1<?xml version="1.0" encoding="ISO-8859-1"?> 2<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> 3<html xmlns="http://www.w3.org/1999/xhtml" lang="fr" xml:lang="fr"><head><!-- 4 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX 5 This file is generated from xml source: DO NOT EDIT 6 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX 7 --> 8<title>Conseils sur la s�curit� - Serveur Apache HTTP</title> 9<link href="/style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" /> 10<link href="/style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" /> 11<link href="/style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="/style/css/prettify.css" /> 12<script src="/style/scripts/prettify.min.js" type="text/javascript"> 13</script> 14 15<link href="/images/favicon.ico" rel="shortcut icon" /></head> 16<body id="manual-page"><div id="page-header"> 17<p class="menu"><a href="/mod/">Modules</a> | <a href="/mod/directives.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="/glossary.html">Glossaire</a> | <a href="/sitemap.html">Plan du site</a></p> 18<p class="apache">Serveur Apache HTTP Version 2.4</p> 19<img alt="" src="/images/feather.gif" /></div> 20<div class="up"><a href="./"><img title="<-" alt="<-" src="/images/left.gif" /></a></div> 21<div id="path"> 22<a href="http://www.apache.org/">Apache</a> > <a href="http://httpd.apache.org/">Serveur HTTP</a> > <a href="http://httpd.apache.org/docs/">Documentation</a> > <a href="../">Version 2.4</a> > <a href="./">Documentations diverses</a></div><div id="page-content"><div id="preamble"><h1>Conseils sur la s�curit�</h1> 23<div class="toplang"> 24<p><span>Langues Disponibles: </span><a href="/en/misc/security_tips.html" hreflang="en" rel="alternate" title="English"> en </a> | 25<a href="/fr/misc/security_tips.html" title="Fran�ais"> fr </a> | 26<a href="/ko/misc/security_tips.html" hreflang="ko" rel="alternate" title="Korean"> ko </a> | 27<a href="/tr/misc/security_tips.html" hreflang="tr" rel="alternate" title="T�rk�e"> tr </a></p> 28</div> 29 30 <p>Ce document propose quelques conseils et astuces concernant les 31 probl�mes de s�curit� li�s 32 � l'installation d'un serveur web. Certaines suggestions seront � caract�re 33 g�n�ral, tandis que d'autres seront sp�cifiques � Apache.</p> 34 </div> 35<div id="quickview"><ul id="toc"><li><img alt="" src="/images/down.gif" /> <a href="#uptodate">Maintenez votre serveur � jour</a></li> 36<li><img alt="" src="/images/down.gif" /> <a href="#dos">Attaques de type "D�ni de service" 37 (Denial of Service - DoS)</a></li> 38<li><img alt="" src="/images/down.gif" /> <a href="#serverroot">Permissions sur les r�pertoires de la racine du serveur</a></li> 39<li><img alt="" src="/images/down.gif" /> <a href="#ssi">Inclusions c�t� serveur</a></li> 40<li><img alt="" src="/images/down.gif" /> <a href="#cgi">Les CGI en g�n�ral</a></li> 41<li><img alt="" src="/images/down.gif" /> <a href="#nsaliasedcgi">CGI sans alias de script</a></li> 42<li><img alt="" src="/images/down.gif" /> <a href="#saliasedcgi">CGI avec alias de script</a></li> 43<li><img alt="" src="/images/down.gif" /> <a href="#dynamic">Autres sources de contenu dynamique</a></li> 44<li><img alt="" src="/images/down.gif" /> <a href="#systemsettings">Protection de la configuration du syst�me</a></li> 45<li><img alt="" src="/images/down.gif" /> <a href="#protectserverfiles">Protection par d�faut des fichiers du serveur</a></li> 46<li><img alt="" src="/images/down.gif" /> <a href="#watchyourlogs">Surveillez vos journaux</a></li> 47<li><img alt="" src="/images/down.gif" /> <a href="#merging">Fusion des sections de configuration</a></li> 48</ul><ul class="seealso"><li><a href="#comments_section">Commentaires</a></li></ul></div> 49<div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 50<div class="section"> 51<h2><a name="uptodate" id="uptodate">Maintenez votre serveur � jour</a></h2> 52 53 <p>Le serveur HTTP Apache