SOURCE:http://www.aidoforum.com/tutoriaux-161-securiser-votre-forum-phpbb.html
<tbody><tr><td class="tutos_page_tut"> -&gt; <strong>Sécuriser votre forum phpbb</strong></td></tr>
			<tr><td><br /><br /><span style="font-size: 18px;"><span style="color: blue;"><span style="text-decoration: underline;"><strong>Etape 1 : Les dossiers</strong></span></span></span><br />
<br />
Pour commencer, juste après l'installation de votre forum, il vous faut supprimer les dossiers <span style="color: darkblue;"><em>install</em></span> et <span style="color: darkblue;"><em>contrib</em></span> à la racine de votre forum (le dossier et tout son contenu).<br />

<br />
Après, vous supprimez les dossiers (et toujours leur contenu) suivant :<br />
<li><span style="color: darkblue;"><em>db/schemas/</em></span><br />
<span style="font-size: 10px;">(seulement le dossier <span style="color: darkblue;"><em>schemas/</em></span> et son contenu, n'effacez pas le dossier <span style="color: darkblue;"><em>db/</em></span> et les fichiers s'y trouvant)</span><br />
<span style="color: darkblue;"><em>docs/</em></span></li>Maintenant, il faut augmenter la sécurité de certains répertoires. L'opération se déroule grâce à un fichier htaccess. Créez un fichier texte et incrivez dedans cette unique ligne (sans espace après le dernier mot, ni saut de ligne) : <strong>deny from all</strong><br />

<br />
Vous l'enregistrez sous le nom <span style="color: darkred;"><em>htaccess.txt</em></span><br />
<br />
Ensuite vous le transférez par <a itxtdid="1159584" target="_blank" href="#" style="border-bottom: 0.075em solid rgb(0, 51, 255); font-weight: normal; font-size: 100%; text-decoration: underline; color: rgb(0, 51, 255); background-color: transparent; padding-bottom: 1px;" classname="iAs" class="iAs">FTP</a> (en mode ASCII, cette fonction dépend de votre logiciel FTP) dans les répertoires qui suivent et vous le renommez ensuite en <span style="color: darkred;"><em>.htaccess</em></span> :<br />
<li><span style="color: darkblue;"><em>includes/</em></span><br />
<span style="color: darkblue;"><em>db/</em></span><br />

<span style="color: darkblue;"><em>language/</em></span></li>Pour finir cette première étape de protection, il nous faut supprimer les fichiers inutiles de votre forum.<br />
<li><span style="color: darkblue;"><em>templates/subSilver/</em></span><span style="text-decoration: underline;"><span style="color: darkred;"><em>install.tpl</em></span></span><br />
<span style="font-size: 10px;">(<span style="color: darkblue;"><em>subSilver</em></span> est à remplacer par le nom de votre template), supprimez le fichier <span style="color: darkred;"><em>install.tpl</em></span></span><br />
<span style="color: darkblue;"><em>db/</em></span><br />
<span style="font-size: 10px;">effacez les fichiers qui ne correspondent pas à votre type de base de données. Pour mysql par exemple, vous laissez seulement les fichiers <span style="color: darkred;"><em>db2.php</em></span>, <span style="color: darkred;"><em>mysql.php</em></span>, <span style="color: darkred;"><em>mysql4.php</em></span> (pour mysql 4.x), et <span style="color: darkred;"><em>index.htm</em></span></span></li><br />

<span style="font-size: 18px;"><span style="color: blue;"><span style="text-decoration: underline;"><strong>Etape 2 : Protection du fichier config.php</strong></span></span></span><br />
<br />
Le fichier <span style="color: darkred;"><em>config.php</em></span> se trouve par défaut à la racine de votre forum. Pour plus de sécurité, nous allons le déplacer dans un nouveau répertoire.<br />
<br />
Pour cela, créez un répertoire à la racine de votre forum et appelez-le comme vous voulez (en respectant ces seules conditions : pas de majuscules ni d'espaces). Dans mon exemple, je le nommerais <span style="color: darkblue;"><em>includes_toto</em></span>. Cette opération effectuée, ajoutez dans le répertoire nouvellement crée un fichier <span style="color: darkred;"><em>.htaccess</em></span> comme décrit dans le message précédent. Pour finir, déplacez le fichier <span style="color: darkred;"><em>config.php</em></span> dans le nouveau répertoire (n'oubliez pas se supprimer le fichier <span style="color: darkred;"><em>config.php</em></span> à la racine du forum).<br />

<br />
Maintenant, il faut modifier un autre fichier pour que cette modification soit prise en compte. Editez avec le bloc-note par exemple, le fichier <span style="color: darkred;"><em>common.php</em></span> situé à la racine du forum et faites comme suit :<br />
<br />
<table class="code" width="90%"><tbody><tr><td><br />----[ Ouvrir ]----<br />
<br />
common.php<br />
<br />
----[ Trouver ]----<br />
<br />
include($phpbb_root_path . 'config.'.$phpEx);<br />

