Passer de aeSecure à Admin Tools ou équivalent ?

[RobertG]

Bonjour,

Avec beaucoup de regrets, j'envisage sérieusement de remplacer aeSecure que j'utilise sur de nombreux sites.
Ma première expérience d'Admin Tools il y a quelques mois (en dehors de celle d'il y a plusieurs années, peut-être en Joomla! 2.5) s'est soldée par une désactivation très rapide, l'accès à l'administration de mon site de tests s'étant rapidement retrouvée bloquée... J'étais pourtant décidé à y venir et j'avais même pris une licence pro !
Deux questions tout d'abord : y aurait-il une alternative à Admin Tools efficace et plus simple à comprendre, et y aurait-il un tuto clair sur son utilisation. A voir le listing des fonctionnalités, j'imagine qu'il vaut mieux utiliser la version pro.

Autre question, pratique celle-ci : j'imagine qu'avant de supprimer aeSecure il faut revenir au fichier .htaccess personnel en supprimant l'utilisation des fonctionnalités aeSecure, mais que faire des php.ini et .htaccess qu'a placés aeSecure dans tous les dossiers ?

Merci de vos conseils !

[woluweb]

Beaucoup de sous-questions :
- pour "désactiver" aeSecure, effectivement tu remplaces le .htaccess par l'original de Joomla (logiquement le htaccess.txt que tu as à la racine). Puis tu peux supprimer aussi le dossier /aesecure
- si tu avais protégé un dossier comme /administrator avec un htpsswd, ça reste valable et c'est indépendant de aeSecure même si tu l'avais créé avec aeSecure
- php.ini : chez certains hébergeurs, je le supprimais pcq ça me créait des effets de bord. Pas de souci donc à le supprimer
- quant aux .htaccess ajoutés à gauche et à droite, hé bien ça ne pose pas de problème. Exemple : si ça bloque le listing d'images/de fichiers dans un dossier, tant mieux. Pas de raison de se fatiguer à les enlever, tu es mieux avec que sans

Perso j'ai aeSecure ET Admin Tools Pro sur tous mes sites.
Ca gère des choses différentes :
- aeSecure était au niveau du .htaccess, donc en amont de Joomla (exemple : bloquer une injection pcq l'url contient certains caractères)
- AdminTools bloque des choses au niveau de Joomla (exemple : trois tentatives de connexions erronées depuis une même adresse IP => IP bloquée 15 minutes)

Et AdminTools peut aussi ajouter des règles dans le .htaccess (mais je pense moins que ce que aeSecure faisait)

[roland_d_alsace]

+1 avec woluweb

Les 2 sont totalement complémentaires (à faire attention toutefois à la configuration d'admintools afin qu'il ne touche pas au .htaccess), aesecure étant bien plus complet sur ce point.
J'ai aussi les 2 en fonction (en version pro) sur des sites un peu "exposés" aux attaques.

[RobertG]

Merci Marc et Roland, mais le problème d'aeSecure est que ce script ne supporte pas PHP 8 et provoque une erreur fatale, page blanche après décompression du zip, sur une installation sous PHP 8.0.0 (Wampserver) ; sous PHP 7.4.9, erreur "Deprecated: Unparenthesized `a ? b : c ? d : e` is deprecated" mais j'ai la page d'installation.
Puis plusieurs alertes après installation (avant paramétrage).. Et si je repasse en 8.0.0, fatal error.
Je me demande si, indépendamment de l'impossibilité de modifier/paramétrer un aeSecure précédemment installé, ce type d'erreur n'entraînerait pas aussi un non-fonctionnement global.

Autre souci : certaines fonctionnalités de la version pro permettaient de récupérer des paramètres de protection sur le site aesecure, ce qui n'est plus possible depuis l'abandon du projet (et aussi parce que le nom de domaine a été repris par un australien... ce qui va en perturber plus d'un qui aurait envie de cliquer sur le lien dans le script).

[woluweb]

ha, tu n'avais pas encore parlé de PHP8

Bon alors de fait, laisse simplement tomber.

[jfque]

cavo789 C'est un peu dommage d'avoir laissé expirer le nom de domaine qui est maintenant repris par un abruti qui s'en sert pour un PBN. Comme s'il n'y avait pas assez de spam sur Internet comme ça...

[cavo789]

Je n'étais pas au courant, la dernière fois que j'ai regardé (assez récemment), il n'était pas repris. Le NDD est resté trois ans après moi, je n'allais pas prolonger ad vitam eternam non plus. Et après trois ans, j'espère, mon nom n'est plus associé à ce NDD.