a une bonne r�putation en mati�re de s�curit� 54 et poss�de une communaut� de d�veloppeurs tr�s sensibilis�s aux probl�mes 55 de s�curit�. Mais il est in�vitable de trouver certains probl�mes 56 -- petits ou grands -- une fois le logiciel mis � disposition. C'est pour 57 cette raison qu'il est crucial de se tenir inform� des mises � jour. Si 58 vous avez obtenu votre version du serveur HTTP directement depuis Apache, 59 nous vous conseillons grandement de vous abonner � la <a href="http://httpd.apache.org/lists.html#http-announce">Liste de diffusion 60 des annonces du serveur HTTP</a> qui vous informera de 61 la parution des nouvelles versions et des mises � jour de s�curit�. La 62 plupart des distributeurs tiers d'Apache fournissent des services 63 similaires.</p> 64 65 <p>Gardez cependant � l'esprit que lorsqu'un serveur web est compromis, le 66 code du serveur HTTP n'est la plupart du temps pas en cause. Les probl�mes 67 proviennent plut�t de code ajout�, de scripts CGI, ou du syst�me 68 d'exploitation sous-jacent. Vous devez donc vous tenir inform� des 69 probl�mes et mises � jour concernant tous les logiciels pr�sents sur 70 votre syst�me.</p> 71 72 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 73<div class="section"> 74<h2><a name="dos" id="dos">Attaques de type "D�ni de service" 75 (Denial of Service - DoS)</a></h2> 76 77 78 79 <p>Tous les services r�seau peuvent faire l'objet d'attaques de type 80 "D�ni de service" qui tentent de les emp�cher de r�pondre aux clients en 81 saturant leurs ressources. Il est impossible de se pr�munir totalement 82 contre ce type d'attaques, mais vous pouvez accomplir certaines actions 83 afin de minimiser les probl�mes qu'elles cr�ent.</p> 84 85 <p>Souvent, l'outil anti-DoS le plus efficace sera constitu� par le 86 pare-feu ou certaines configurations du syst�me d'exploitation. Par 87 exemple, la plupart des pare-feu peuvent �tre configur�s de fa�on � 88 limiter le nombre de connexions simultan�es depuis une adresse IP ou un 89 r�seau, ce qui permet de pr�venir toute une gamme d'attaques simples. 90 Bien s�r, ceci n'est d'aucun secours contre les attaques de type 91 "D�ni de service" distribu�es (DDoS).</p> 92 93 <p>Certains r�glages de la configuration d'Apache peuvent aussi 94 minimiser les probl�mes :</p> 95 96 <ul> 97 <li>La directive <code class="directive"><a href="/mod/mod_reqtimeout.html#requestreadtimeout">RequestReadTimeout</a></code> permet de 98 limiter le temps que met le client pour envoyer sa requ�te.</li> 99 100 <li>La valeur de la directive 101 <code class="directive"><a href="/mod/core.html#timeout">TimeOut</a></code> doit �tre diminu�e sur les 102 sites sujets aux attaques DoS. Une valeur de quelques secondes devrait 103 convenir. Cependant, comme <code class="directive"><a href="/mod/core.html#timeout">TimeOut</a></code> 104 est actuellement concern� par de nombreuses op�rations diff�rentes, lui 105 attribuer une valeur trop faible peut provoquer des probl�mes avec les 106 scripts CGI qui pr�sentent un long temps de r�ponse.</li> 107 108 <li>La valeur de la directive 109 <code class="directive"><a href="/mod/core.html#keepalivetimeout">KeepAliveTimeout</a></code> doit aussi �tre 110 diminu�e sur les sites sujets aux attaques DoS. Certains sites 111 d�sactivent m�me compl�tement le "maintien en vie" (keepalives) 112 � l'aide de la directive 113 <code class="directive"><a href="/mod/core.html#keepalive">KeepAlive</a></code>, ce qui bien s�r 114 pr�sente des inconv�nients en mati�re de performances.</li> 115 116 <li>Les valeurs des diff�rentes directives fournies par d'autres modules 117 et en rapport avec des d�lais doivent aussi �tre v�rifi�es.