Version imprimable
Bonjour,
afin de géré un système de mot de passe oublié sur mon site web j'utilise un système GET.
Je souhaiterai savoir quels sont les champs a vérifier afin de ne pas me faire hacker mon site:
Pour le moment je fais ce genre de vérification :
Pour le champ mail par exemple, mais est ce réellement suffisant ??Code:if(isset($_GET['mail']))
Merci d'avance pour votre aide
isset() n'apporte rien en securité.
Pour te répondre, il faudrait connaitre le principe que tu utilises.
Est ce que tu vas lui envoyé le mot de passe oublier par e-mail.
Deja merci pour vos réponses.
En fait je m'explique:
Dans ma BDD j'ai 3 champs:
Nom d'utilisateur
Mot de passe
et mot de passe temporaire
Le mot de passe temporaire est en réalité le code de validation en md5 envoyé en mail.
Exemple: http://mondomaine.com/oubli.php?validation=123456abc
Au moment ou je recois le code 123456abc dans mon formulaire oubli.php je met a jour ma base de donnée en recopiant le mot de passe temporaire dans mot de passe.
Mais j'aimerai que ce lien qui est récupéré en get soit bien sécurisé, vous comprendrez facilement pourquoi ...
Donc ma question est comment faire pour récupéré cette variable de manière sur ?
Merci d'avance
ce qui t'interesse c'est que le mot de passe clair que tu transfert ne soit pas intercepté?
Côté mail, c'est plutot mauvais parce qu'il n'y a rien a faire parce que ce n'est pas chiffré de bout en bout et que tous les intermédiaires peuvent lire le mail par la nature même du systeme smtp.
coté url, si tu veux te garder d'une personne qui pourrait écouter (proxy...) utilise du ssl.
Il n'y a pas de choses sécurisées et de chose pas sécurisée. Il y a des risques identifiés et des contre-mesures.
Si tu ne souhaites pas qu'on puisse espionner, intercepter,... chiffre.
Si tu ne veux pas de vol de compte, supprime la récupération par mail, limite la durée de vie des mots de passes temporaires, utilise sha1 au lieu de md5.
ça c'est bon pour la sécurité vers l'extérieur, c'est a dire, la sécurité que tu garenti à tes clients. la sécurité vers l'intérieur c'est notament d'abuser de filter_var() et verifier la forme de valeur, de verifier les domaines de la valeur (tu attends un entier entre 1 et 10 que se passe t'il si c'est 100 qui arrive?)
vérifier que la variable existe est une précaution de développeur, mais aucunement une mesure de sécurité. Sur mon serveur perso de développement une variable non initialisée génère une exception qui plante le programme. C'est donc pour moi l'étage 1 du bloc de filtrage des entrées, niveau 2 c'est la forme (ex: est-ce que c'est conforme à la RCF pour les mails) etages 3 est ce que ce j'autorise les utilisateurs à avoir un mail en @hotmail.com ???
Si tu veux du mode parano, il faut s'assurer que ton visiteur ne fait pas un brute force oubli.php. Le plus simple est de mettre un dispositif d'alerte (mail, log apache) pour surveiller l'utilisation de cette page.
il y a des milliers de choses a faire. Protege toi de ce que tu penses le plus genant.
j'ai l'impression, en relisant la question, que tu paniques sur l'aspect sécurité... oh je m'occupe du module d'authentification, faut que je fasse de la sécurité.
Tu te feras voler des données plus facilement avec une page de téléchargement qu'avec un module d'authentification. Dans ton cas, écrit ton script comme d'habitude et essais-toi de te pirater tout seul. Si tu y arrives, c'est mauvais signe.
Hmmm oki oki. J'y vois un peu plus claire.
Par contre tu parles de supprimer la récupération par mail ? du coup comment fais tu si l'utilisateur a oublier son mot de passe ?
Et deuxième chose comment fait tu techniquement pour limiter dans le temps un mot de passe temporaire ou un lien de validation ?
Et troisième question comment faire techniquement pour bannir une IP automatiquement au bout de 5 essais infructeux ? (pour eviter le brute force justement)
On en recrée un nouveau, mais il faudra bien l'envoyer par mail (sinon reste la poste :mouarf:)Citation:
Envoyé par nob92
Tu peux bien avoir un champ date dans ta base de donnée. Au moment de la validation il faut que date enregistrée lors de l'envoi du lien de validation ne date pas plus de 30 min par exemple.Citation:
Envoyé par nob92
Pareil, tu enregistre l'ip indésirable dans une bdd (ou un fichier texte) avec l'heure. Pour se connecter ton système se connecte auparavant à cette listeCitation:
Envoyé par nob92
et ignore les ip refusés tant qu'ils n'ont pas plus de x minutes d'attente. Penser à faire du ménage pour supprimer les vieux ip enregistrés.
Merci !
Dites moi dernière question :
A quoi sert htmlentities() (a sécurisé le résultat des input si j'ai bien compris)
et faut-il le combiner avec mysql_real_escape_string() pour rentrer les entrées dans la base de donnée ?
Oui prend l'habitude d'afficher tes variables avec htmlentities ou htmlspecialchars. Cela évite que le contenu de ces variables soit interprété par le serveur et donc que ton site soit piraté dans le cas ou un visiteur ait rentré un code malveillant ... dans un message, un champ de saisie etc. dont le contenu sera affiché.
Certains utilisent htmlentities avant l'entrée des données en bdd. Ce n'est pas recommandé car cela alourdi la base, pose parfois des pb avec des cms, et les données encodées ne sont pas compatibles pour une exportation standard des tables... Bref beaucoup d'inconvénients pour éviter d'utiliser htmlentities ou htmlspecialchars à l'affichage.
PHP n'interprete pas les variables.Citation:
Cela évite que le contenu de ces variables soit interprété par le serveur
C'est le client qui est concerné par l'introduction de javascript.