[PHP] Demande conseils pour la sécurité

Programmation
#1

Bonjour toutes et tous,

Et oui, un endroit où je ne mets pas les doigts normalement… et en plus, ce n’est même pas pour moi que j’viens voir c’qui’s’passe dans ce coin-ci du forum… :016 :wink: :016

Un ami doit mettre en place un site de dépôt (et consultation) de vidéo/photos/media en tout genre (les dépôts seront fait par une ou deux personnes, pas d’inscription à gérer ou autre joyeusetés). Il est “apprenti en auto-formation” dans le domaine du codage (php principalement). Il aurait quelques questions sur la sécurité, questions auxquelles je ne saurai répondre, je vous refourgue donc le bébé (sympa le gars… hein… :005 :whistle: :005 ).

Pourquoi il les pose pas lui directement? Il est timide et tourne encore sous windo* du coup, il ose pas venir se frotter directement aux gros barbus… :016 :whistle: :016

Ci dessous, le copier coller de ses interrogations… d’avance merci pour lui… :wink:

Pour un site en php avec un espace admin via base de données sous phpmyadmin pour insérer des articles sous forme de texte, vidéo et/ou son, je voudrais des conseils les plus complets possible en sécurité pour le serveur.

Je me sers de PDO pour les échanges avec la bdd :

	try { 
		$bdd = new PDO('mysql:host=ftp.note.com;dbname=base2donnees', 'login', 'mdp', array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION));
	} catch(Exception $e) {
		die('Erreur : '.$e->getMessage());
	}

pour les insertions j’utilise les requêtes préparées :

	$req = $bdd->prepare("INSERT INTO table (colonne1, colonne2, colonne3) VALUES(?, ?, ?)");	
	$req->execute(array(
		$colonne1, 
		$colonne2, 
		$colonne3
	));

pour afficher les données je désactive le html avec htmlspecialchars().
Pour accéder à l’espace admin il y a un mdp via la bdd et si on essaye d’y accéder par une autre page que la 1è, on ne peut pas accéder à la page (token).

qu’est-ce que j’ai oublié ?

merci pour l’aide.

:006

#2

Pour dépasser le troll de “PHP et sécurité”, je ne peux conseiller que la lecture de bons nombres d’articles trouvables sur le net.

Un bon point de départ que j’ai maintes fois utilisées quand je codais encore en PHP : php.net/manual/fr/security.php
Ce n’est qu’un point de départ. Je n’ai jamais réussi à avoir une approche sécurité “propre” avec PHP. La méthode que j’avais adoptée est de voir quelles peuvent être les vulnérabilités, puis vérifier que mon code n’est pas concerné.

#3

Merci beaucoup pour cette réponse, je transmets… :wink:

:006

#4

@Dunatotatos (et aux autres hein…): pour ma curiosité, tu codes en quoi pour du “dynamique” (et sécurisé)?

:006

#5

Je suis devenu un inconditionnel de Django, un framework Python.

#6

Ma curiosité te remercie… :wink:

:006

#7

Mais de rien :slightly_smiling:
Heureux de pouvoir satisfaire ta curiosité :dance:

#8

De temps en temps, allez faire un petit tour sur : us-cert.gov/

#9

[quote=“MicP”]De temps en temps, allez faire un petit tour sur : us-cert.gov/[/quote]Oui… merci pour ce conseil… :wink:

:006