</li> 118 119 <li>Les directives 120 <code class="directive"><a href="/mod/core.html#limitrequestbody">LimitRequestBody</a></code>, 121 <code class="directive"><a href="/mod/core.html#limitrequestfields">LimitRequestFields</a></code>, 122 <code class="directive"><a href="/mod/core.html#limitrequestfieldsize">LimitRequestFieldSize</a></code>, 123 <code class="directive"><a href="/mod/core.html#limitrequestline">LimitRequestLine</a></code>, et 124 <code class="directive"><a href="/mod/core.html#limitxmlrequestbody">LimitXMLRequestBody</a></code> doivent �tre 125 configur�es avec prudence afin de limiter la consommation de ressources 126 induite par les demandes des clients. 127 </li> 128 129 <li>Sur les syst�mes d'exploitation qui le supportent, assurez-vous que 130 la directive <code class="directive"><a href="/mod/core.html#acceptfilter">AcceptFilter</a></code> est 131 activ�e afin de d�l�guer une partie du traitement des requ�tes au 132 syst�me d'exploitation. Elle est activ�e par d�faut dans le d�mon httpd 133 d'Apache, mais peut n�cessiter une reconfiguration de votre noyau.</li> 134 135 <li>Optimisez la directive <code class="directive"><a href="/mod/mpm_common.html#maxrequestworkers">MaxRequestWorkers</a></code> de fa�on � d�finir le nombre 136 maximum de connexions simultan�es au dessus duquel les ressources 137 s'�puisent. Voir aussi la <a href="perf-tuning.html">documentation sur l'optimisation des 138 performances</a>.</li> 139 140 <li>L'utilisation d'un <a href="/mpm.html">module mpm</a> thread� 141 vous permet de traiter d'avantage de connexions simultan�es, ce qui 142 minimise l'effet des attaques DoS. Dans le futur, le module mpm 143 <code class="module"><a href="/mod/event.html">event</a></code> utilisera un traitement asynchrone afin de ne pas 144 d�dier un thread � chaque connexion. De par la 145 nature de la biblioth�que OpenSSL, le module mpm <code class="module"><a href="/mod/event.html">event</a></code> est actuellement incompatible 146 avec le module <code class="module"><a href="/mod/mod_ssl.html">mod_ssl</a></code> ainsi que d'autres filtres 147 en entr�e. Dans ces cas, son comportement se ram�ne � celui 148 du module mpm <code class="module"><a href="/mod/worker.html">worker</a></code>.</li> 149 150 <li>Il existe de nombreux modules tiers disponibles � <a href="http://modules.apache.org/">http://modules.apache.org/</a> qui 151 peuvent retreindre les comportements de certains clients et ainsi 152 minimiser les probl�mes de DoS.</li> 153 154 </ul> 155 156 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 157<div class="section"> 158<h2><a name="serverroot" id="serverroot">Permissions sur les r�pertoires de la racine du serveur</a></h2> 159 160 161 162 <p>Typiquement, Apache est d�marr� par l'utilisateur root, puis il devient 163 la propri�t� de l'utilisateur d�fini par la directive <code class="directive"><a href="/mod/mod_unixd.html#user">User</a></code> afin de r�pondre aux demandes. Comme 164 pour toutes les commandes ex�cut�es par root, vous devez vous assurer 165 qu'elle n'est pas modifiable par les utilisateurs autres que root. Les 166 fichiers eux-m�mes, mais aussi les r�pertoires ainsi que leurs parents ne 167 doivent �tre modifiables que par root. Par exemple, si vous avez choisi de 168 placer la racine du serveur dans <code>/usr/local/apache</code>, il est conseill� de 169 cr�er le r�pertoire en tant que root, avec des commandes du style :</p> 170 171 <div class="example"><p><code> 172 mkdir /usr/local/apache <br /> 173 cd /usr/local/apache <br /> 174 mkdir bin conf logs <br /> 175 chown 0 . bin conf logs <br /> 176 chgrp 0 . bin conf logs <br /> 177 chmod 755 . bin conf logs 178 </code></p></div> 179 180 <p>Nous supposerons que <code>/</code>, <code>/usr</code> et 181 <code>/usr/local</code> ne sont modifiables que par 182 root. Quand vous installez l'ex�cutable <code class="program"><a href="/programs/httpd.html">httpd</a></code>, vous 183 devez vous assurer qu'il poss�de des protections similaires :</p> 184 185 <div class="example"><p><code> 186 cp httpd /usr/local/apache/bin <br /> 187 chown 0 /usr/local/apache/bin/httpd <br /> 188 chgrp 0 /usr/local/apache/bin/httpd <br /> 189 chmod 511 /usr/local/apache/bin/httpd 190 </code></p></div> 191 192 <p>Vous pouvez cr�er un sous-r�pertoire htdocs modifiable par d'autres 193 utilisateurs -- car root ne cr�e ni ex�cute aucun fichier dans ce 194 sous-r�pertoire.