[Problème] Sécuriser le répertoire de sauvegarde Akeebabackup

[django29]

Bonjour.

Pour assurer les sauvegardes automatiques de mes nombreux sites Joomla, j'utilise LazyDBbackup pour les BDD, et Cobian backup pour les fichiers.

Entre-temps, je viens de comprendre comment utiliser la gestion des tâches de windows pour automatiser Akeeba, qui a l'avantage d'être plus rapide et de faire les sauvegardes directement chez l'hébergeur, donc sans faire mouliner mon ordinateur de bureau pendant 1 à 2 H pour chaque sauvegarde.

Comment sécuriser ce répertoire, pour éviter le téléchargement des sauvegardes par un Joomleur mal-intentionné qui pourrait peut-être récupérer mes identifiants et mots de passe, entre autres infos dangereuses ?

Un .htaccess à sa racine avec "deny from all" est-il suffisant ?

[RobertG]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

Si quelqu'un trouve tes identifiant et mot de passe d'accès ftp, il ne sera pas arrêté par un .htaccess
Ce que tu peux faire, c'est utiliser un répertoire hors de celui du site pour éviter un accès http à ces sauvegardes. Akeeba backup le permet dans son paramétrage.
Tu as ensuite intérêt à conserver une sauvegarde en local, au cas où, justement, un pirate arriverait à accéder à ton serveur.

[al1pb]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

Un .htaccess à sa racine avec "deny from all" est-il suffisant ?

Bonjour,
En fait, le répertoire des sauvegardes d'Akeba par défaut est en chmod 777 avec un .htaccess deny from all seulement pour ce répertoire.
Je ne penses pas que ça pose des problèmes de sécurité.

[django29]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

Mon répertoire de sauvegarde est en 755.
Je ne vois pas où/comment un pirate pourrait récupérer mes identifiants FTP, mais ils sont surement plus qualifiés en informatique que moi.
Il est effectivement possible d'enregistrer les sauvegardes dans un autre répertoire que le site ([ROOTPARENT]autredossier/sous-dossier). C'est un hébergement mutualisé 1and1.
Y-a-t-il un risque que quelqu'un puisse télécharger des fichiers enregistrés dans un répertoire du serveur sur lequel aucune adresse ne pointe ?

[RobertG]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

Y-a-t-il un risque que quelqu'un puisse télécharger des fichiers enregistrés dans un répertoire du serveur sur lequel aucune adresse ne pointe ?

Si aucune adresse ne pointe sur ce dossier situé hors de tout site hébergé sur ce serveur (attention au sous-domaine par défaut chez 1&1, qui pointe sur la racine), aucune chance d'y accéder par http.

[django29]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

(attention au sous-domaine par défaut chez 1&1, qui pointe sur la racine),

Pas compris.

Extrait de l'email envoyé par Akeeba à chaque sauvegarde :
"Si votre répertoire de sauvegarde n'est pas protégé contre le téléchargement direct (fichier .htaccess), il est conseillé de vous rendre en administration du site pour télécharger la sauvegarde et la supprimer du serveur."

Ils semblent donc dire qu'il y aurait tout de même quelque chose à mettre dans un .htaccess dans ce répertoire ?

[RobertG]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

(attention au sous-domaine par défaut chez 1&1, qui pointe sur la racine),

Pas compris.

1&1 met à ta disposition un sous-domaine qui permet d'accéder à ton serveur (à moins que tu sois en dédié), et qui, par défaut, pointe sur la racine de l'hébergement : si c'est toujours le cas, quel que soit le répertoire du serveur, il sera toujours accessible par http, et il faut donc que tu le fasses pointer ailleurs pour protéger ton serveur.

[django29]

Re : Sécuriser le répertoire de sauvegarde Akeebabackup

J'ai bien un domaine principal, comme ils l'appellent, mais qui n'est que l'un de mes sites, qui pointe vers un répertoire précis de mon hébergement mutualisé.
Je ne vois pas quel domaine pourrait pointer vers la racine du serveur (ou de ma partie de serveur).