<br />
----[ Remplacer par ]----<br />
<br />
include($phpbb_root_path . 'includes_toto/config.'.$phpEx);<br /><br /></td></tr></tbody></table><br />
le répertoire <span style="color: darkblue;"><em>includes_toto</em></span> est à changer par le nom que vous avez donné à votre nouveau répertoire contenant le fichier <span style="color: darkred;"><em>config.php</em></span>.<br />
<br />
Enregistrez et transférez le fichier common.php modifié par FTP à la racine de votre forum (remplacez l'ancien).<br />
<br />

<strong>Astuce supplémentaire</strong><br />
<br />
Vous pouvez mettre un fichier <span style="color: darkred;"><em>config.php</em></span> servant de leurre à la racine de votre forum, celui-ci contenant de mauvaises informations pour les variables <span style="color: darkblue;">$dbname</span>, <span style="color: darkblue;">$dbuser</span>, <span style="color: darkblue;">$dbpasswd</span> et <span style="color: darkblue;">$table_prefix</span>.<br />

<br />
<span style="font-size: 9px;"><em>(merci à <a href="http://forum.phpbb.biz/profile.php?mode=viewprofile&amp;u=14" target="_blank">FX</a> pour son sujet sur lequel je me suis basé pour les étapes 1 et 2)</em></span><br />
<br />
<span style="font-size: 18px;"><span style="color: blue;"><span style="text-decoration: underline;"><strong>Etape 3 : Protection du dossier admin</strong></span></span></span><br />
<br />
Le dossier <span style="color: darkblue;"><em>admin/</em></span> étant une pièce maîtresse d'un forum phpBB, tout ceux ayant le rang d'administrateur (de façon officielle comme officieuse) peuvent modifier l'intégralité d'un forum. Il convient donc de sécuriser cette zone. Pour cela, la création d'un système HTaccess composé de deux fichiers nommés <span style="color: darkred;"><em>.htaccess</em></span> et <span style="color: darkred;"><em>.htpasswd</em></span> est une protection efficace, qui oblige donc tout administrateur à rentrer un indentifiant et un mot de passe pour accéder à l'administration.<br />

<br />
Certains hébergeurs proposent depuis le panel de gestion d'un compte la possibilité de créer des protections sur les répertoires présents sur le <strong>ftp</strong>. Si ce n'est pas le cas, il reste la méthode manuelle. Là encore, tout dépend de votre hébergeur, car la manipulation peut se révéler différente suivant celui-ci. Par exemple, pour ceux étant sur un hébergement <strong>Free</strong>, il vous faut suivre ce qui se trouve sur <a href="http://support.free.fr/web/pperso/restriction_acces.html" target="_blank">cette page</a> <em>(<strong>Free</strong> uniquement)</em>. Il vous sera expliqué comment créer un fichier <span style="color: darkred;"><em>.htaccess</em></span> et <span style="color: darkred;"><em>.htpasswd</em></span> pour un répertoire spécifique. Donc, renseignez-vous auprès de votre hébergement s'il existe une page spéciale détaillant la marche à suivre, sinon passez par un tutorial disponible sur internet <br />

<a href="http://www.phpdebutant.org/article51.php" target="_blank">PHPdébutant</a> <br />
<a href="http://www.siteduzero.com/php/annexes/htaccess.php" target="_blank">SiteduZer0</a><br />
<br />
<strong>Sources supplémentaires:</strong><br />
<br />
Il existe quelques outils annexes pour générer un système HTaccess, ou bien pour crypter le contenu du fichier <span style="color: darkred;">.htpasswd</span>. Voici deux adresses parmis celles disponibles sur internet:<br />
<br />
<a href="http://www.phptools4u.com/scripts/htaccess_gene/" target="_blank">htaccess generator</a><br />
<span style="font-size: 9px;">ce script vous permettra de générer simplement des fichiers <span style="color: darkred;"><em>.htaccess</em></span> et <span style="color: darkred;"><em>.htpasswd</em></span>.</span><br />

<a href="http://www.flash.net/cgi-bin/pw.pl" target="_blank">htpasswd Content Generator</a><br />
<span style="font-size: 9px;">cette page vous permettra de crypter rapidement le contenu du fichier <span style="color: darkred;"><em>.htpasswd</em></span>.</span><br />
<br />
<span style="font-size: 18px;"><span style="color: blue;"><span style="text-decoration: underline;"><strong>Etape 4 : Garantir une sécurité accrue dans l'ACP</strong></span></span></span><br />
<br />
L'ACP (Administration Control Panel) permet donc de gérer la totalité d'un forum phpBB, et même la base de données associée. Or, si une personne malveillante arrive à avoir accès au panneau d'administration, il peut facilement supprimer entièrement la base de donnée. Je préconise deux choses pour éviter ce résultat, n'avoir aucun accès à la base de données depuis l'ACP, et ne gérer cette base de donnée que depuis un module extérieur également sécurisé. J'entends par là, par exemple, l'utilisation de PhpMyAdmin (fourni la plupart du temps par l'hébergement et sécurisé par défaut). Renseignez-vous auprès de votre hébergeur.<br />
<br />
Pour empêcher l'accès à la base de données depuis l'ACP, supprimez depuis votre ftp les fichiers suivants:<br />
<li><span style="color: darkblue;"><em>admin/</em></span><span style="color: darkred;"><em>admin_db_utilities.php</em></span><br />