</p> 195 196 <p>Si vous permettez � des utilisateurs non root de modifier des fichiers 197 que root �crit ou ex�cute, vous exposez votre syst�me � une compromission 198 de l'utilisateur root. Par exemple, quelqu'un pourrait remplacer le binaire 199 <code class="program"><a href="/programs/httpd.html">httpd</a></code> de fa�on � ce que la prochaine fois que vous le 200 red�marrerez, il ex�cutera un code arbitraire. Si le r�pertoire des 201 journaux a les droits en �criture (pour un utilisateur non root), quelqu'un 202 pourrait remplacer un fichier journal par un lien symbolique vers un autre 203 fichier syst�me, et root pourrait alors �craser ce fichier avec des donn�es 204 arbitraires. Si les fichiers journaux eux-m�mes ont des droits en 205 �criture (pour un utilisateur non root), quelqu'un pourrait 206 modifier les journaux eux-m�mes avec des donn�es fausses.</p> 207 208 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 209<div class="section"> 210<h2><a name="ssi" id="ssi">Inclusions c�t� serveur</a></h2> 211 212 213 214 <p>Les inclusions c�t� serveur (Server Side Includes - SSI) exposent 215 l'administrateur du serveur � de nombreux risques potentiels en mati�re de 216 s�curit�.</p> 217 218 <p>Le premier risque est l'augmentation de la charge du serveur. Tous les 219 fichiers o� SSI est activ� doivent �tre analys�s par Apache, qu'ils 220 contiennent des directives SSI ou non. L'augmentation de la charge induite 221 est minime, mais peut devenir significative dans le contexte d'un 222 serveur partag�.</p> 223 224 <p>Les fichiers SSI pr�sentent les m�mes risques que les scripts CGI en 225 g�n�ral. Les fichiers o� SSI est activ� peuvent ex�cuter tout script CGI 226 ou autre programme � l'aide de la commande <code>"exec cmd"</code> avec les permissions 227 des utilisateur et groupe sous lesquels Apache s'ex�cute, comme d�fini 228 dans <code>httpd.conf</code>.</p> 229 230 <p>Des m�thodes existent pour am�liorer la s�curit� des fichiers SSI, tout 231 en tirant parti des b�n�fices qu'ils apportent.</p> 232 233 <p>Pour limiter les dommages qu'un fichier SSI agressif pourrait causer, 234 l'administrateur du serveur peut activer<a href="/suexec.html">suexec</a> 235 comme d�crit dans la section <a href="#cgi">Les CGI en g�n�ral</a>.</p> 236 237 <p>L'activation des SSI pour des fichiers poss�dant des extensions 238 <code>.html</code> ou 239 <code>.htm</code> peut s'av�rer dangereux. Ceci est particuli�rement vrai dans un 240 environnement de serveur partag� ou �tant le si�ge d'un traffic �lev�. Les 241 fichiers o� SSI est activ� doivent poss�der une extension sp�cifique, telle 242 que la conventionnelle <code>.shtml</code>. Ceci permet de limiter la charge du serveur 243 � un niveau minimum et de simplifier la gestion des risques.</p> 244 245 <p>Une autre solution consiste � interdire l'ex�cution de scripts et 246 programmes � partir de pages SSI. Pour ce faire, remplacez 247 <code>Includes</code> par <code>IncludesNOEXEC</code> dans la directive 248 <code class="directive"><a href="/mod/core.html#options">Options</a></code>. Notez que les utilisateurs 249 pourront encore utiliser <code><--#include virtual="..." --></code> pour ex�cuter 250 des scripts CGI si ces scripts sont situ�s dans des r�pertoires sp�cifi�s 251 par une directive 252 <code class="directive"><a href="/mod/mod_alias.html#scriptalias">ScriptAlias</a></code>.