Sécuriser et protéger son site web

[staboolx]

Bonjour à tous,

J'ai trouvé un lien fort interressant sur le forum OVH concernant la sécurisation d'un site web. Tout (ou presque) se passe via le fichier .htaccess.

Les thèmes abordés sont :
- Les droits d'écriture, de lecture et d'exécution
- Les mots de passe
- Register_Globals sur OFF
- Interdire l'accès au .htaccess depuis le navigateur
- Interdire de lister le contenu d'un dossier
- Exclure les logiciels suspects utilisés par les pirates et certains aspirateurs de site web
- Autorise l'affichage que de certains fichiers
- Interdiction du hotlinking
- Bloquer certaines requêtes bizarres
- Bloquer toute une série de failles potentielles
- Bloque la plupart des commandes de scripts
- Crypter son fichier config.inc.php
- Installation d'une base SQL
- ...
- Cryptez votre adresse e-mail
- ...


Source : http://forum.ovh.com/showthread.php?t=19263

Qu'en pensez vous?
Utilisez vous d'autres techniques?

[kazhar]

http://www.webrankinfo.com/forums/viewtopic_57433.htm

[Djoudje]

je fais une petite reco pour ce post, très intéressant et super complet.
Juste une question: on dit que le htaccess est gourmand en ressources, mettre en oeuvre toutes les préconisations ne va-t-il pas ralentir le serveur?

[Jeviensderio]

On a la sécurisation mutualisée sur OVH et la version dédiée sur WRI.
Merci pour ces liens.

[marion17]

merci de ce message, petite question technique :

### FILTRE CONTRE XSS, base64_encode SALETE , DEFINIR VARIABLE PHP GLOBALS VIA URL, MODIFIER VARIABLE _REQUEST VIA URL
RewriteCond %{REQUEST_METHOD} (GET|POST) [NC]
RewriteCond %{QUERY_STRING} ^(.*)(%3C|<)/?script(.*)$ [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)(%3D|=)?javascript(%3A|:)(.*)$ [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)document\.location\.href(.*)$ [OR]
RewriteCond %{QUERY_STRING} ^(.*)base64_encode(.*)$ [OR]
RewriteCond %{QUERY_STRING} ^(.*)GLOBALS(=|[|%[0-9A-Z]{0,2})(.*)$ [OR]
RewriteCond %{QUERY_STRING} ^(.*)_REQUEST(=|[|%[0-9A-Z]{0,2})(.*)$
RewriteRule (.*) - [F]


Il faut mettre quoi dans les variable "GLOBAL" et "_REQUEST" svp ? le simple nom de domaine ? ca detecte tout seul ?

et comme Djoudje j'aimerais savoir si il consomem beaucoup de ressource CPU le Htacess bien garni, surtout pour le filtre anti aspirateur , car il verifie a chaque affichage le user agent et le compare a la longue liste ?

merci



merci

[staboolx]

Il faut mettre quoi dans les variable "GLOBAL" et "_REQUEST" svp ? le simple nom de domaine ? ca detecte tout seul ?

Tu n'a rien à ajouter, l'expression régulière regarde si "GLOBAL" ou "_REQUEST" sont saisis dans l'adresse et applique la règle de réécriture.

et comme Djoudje j'aimerais savoir si il consomem beaucoup de ressource CPU le Htacess bien garni, surtout pour le filtre anti aspirateur , car il verifie a chaque affichage le user agent et le compare a la longue liste ?

Ca serait interressant à connaitre en effet...

[Jeviensderio]

et comme Djoudje j'aimerais savoir si il consomem beaucoup de ressource CPU le Htacess bien garni, surtout pour le filtre anti aspirateur , car il verifie a chaque affichage le user agent et le compare a la longue liste ?

Je pense que le temps de traitement d'un fichier texte est négligeable par rapport au temps de transfert sur le Net. Moins d'un dixième de seconde.

[smart-http]

Merci pour ces informations