$page=$_GET['page'];		// on recupere la page desiree

function protect1 ($page) 
{ 
	$page = htmlspecialchars("$page", ENT_QUOTES);
	$page = str_replace("BR", "<BR>",$page) ;
	$page = strtr($page,"ÀÁÂÃÄÅàáâãäåÒÓÔÕÖØòóôõöøÈÉÊËèéêëÇçÌÍÎÏìíîïÙÚÛÜùúûüÿÑñ","AAAAAAaaaaaaOOOOOOooooooEEEEeeeeCcIIIIiiiiUUUUuuuuyNn");
	$page = substr("$page", 0, 20);
	$page = mysql_real_escape_string($page);
	$page = stripslashes($page);

    return ($page) 
}

$page=protect1($page);

// Liste des pages autorisées
$pagesOK = array('home', 'inscription', 'identification', ...);
$pageParDefaut = $pagesOK[0];

if (!isset($_GET['page'])) { // page par défaut
    $page = $pageParDefaut;
}
else {
    $page = $_GET['page']; // pas besoin de faire quoi que ce soit à ce niveau, qu'y gagnerait-on ?
}

// vérification que la page est bien autorisée, sinon page par défaut
if (!in_array($page,$pagesOK)) {
    $page = $pageParDefaut;
}

// inclusion de la page
include 'pages/'.$page.'.php';

Ce n'est pas exactement une mesure de sécuritée, mais tu pourrais peut-être créer un fichier log qui contient l'ensemble des requêtes sql et les connections/déconnections (bref, l'ensemble des trucs utiles). Au cas où un pirate aurait réussis à te pirater, tu pourrais ainsi savoir comment (et qui c'est, avec un peu de chance) et donc réussir à sécuriser définitivement ton site.

Bonjour, tu n'as pas parlé de ce point :

si tu utilises une BDD, tes requêtes sont-elles protégées des injections sql?

Il y a 2 types de protections:
La première est configurée par le serveur, car j'ai magic_quotes_gpc = On dans le php.ini
La deuxième est une vérification faite par mes soins. Toute entrée est filtrée avec des expressions régulières, et certains caractères peuvent être refusés.

Ce n'est pas exactement une mesure de sécuritée, mais tu pourrais peut-être créer un fichier log qui contient l'ensemble des requêtes sql et les connections/déconnections (bref, l'ensemble des trucs utiles). Au cas où un pirate aurait réussis à te pirater, tu pourrais ainsi savoir comment (et qui c'est, avec un peu de chance) et donc réussir à sécuriser définitivement ton site.

pour le 3 : Chaque répertoire et sous répertoire est protégé par un index.php qui renvoie directement sur la page d'accueil.

un fichier .htaccess avec comme contenu : deny from all
=> ça bloque tout en mode web, sauf tes scripts faisant les inclusions.

A+

Pascal

Je pense que c'est largement suffisant, mais comme je ne suis pas professionnel de l'internet et de la conception de sites, je me demande si je n'aurais pas négligé d'autres concepts de sécurité de base?

Bonjour, tu n'as pas parlé de ce point :

si tu utilises une BDD, tes requêtes sont-elles protégées des injections sql?

Je pense que c'est largement suffisant, mais comme je ne suis pas professionnel de l'internet et de la conception de sites, je me demande si je n'aurais pas négligé d'autres concepts de sécurité de base?