</p> 253 254 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 255<div class="section"> 256<h2><a name="cgi" id="cgi">Les CGI en g�n�ral</a></h2> 257 258 259 260 <p>Tout d'abord, vous devez toujours garder � l'esprit que vous devez 261 faire confiance aux d�veloppeurs de scripts ou programmes CGI ainsi qu'� 262 vos comp�tences pour d�celer les trous de s�curit� potentiels dans les 263 CGI, que ceux-ci soient d�lib�r�s ou accidentels. Les scripts CGI peuvent 264 essentiellement ex�cuter des commandes arbitraires sur votre syst�me avec 265 les droits de l'utilisateur du serveur web, et peuvent par cons�quent �tre 266 extr�mement dangereux s'ils ne sont pas v�rifi�s avec soin.</p> 267 268 <p>Tous les scripts CGI s'ex�cutent sous le m�me utilisateur, il peuvent 269 donc entrer en conflit (accidentellement ou d�lib�r�ment) avec d'autres 270 scripts. Par exemple, l'utilisateur A hait l'utilisateur B, il �crit donc 271 un script qui efface la base de donn�es CGI de l'utilisateur B. Vous pouvez 272 utiliser le programme <a href="/suexec.html">suEXEC</a> pour faire en 273 sorte que les scripts s'ex�cutent sous des utilisateurs diff�rents. Ce 274 programme est inclus dans la distribution d'Apache depuis la version 1.2 275 et est appel� � partir de certaines portions de code du serveur Apache. Une 276 autre m�thode plus connue est l'utilisation de 277 <a href="http://cgiwrap.sourceforge.net/">CGIWrap</a>.</p> 278 279 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 280<div class="section"> 281<h2><a name="nsaliasedcgi" id="nsaliasedcgi">CGI sans alias de script</a></h2> 282 283 284 285 <p>Vous ne devez permettre aux utilisateurs d'ex�cuter des scripts CGI 286 depuis n'importe quel r�pertoire que dans l'�ventualit� o� :</p> 287 288 <ul> 289 <li>Vous faites confiance � vos utilisateurs pour ne pas �crire de 290 scripts qui vont d�lib�r�ment ou accidentellement exposer votre 291 syst�me � une attaque.</li> 292 <li>Vous estimez que le niveau de s�curit� dans les autres parties de 293 votre site est si faible qu'un trou de s�curit� de plus ou de moins 294 n'est pas tr�s important.</li> 295 <li>Votre syst�me ne comporte aucun utilisateur, et personne ne visite 296 jamais votre site.</li> 297 </ul> 298 299 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 300<div class="section"> 301<h2><a name="saliasedcgi" id="saliasedcgi">CGI avec alias de script</a></h2> 302 303 304 305 <p>Le confinement des CGI dans des r�pertoires sp�cifiques permet � 306 l'administrateur de contr�ler ce que l'on met dans ces r�pertoires. Ceci 307 est bien entendu mieux s�curis� que les CGI sans alias de script, mais 308 seulement � condition que les utilisateurs avec les droits en �criture sur 309 les r�pertoires soient dignes de confiance, et que l'administrateur ait la 310 volont� de tester chaque programme ou script CGI � la recherche d'�ventuels 311 trous de s�curit�.</p> 312 313 <p>La plupart des sites choisissent cette approche au d�triment des CGI 314 sans alias de script.</p> 315 316 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 317<div class="section"> 318<h2><a name="dynamic" id="dynamic">Autres sources de contenu dynamique</a></h2> 319 320 321 322 <p> 323 Les options de scripting int�gr�es qui s'ex�cutent en tant que partie du 324 serveur lui-m�me, comme <code>mod_php</code>, <code>mod_perl</code>, 325 <code>mod_tcl</code>, et <code>mod_python</code>, 326 s'ex�cutent sous le m�me utilisateur que le serveur (voir la directive 327 <code class="directive"><a href="/mod/mod_unixd.html#user">User</a></code>), et par cons�quent, 328 les scripts que ces moteurs ex�cutent peuvent acc�der aux m�mes ressources 329 que le serveur. Certains moteurs de scripting peuvent proposer des 330 restrictions, mais pour plus de s�ret�, il vaut mieux partir du principe 331 que ce n'est pas le cas.</p> 332 333 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 334<div class="section"> 335<h2><a name="systemsettings" id="systemsettings">Protection de la configuration du syst�me</a></h2> 336 337 338 339 <p>Pour contr�ler �troitement votre serveur, vous pouvez interdire 340 l'utilisation des fichiers <code>.htaccess</code> qui permettent de 341 passer outre les fonctionnalit�s de s�curit� que vous avez configur�es. 342 Voici un moyen pour y parvenir :</p> 343 344 <p>Ajoutez dans le fichier de configuration du serveur</p> 345 346 <pre class="prettyprint lang-config"><Directory /> 347 AllowOverride None 348</Directory></pre> 349 350 351 <p>Ceci interdit l'utilisation des fichiers <code>.htaccess</code> dans 352 tous les r�pertoires, sauf ceux pour lesquels c'est explicitement 353 autoris�.