Configurer proprement Apache et php

[Dadou]

Bonjour,

Suite à une tentative de mise en production douloureuse cause d'admin sys en vacances (il choisi bien son moment lui) j'ai quelques difficultés a paramétrer correctement un serveur

Pour apache, dans le fichier de conf, pour l'instant j'ai renseigné les valeurs suivantes :

ServerSignature Off

ServerToken Off

Dans le php ini,

expose_php = Off

J'ai voulu modifier le user_id et le group_id pour les mettre tous les deux a 100 au lieu de 48, mais j'ai des problèmes avec les sessions et les fichiers temporaires, et c'est cette partie que j'aimerais savoir comment configurer proprement.

[Kent]

Salut,

Quel est ton système d'exploitation ?

Pour les user_id et group_id , tu parles de ceux qu'utilise apache pour exploiter le système de fichier ?

Si tu les as changés et que les répertoires pour écrire les sessions appartiennent toujours à l'ancien id, il est normal que tu obtienne des problèmes.

Pense à changer le propriétaire des répertoires pour les sessions

Sous linux :

chown group:user monrepertoire

// Pour le repertoire + tous ses fils

chown group:user monrepertoire -R

++

[Dadou]

J'ai une fedora,

Pour les user c'est apache leur petit nom, je vais voir pour donner les bons droits au dossier de session

[Kioob]

Hello,

généralement on change les droits de PHP, pas ceux d'Apache. Es-tu certain de bien vouloir faire ça ?

[Dadou]

J'ai le choix entre le user Root ou le user Apache, il y en a un diffèrent pour PHP?

[Kioob]

euh tu disais "a 100 au lieu de 48" ; là dedans ni l'un ni l'autre de correspond à "root". Donc à quoi correspondent tes ID 100 et 48 ? (désolé j'ai pas de fedora)

Pour PHP, pas en standard non justement. Mais généralement on essaye d'utiliser un compte différent par site/application, par mesure de sécurité. Enfin c'est un poil plus complexe à mettre en place, vaut mieux laisser faire l'admin sys pour ça.

[Dadou]

Il a prit ses vacances l'admin sys pendant une période de mise en production . Sur le serveur il n'y aura qu'un seul site, donc je comprend bien le fait de créer un user par appli, mais la comme il n'y en a qu'une, est ce bien nécessaire?

Pour les id_user et id_group, j'ai utilisé phpsecinfo : http://phpsec.org/projects/phpsecinfo/ et c'est lui qui m'a conseillé de changer les id

[Kioob]

Si tu n'as pas non plus de phpmyadmin, openx, ou autres applis pouvant faire office de porte dérobée, non pas besoin de changer les users PHP (enfin, faut pas non plus qu'Apache soit propriétaire des fichiers quoi).

Quant à phpsecinfo, la seule fois que je l'ai testé c'était dans un environnement FastCGI+SuExec, et il racontait un peu beaucoup n'importe quoi.

[Dadou]

Non non, rien d'autre, le serveur à été monté uniquement pour le site

[shaddai]

Non non, rien d'autre, le serveur à été monté uniquement pour le site

Si php tourne avec un user autre que root, c'est l'essentiel, ça ne sert à rien de changer.

Pour une configuration "secure" de php, je te conseille les paramètres suivants:

expose_php = Off

disable_functions = (la liste des fonctions inutiles qui ne sont que des sources d'ennuis comme system, phpinfo, exec)

register_globals = Off

magic_quotes_gpc = On

file_uploads = On (sauf si tu en as besoin)

allow_url_fopen = Off (sauf si tu en as besoin)

allow_url_include = Off (sauf si tu en as besoin)