(13-01-2012, 11:35 PM)Ter Rowan a écrit : a noter perso, c'est surtout l'aspect golive et post golive qui m'intéresse (donc modération etc...) parce que pour le reste j'ai ce qu'il faut... ici ^^ mais évidemment ça a sa place dans ton blog.

et si jamais tu peux faire des trucs vraiment sérieux sur la sécurité ça m'intéresse aussi, puisque les vilains coquins de jeuweb me font pas un truc bien blindés malgré mes appels répétés :p

• La sécurité du serveur en lui-même : tenir son système à jour, avoir des mots de passes forts et utiliser de l'authentification forte. Ok. Quelles distributions ?
  
• La sécurité du serveur Web : mettre les fichiers sensibles hors du document_root, restreindre l'accès à certains répertoire, etc. Ok, mais il faut couvrir au moins Apache et Nginx.
  
• La sécurité de la base de données : ne pas utiliser le compte root, ne pas laisser le mot de passe par défaut de root, etc. Ok, à faire au moins pour MySQL, PostgreSQL.
  
• La sécurité de l'application l'application Web : contrôle l'accès à certaines pages selon des permissions, éviter les failles CSRF, XSS, les injections SQL, etc. Ok, mais avec quels langages ? Quels frameworks ? Et comment fournir quelque chose adaptable pour tout le monde pour les gens qui font tout en vieux PHP from scratch ?
  
• La sécurité du code métier : empêcher que le mec s'attaque lui-même ou un type qui n'est pas à portée, empêcher que le mec gagne des sous en mettant un prix négatif, etc. Ok, mais ça dépend des besoins de chacun.
  

(14-01-2012, 12:58 PM)Sephi-Chan a écrit : Le problème Ter Rowan, c'est que pour un article sur la sécurité, il y a plein de choses à dire mais l'amplitude du niveau requis est conséquente !

• La sécurité du serveur en lui-même : tenir son système à jour, avoir des mots de passes forts et utiliser de l'authentification forte. Ok. Quelles distributions ?
  
• La sécurité du serveur Web : mettre les fichiers sensibles hors du document_root, restreindre l'accès à certains répertoire, etc. Ok, mais il faut couvrir au moins Apache et Nginx.
  
• La sécurité de la base de données : ne pas utiliser le compte root, ne pas laisser le mot de passe par défaut de root, etc. Ok, à faire au moins pour MySQL, PostgreSQL.
  
• La sécurité de l'application l'application Web : contrôle l'accès à certaines pages selon des permissions, éviter les failles CSRF, XSS, les injections SQL, etc. Ok, mais avec quels langages ? Quels frameworks ? Et comment fournir quelque chose adaptable pour tout le monde pour les gens qui font tout en vieux PHP from scratch ?
  
• La sécurité du code métier : empêcher que le mec s'attaque lui-même ou un type qui n'est pas à portée, empêcher que le mec gagne des sous en mettant un prix négatif, etc. Ok, mais ça dépend des besoins de chacun.
  

Enfin voilà, c'est un sujet extrêmement large et ça décourage les auteurs potentiels : il faut essayer de leur donner plus de pistes qui les aideront à commencer. C'est déjà très dur d'écrire un article, si en plus il faut couvrir un truc immense et/ou mal défini, c'est mission impossible et personne ne s'y aventurera.

server {

  listen      80;

  server_name jeuweb.org;

  root        /home/jeuweb/public_html;

  index       index.php;

}

/home/avatar_displayer

├── avatars

│   ├── 1.png

│   ├── 2.png

│   └── 3.png

└── public

    └── avatar.php

<?php

$filename = mt_rand(1, 3) . ".png";

$filepath = "../avatars/" . $filename;



header('Content-Type: image/png');

header('Content-Disposition: inline');

header('Content-Transfer-Encoding: binary');

header('Content-Length: ' . filesize($filepath));

readfile($filepath);

?>

Citation :En revanche, votre application (écrite en PHP, par exemple) pourra accéder aux répertoires sous-jacents.

(15-01-2012, 09:54 PM)Ter Rowan a écrit : ok pour le pourquoi avant le comment et merci pour ce premier point

quelques critiques (et la je suis béotien, je ne sais pas quoi mettre)

(+) le pourquoi n'est pas suffisant :
je ne sais pas comment moi, simple internaute, je peux accéder aux fichiers de document root (ça doit être ultra basique comme sujet mais voilà 0 idée, bien sûr en cherchant je trouverais, bien sûr en réfléchissant un peu j'ai l'intuition du machin, maisbon c'est mieux en le mettant noir sur blanc

(15-01-2012, 09:54 PM)Ter Rowan a écrit : (+) le pourquoi n'est pas suffisant 2 :

Citation :En revanche, votre application (écrite en PHP, par exemple) pourra accéder aux répertoires sous-jacents.

Pourquoi ? j'imagine que ce n'est pas l'utilisateur mais le serveur (ou le script, ou le je sais pas quoi un truc du genre) qui a accès au fichier mais juste quelques mots la dessus serait pas mal pour bien comprendre

(15-01-2012, 09:54 PM)Ter Rowan a écrit : Depuis je pisse du php plus ou moins propre à la maison, mais toujours en localhost, avec des installations "automatisées" double clic et hop ça marche donc évidemment chuis un peu quiche la dessus, je me suis jamais frotté au web réel ^^ (sauf dans mon boulot, en tant que manager / aboyeur mais là c'est une autre histoire)