</p> 354 355 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 356<div class="section"> 357<h2><a name="protectserverfiles" id="protectserverfiles">Protection par d�faut des fichiers du serveur</a></h2> 358 359 360 361 <p>Le concept d'acc�s par d�faut est un aspect d'Apache qui est parfois mal 362 compris. C'est � dire que, � moins que vous ne changiez explicitement ce 363 comportement, si le serveur trouve son chemin vers un fichier en suivant 364 les r�gles normales de correspondance URL - fichier, il peut le retourner 365 aux clients.</p> 366 367 <p>Consid�rons l'exemple suivant :</p> 368 369 <div class="example"><p><code> 370 # cd /; ln -s / public_html <br /> 371 puis acc�s � <code>http://localhost/~root/</code> 372 </code></p></div> 373 374 <p>Ceci permettrait aux clients de parcourir l'ensemble du syst�me de 375 fichiers. Pour l'�viter, ajoutez le bloc suivant � la configuration 376 de votre serveur :</p> 377 378 <pre class="prettyprint lang-config"><Directory /> 379 Require all denied 380</Directory></pre> 381 382 383 <p>ceci va interdire l'acc�s par d�faut � tous les fichiers du syst�me de 384 fichiers. Vous devrez ensuite ajouter les blocs 385 <code class="directive"><a href="/mod/core.html#directory">Directory</a></code> appropri�s correspondant 386 aux r�pertoires auxquels vous voulez autorisez l'acc�s. Par exemple,</p> 387 388 <pre class="prettyprint lang-config"><Directory /usr/users/*/public_html> 389 Require all granted 390</Directory> 391<Directory /usr/local/httpd> 392 Require all granted 393</Directory></pre> 394 395 396 <p>Portez une attention particuli�re aux interactions entre les directives 397 <code class="directive"><a href="/mod/core.html#location">Location</a></code> et 398 <code class="directive"><a href="/mod/core.html#directory">Directory</a></code> ; par exemple, si une 399 directive <code><Directory /></code> interdit un acc�s, une 400 directive <code><Location /></code> pourra passer outre.</p> 401 402 <p>De m�me, soyez m�fiant en jouant avec la directive 403 <code class="directive"><a href="/mod/mod_userdir.html#userdir">UserDir</a></code> ; la positionner � 404 <code>"./"</code> aurait le m�me effet, pour root, que le premier exemple plus haut. 405 Nous vous conseillons 406 fortement d'inclure la ligne suivante dans le fichier de configuration de 407 votre serveur :</p> 408 409 <pre class="prettyprint lang-config">UserDir disabled root</pre> 410 411 412 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 413<div class="section"> 414<h2><a name="watchyourlogs" id="watchyourlogs">Surveillez vos journaux</a></h2> 415 416 417 418 <p>Pour vous tenir inform� de ce qui se passe r�ellement dans votre 419 serveur, vous devez consulter vos 420 <a href="/logs.html">fichiers journaux</a>. M�me si les fichiers journaux 421 ne consignent que des �v�nements qui se sont d�j� produits, ils vous 422 informeront sur la nature des attaques qui sont lanc�es contre le serveur 423 et vous permettront de v�rifier si le niveau de s�curit� n�cessaire est 424 atteint.</p> 425 426 <p>Quelques exemples :</p> 427 428 <div class="example"><p><code> 429 grep -c "/jsp/source.jsp?