[RÉGLÉ] Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php" ?

[Toni]

Bonjour !

1) Est-ce qu'on peut crypter le mot de passe BDD ("$password") dans le fichier "configuration.php" ?
Si oui, quel système de cryptage est accepté par Joomla 2.5 ?

2) Dans le fichier "configuration.php" à quoi correspond le champ crypté "$secret" ?

Merci !

[lliseil]

Re : Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php

Bonjour je vois votre post en passant.
configuration.php est par défaut, protégé _très_ efficacement contre tout accès web (sans ça quelques millions de sites auraient des soucis non stop).
Pour accroître encore la protection j'utilise la gestion d'accès Apache via une directive .htaccess du type :

# Interdire tout accès direct aux fichiers vitaux...
RewriteRule ^(configuration\.php|CONTRIBUTING\.md|htaccess\.txt [SNIP] - [F]
#*...et aux fichiers permettant d'identifier le CMS  
RewriteRule ^(htaccess\.txt|configuration\.php-dist|php\.ini)$ - [F]

Et de mémoire, "$secret" est utilisé pour le cookie de session admin.

[Siteprod]

Re : Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php

slt, bonne question
mais après tout, si ( et seulement si ) un pirate/bots a accès au fichier configuration, aavec un psw crypté ou non, il a tjrs accès lol
il suffira de trouver le système de décryptage non? lol
à plus

[SimonG]

Re : Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php

Bonjour,

avec l'article suivant, tu peux déplacer ce fichier :

http://www.aide-joomla.com/tutoriels/securite/677-deplacer-le-fichier-configuration-php

[Toni]

Re : Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php

Bonjour !

La combinaison du déplacement du fichier configuration (SimonG) et de la protection Apache (llisei)
me rassure sur la sécurité.
(sauf que je n'ai pas la main sur mon serveur Apache, j suis hébergé)

Je ne sais pas dans quelle mesure, un script PHP de redirection ... pourrait compléter cette combinaison.
Je viens d'y penser :

1) AdresseDuSite1.fr
à cette adresse, un script PHP redirigerait automatiquement les visiteurs sur AdresseDuSite2.fr (le site lui-même)

2) En cas de pb, il semble qu'en modifiant le script php pour qu'il pointe sur une AdresseDuSite3.fr
où il y aurait le double du "vrai" site ... permettrait de parer au pb.

Mais bon ... c'est "couper les cheveux en quatre !"

Remarque pour Siteprod : efectivement si le mot de passe est crypté ... il y a souvent posibilité de le décrypter lol !

Merci !!!

[lliseil]

Re : Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php

Bonjour Toni,
Le fichier .htaccess est fourni avec Joomla! à la racine du site : "htaccess.txt" (celui qu'on renomme en .htaccess via FTP pour activer la réécriture des URLs notamment) ^_^
Pour faire simple, la (très) grande majorité des hébergements web mutualisés vous permet de personnaliser le serveur Apache via ce petit fichier de copnfiguration.

[Toni]

Re : Est-ce qu'on peut crypter le mot de passe BDD dans le fichier "configuration.php

Bonjour Toni,
Le fichier .htaccess est fourni avec Joomla! à la racine du site : "htaccess.txt" (celui qu'on renomme en .htaccess via FTP pour activer la réécriture des URLs notamment) ^_^
Pour faire simple, la (très) grande majorité des hébergements web mutualisés vous permet de personnaliser le serveur Apache via ce petit fichier de copnfiguration.

Bsr Llisei,

Je peux effectivement accéder au fichier htaccess via ftp Filezilla.
Je n'ai pas encore testé pour voir si des modifs seraient prisent en compte
par mon hébergeur.
J'essaierai qud j'installerai la version finale de mon site. Merci !