOST

Bonjour à tous,

Je cherche la meilleur méthode pour isoler les différents vhost de mon serveur.
Le but de la manœuvre est qu'une faille sur l'un des sites ne puisse avoir d'impact sur d'autres vhost et évidement le système. Un CHROOT PHP pour vhost quoi :)

En me renseignant, j'ai compris qu'il y avait plusieurs méthodes et ai trouvé le module MPM-itk (qui remplace MPM-prefork). Il à l'air vraiment simple à installe et configurer.

Qu'en pensez vous ? Surtout au niveau des performances.
Avez vous un retour d'expérience sur les méthodes pour isoler les Vhosts ?

Moi perso, j'utilise une instance Apache par vhost. Niveau sécu, c'est pas mal mais niveau perfs y'a beaucoup mieux....

Tout dépend du besoin....

Ca ?

Merci pour vos réponses :)

Voici le petit tours d'horizon des différentes méthodes que j'ai pu trouver.
Désolé pour la longueur, je ne fais pas d'admin système tous les jours et me sert de ce post comme aide mémoire.

Il convient de distinguer 2 choses :

les MPMs Apache, qui traite les requêtes entrante pour apache. Il faut en choisir un pour le serveur Apache
les serveurs d'API PHP (SAPI) qui relie Apache à l’interpréteur PHP. On peux utiliser différent SAPI pour chaque VHOST Apache

MPM APACHE

MPM Prefork

MPM historique d'Apache.
pas multi thread
compatible avec tous les serveur d'API PHP
c'est le seul MPM compatible avec le serveur d'API PHP mod_PHP
il est lent et consomme des ressources
pas de séparation de droits possible

MPM Worker

multi thread
rapide
Compatible avec tous les serveur d'API PHP sauf mod_php
MPM conseillé dans tous les cas, sauf quand mod_php est nécéssaire

MPM Itk

similaire au MPM prefork
pas de multi thread
Séparation de droits possible pour les scripts

SERVEUR API PHP (SAPI)

modphp
fonctionne uniquement avec un MPM nono thread
lent
pas de séparation de droit

CGI
Suphp
Séparation possible pour les scripts PHP uniquement
Performance faible
Pas de prise en charge des caches d'opcode

Suexec
Séparation possible pour tous les scripts
Performance faible
Pas de prise en charge des caches d'opcode

FastCGI

mod_fastcgi

mod_fcgid
incompatible avec php-fpm