Un peu de sécurité

Pour sécuriser Apache, on peut :

1. Rajouter la ligne ServerTokens Min dans le fichier de configuration, afin de limiter l'affichage de données sur le serveur :
   

   Option	Exemple
   ServerTokens Min[imal]	Server: Apache/1.3.0
   ServerTokens OS	Server: Apache/1.3.0 (Unix)
   ServerTokens Full	Server: Apache/1.3.0 (Unix) PHP/3.0 MyMod/1.2

   
   

   L'option par défaut est ServerTokens Full.

2. Désactiver l'affichage de la signature d'Apache (notamment pour les pages non trouvées) avec ServerSignature Off.

3. Définir sa propre page d'erreurs 404 avec ErrorDocument 404 /missing.html.

4. Limiter les conséquences des attaques de type DoS en limitant le nombre de processus simultanés :

   MaxClients 150
   KeepAlive On
   MaxKeepAliveRequests 100
   KeepAliveTimeout 5
   

5. Pour les VirtualHost, spécifier l'adresse IP puis mettre le nom du serveur avec l'option ServerName.

6. Ne suivre les liens symboliques que si le propriétaire du lien est le même que le propriétaire du fichier pointé par le lien avec SymLinksIfOwnerMatch (au lieu de FollowSymLinks).

7. Pour sécuriser PHP, rajouter dans le fichier /etc/php.ini (ou /etc/httpd/php3.ini pour une SuSE) :

   ;
   ; surveille les fichiers accedes et interdit l'usage
   ; de commandes risquees
   ;
   
   safe_mode       =       On
   
   ;
   ; controle l'affichage du bandeau
   ;
   
   expose_php      =       Off
   
   ;
   ; limite les risques de DoS
   ;
   
   max_execution_time = 30
   memory_limit = 8M
   
   ;
   ; ajoute des quotes pour les donnees recues des GET/POST et des cookies
   ;
   
   magic_quotes_gpc        =       On
   
   display_errors  =       Off
   [SQL]
   sql.safe_mode   =       On