[RobertG]

C'est tout à fait compréhensible, Christophe !
Ce qui est surtout fort dommage, c'est qu'après l'épisode "SimonG" personne n'ait pu reprendre la gestion de ce script.

[RobertG]

Pour info, la modification de la ligne 22 du fichier "aesecure/helpers/settings.php" à faire pour corriger l'erreur "deprecated" en 7.4 et l'erreur fatale en 8.0 :

private function selfURL(){
//$s = empty($_SERVER["HTTPS"])?'': ($_SERVER["HTTPS"] == "on")?"s":"";
$s = empty($_SERVER["HTTPS"])?'': (($_SERVER["HTTPS"] == "on")?"s":""); 

D'autres erreurs sont liées à la définition des versions de PHP dans le fichier "aesecure/configuration/settings.json" :

"php":{
"enabled":true,
"7.0":"7.0.3",
"5.6":"5.6.18",
"5.5":"5.5.32",
"5.4":"5.4.45",
"5.3":"5.3.29",
"5.2":"5.2.17",
"url":"https://www.php.net/releases/?serialize=1&max=10&version=5",
"updatephpver":"https://www.aesecure.com/fr/documentation/faq/upgrade-php.html"
},

Pour le moment, il me reste cette erreur pour la fonctionnalité de vidage du dossier tmp

Fatal error: Uncaught ValueError: Missing format specifier at end of string in /home/www/********/**********/aesecure/setup/setup.php:724

Et pour info encore, j'ai pu installer sans erreur le module aesecure pour J! 3 sur une J! 4 beta 8 dev.

J'oubliais : une des raisons qui m'ont fait envisager d'abandonner aeSecure est que de temps en temps, ce matin-même pour un client, des hébergeurs signalent que leur script antivirus a détecté un éventuel virus dans un dossier d'aeSecure. Faux positif, mais perturbant pour le propriétaire du site !

[roland_d_alsace]

Dans l'absolu, je ne vois pas ce qui empêcherait de supprimer (le code php de) aesecure une fois le .htaccess généré.

[cavo789]

Rien, en effet Roland si ce n'est les redirect dans htaccess vers la page rouge 403 d'aeSecure (il faudrait donc, idéalement adapter le redirect).

Mais en effet le code php est surtout l'interface et la journalisation des attaques.

[RobertG]

Bonjour,

Bien, la question d'aeSecure étant partiellement réglée (je n'ai pas trouvé la cause de l'erreur fatale au vidage du dossier tmp), si on passait à la question d'Admin Tools et de la foule de ses paramètres où je suis totalement perdu ?

Comme je l'ai dit, je l'ai installé, en version gratuite il me semble, sur un site de test et il m'a rapidement fallu le désactiver car il me bloquait l'accès (je ne me souviens pas si j'avais paramétré quelque chose ou pas). N'ayant pas compris pourquoi j'ai été bloqué, j'ai abandonné. Il faut dire aussi que faute de traduction (je n'ai trouvé qu'hier celle, partielle, sur joomlatranslate), même si j'ai l'habitude de traduire les fichiers de langue de diverses extensions, la compréhension de celle-ci m'a échappé !

[jfque]

La version gratuite d'Admin Tools n'est pas une extension de sécurité, c'est seulement un outil de maintenance (permissions des dossiers, encodage de la base, redirections SEO, ...), seule la version Pro a les fonctions nécessaires.
La documentation, comme toujours chez Akeeba est très complète, mais seulement en anglais. En principe, en suivant pas à pas cette doc, le composant n'est pas si compliqué à paramétrer.
Il y a aussi un "wizard" qui permet une configuration "automatique" en fonction de seulement quelques paramètres, mais je préfère toujours le faire en "manuel".
Bonne nouvelle si vous avez plusieurs sites : il y a une fonction "Export settings" qui permet d'exporter les paramètres d'un site pour les importer dans un autre. Si les fonctionnement sont proches, cela fait gagner pas mal de temps.
La fonction de création du .htaccess est aussi très complète mais, n’ayant jamais AESecure, je n'ai pas de point de comparaison.

[RobertG]

Merci JF pour ces informations !

[django29]

Salut. Etonnant que dans ce sujet, personne n'évoque RSFirewall, que j'utilise sur tous mes sites. Comme tous les composants RSJoomla, il est très complet, très fiable, et même très agréable à utiliser.