Forum d'entraide PHPFrance

Bonjour à tous,

Je suis une toute jeune dans la profession, je connais certaine base mais avec la formation que j'ai suivis, ce n'était pas assez approfondi niveau PHP.
Je sollicite donc vos conseils quand à la sécurité de la création d'un site quand on manie PHP et MySql.

À quoi faut-il faire attention principalement, quels sont les bons gestes ?

Merci bien !

Je mettrai en priorité la protection contre l'injection de variable dans les requêtes SQL. (voir les requêtes préparées ou les fonctions de chaque drivers pour palier à ça - ex : mysql => mysql_real_escape_string)
Ensuite la gestion de page dynamique (style : index.php?page=contact.php), vérifier le paramètre au moyen d'une liste de chemin autorisé.
Enfin, protection du formulaire de connexion de la zone admin (voir du côté des tokens et compagnie).

Merci pour ta réponse ! J'dois avouer que j'avais jamais entendu ces termes (la honte.....)
Je regarderai donc de ce côté-ci !

Bonjour,

lors de tes développements, je te conseille d'utiliser systématiquement un framework ou un micro-framework : Zend, Symfony, CakePHP, CodeIgniter, FuelPHP, Yii, etc.
Attention, le framework propose des outils pour assurer la sécurité d'un site mais il ne fait pas tout. Il est nécessaire d'effectuer soi-même certains contrôles et validations. Voici quelques pistes :

1. toujours effectuer les contrôles de validation coté serveur (pas en Javascript ou en + du JS) : format des dates, cast des données numériques, sécurisation des chaîne de caractères (anti-XSS), etc.
2. utiliser des requêtes SQL préparées
3. utiliser les mécanismes d'authentification intégrés au framework
4. utiliser les jetons CSRF pour sécuriser les formulaires
5. utiliser des grains de sable (SALT) lors de l'encodage des mots de passe ou des données sensibles (privilégier le SHA1 au MD5 qui n'est plus considéré comme sûr)

Ce sont quelques règles de base. Il faut également bien configurer son serveur (listing des répertoires interdits, register_globals à Off, etc.). Tu trouveras de l'info sur le Web.
Bon courage