<span style="color: darkblue;"><em>templates/subSilver/admin/</em></span><span style="color: darkred;"><em>db_utils_backup_body.tpl</em></span><br />
<span style="color: darkblue;"><em>templates/subSilver/admin/</em></span><span style="color: darkred;"><em>db_utils_restore_body.tpl</em></span></li>Bien entendu, évitez par la suite d'installer des Mods permettant de lancer des actions directement dans la base de données (par exemple: un Mod pour ajouter des requêtes <a itxtdid="1158843" target="_blank" href="#" style="border-bottom: 0.075em solid rgb(0, 51, 255); font-weight: normal; font-size: 100%; text-decoration: underline; color: rgb(0, 51, 255); background-color: transparent; padding-bottom: 1px;" classname="iAs" class="iAs">SQL</a>, un Mod pour réparer ou optimiser la base de données). Toutes ces actions doivent être effectuées depuis PhpMyAdmin ou tout autre module extérieur, module sécurisé bien évidemment. Si un hébergeur fourni PhpMyAdmin, son accès est le plus souvent sécurisé. Si rien n'est disponible par votre hébergeur, vous pouvez vous-même installer <a href="http://www.phpmyadmin.net/home_page/" target="_blank">PhpMyAdmin</a> <br />
(ou bien <a href="http://www.phptools4u.com/scripts/eskuel/" target="_blank">eSKUeL</a>) et en protéger l'accès via un HTaccess.<br />
<br />
<span style="font-size: 18px;"><span style="color: blue;"><span style="text-decoration: underline;"><strong>Etape 5 : Identifiants et mots de passe</strong></span></span></span><br />

<br />
Pour que la sécurité de votre forum soit vraiment efficace, il faut avant toute chose bien choisir vos mots de passe, ou plutôt ne pas les choisir du tout. Préférez des mots de passe assez longs (6-12 caractères étant une bonne moyenne) composés d'une succession aléatoire de chiffres et de lettres, n'ayant aucun rapport avec votre vie. Donc ne choisissez pas la plaque d'immatriculation de votre voiture, et encore moins votre date de naissance. Si vous voulez les noter, comme pense-bête, ne le faites que dans un endroit sûr de votre <a itxtdid="621308" target="_blank" href="#" style="border-bottom: 0.075em solid rgb(0, 51, 255); font-weight: normal; font-size: 100%; text-decoration: underline; color: rgb(0, 51, 255); background-color: transparent; padding-bottom: 1px;" classname="iAs" class="iAs">PC</a>, ou sur un support autre qu'informatique.<br />
<br />
Deuxième point important, et cela concerne la plupart du temps les équipes administratives d'un forum, ne laissez aucune traces d'identifiants et de mots de passe dans les sections privées d'un forum ou dans un message privé. Si une personne malveillante récupère un rang d'administrateur, elle pourrait avoir accès facilement à ces données. si vous devez passer ces informations à une autre personne, faites le d'une manière indépendante au forum.<br />
<br />
<span style="font-size: 18px;"><span style="color: blue;"><span style="text-decoration: underline;"><strong>Etape 6 : Indexation des répertoires</strong></span></span></span><br />
<br />
Par défaut, le contenu d'un répertoire est visible par tous s'il ne contient pas au moins un fichier <span style="color: darkred;"><em>index.htm(l)</em></span>. Ce fichier empêche simplement qu'un visiteur puisse visualiser le contenu d'un répertoire. Le dossier <span style="color: darkblue;"><em>templates/</em></span> en contient un par exemple <span style="font-size: 9px;"><em>(taille: 169 octets)</em></span>. Si vous avez ajouté des répertoires dans votre forum, contenant des images ou autres fichiers, copiez dans ceux-ci ce fichier <span style="color: darkred;"><em>index.htm</em></span> pour ne pas lister son contenu.<br />

<br />
<span style="font-size: 9px;"><em>(tutorial par <a href="http://www.reddevboard.com/" target="_blank">reddog</a> - <strong>EzCom</strong>)</em></span><br /><br /></td></tr>
			<tr><td class="tutos_page">Par reddog, le 13 Avril 2005 à 18h06</td></tr></tbody>