/jsp/ /jsp/source.jsp??" access_log <br /> 430 grep "client denied" error_log | tail -n 10 431 </code></p></div> 432 433 <p>Le premier exemple listera les attaques essayant d'exploiter la 434 <a href="http://online.securityfocus.com/bid/4876/info/">vuln�rabilit� 435 d'Apache Tomcat pouvant provoquer la divulgation d'informations par des 436 requ�tes Source.JSP mal form�es</a>, le second donnera la liste des dix 437 derni�res interdictions client ; par exemple :</p> 438 439 <div class="example"><p><code> 440 [Thu Jul 11 17:18:39 2002] [error] [client foo.example.com] client denied 441 by server configuration: /usr/local/apache/htdocs/.htpasswd 442 </code></p></div> 443 444 <p>Comme vous le voyez, les fichiers journaux ne consignent que ce qui 445 s'est d�j� produit ; ainsi, si le client a pu acc�der au fichier 446 <code>.htpasswd</code>, vous devriez avoir quelque chose du style :</p> 447 448 <div class="example"><p><code> 449 foo.example.com - - [12/Jul/2002:01:59:13 +0200] "GET /.htpasswd HTTP/1.1" 450 </code></p></div> 451 452 <p>dans votre <a href="/logs.html#accesslog">journal des acc�s</a> ; ce 453 qui signifie que vous avez probablement mis en commentaire ce qui suit dans 454 le fichier de configuration de votre serveur :</p> 455 456 <pre class="prettyprint lang-config"><Files ".ht*"> 457 Require all denied 458</Files></pre> 459 460 461 </div><div class="top"><a href="#page-header"><img alt="top" src="/images/up.gif" /></a></div> 462<div class="section"> 463<h2><a name="merging" id="merging">Fusion des sections de configuration</a></h2> 464 465 466 467 <p>La fusion des sections de configuration est complexe et d�pend 468 souvent des directives utilis�es. Vous devez syst�matiquement tester 469 vos modifications pour v�rifier la mani�re dont les directives sont 470 fusionn�es.</p> 471 472 <p>Concernant les modules qui n'impl�mentent aucune logique de 473 fusion, comme <code class="directive">mod_access_compat</code>, le 474 comportement des sections suivantes est tributaire de la pr�sence 475 dans ces derni�res de directives appartenant � ces modules. La 476 configuration est h�rit�e jusqu'� ce qu'une modification soit 477 effectu�e ; � ce moment, la configuration est <em>remplac�e</em> et 478 non fusionn�e.</p> 479 </div></div> 480<div class="bottomlang"> 481<p><span>Langues Disponibles: </span><a href="/en/misc/security_tips.html" hreflang="en" rel="alternate" title="English"> en </a> | 482<a href="/fr/misc/security_tips.html" title="Fran�ais"> fr </a> | 483<a href="/ko/misc/security_tips.html" hreflang="ko" rel="alternate" title="Korean"> ko </a> | 484<a href="/tr/misc/security_tips.html" hreflang="tr" rel="alternate" title="T�rk�e"> tr </a></p> 485</div><div class="top"><a href="#page-header"><img src="/images/up.gif" alt="top" /></a></div><div class="section"><h2><a id="comments_section" name="comments_section">Commentaires</a></h2><div class="warning"><strong>Notice:</strong><br />This is not a Q&A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our <a href="http://httpd.apache.org/lists.html">mailing lists</a>.</div> 486<script type="text/javascript"><!--//--><![CDATA[//><!-- 487var comments_shortname = 'httpd'; 488var comments_identifier = 'http://httpd.apache.org/docs/2.4/misc/security_tips.html'; 489(function(w, d) { 490 if (w.location.hostname.toLowerCase() == "httpd.apache.org") { 491 d.write('<div id="comments_thread"><\/div>'); 492 var s = d.createElement('script'); 493 s.type = 'text/javascript'; 494 s.async = true; 495 s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier; 496 (d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s); 497 } 498 else { 499 d.write('<div id="comments_thread">Comments are disabled for this page at the moment.<\/div>'); 500 } 501})(window, document); 502//--><!]]></script></div><div id="footer"> 503<p class="apache">Copyright 2014 The Apache Software Foundation.<br />Autoris� sous <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p> 504<p class="menu"><a href="/mod/">Modules</a> | <a href="/mod/directives.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="/glossary.html">Glossaire</a> | <a href="/sitemap.html">Plan du site</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!-- 505if (typeof(prettyPrint) !== 'undefined') { 506 prettyPrint(); 507} 508//--><!]]></script> 509</body></html>
