Discussion :

[guy2004]

Bonjour, j'ai un site en php je voudrai savoir si des aspirateurs de sites ou autres logiciels utilisées par des concurrents peuvent venir m'aspirer mes sources php ?
Merci beaucoup

[guigui5931]

Je ne connais pas le fonctionnement de tous les aspirateurs mais normalement c'est impossible. En effet le code PHP est interpreté coté serveur, le client ne reçoit que des pages HTML résultante de l'interpretation donc les clients ne peuvent pas voir le PHP.

[guy2004]

oui mais ce que je veux savoir c'est si il peut recuperer les fichiers sur mon serveur, pas les fichiers php interprétés par le navigateur.

[guigui5931]

Normalement sans ton login et ton mot de passe personne ne peux accéder à ton serveur FTP.

[guy2004]

cela signifie qu'un gars ne peut pas aspirer monsite.com/mes-dossiers-php/mon-script.php ? c'est ca dont je veut etre sûr.
merci

[julien.63]

les fichiers php interprétés par le navigateur

les fichiers sont interprétés coté serveur.

cela signifie qu'un gars ne peut pas aspirer monsite.com/mes-dossiers-php/mon-script.php ?

il n'aura pas de code php. Seulement du HTML, javascript ou autre...

Heureusement, sinon ça veut dire qu'il n'y aurait aucune sécurité !

[guy2004]

Ok merci

[Fladnag]

ce n'est pas absoluement vrai.

Lorsqu'on a du code php "sensible" (contenant par exemple un couple login/pass de base sql) il est conseillé de ne pas le laisser dans un repertoire non protégé en se basant sur l'idée que "de toute facon le code php est interprété et il est donc impossible de recuperer son source"

Le code PHP est interprété par le serveur PHP. La page "fichier.php" est chargée par le serveur WEB (apache ou autre)

Donc si l'on imagine que le serveur php (pour une raison ou pour une autre, probleme technique ou intention malveillante) s'arrete et ne rend plus son service, le serveur WEB continuera de fournir tranquillement les pages... non interprétées !

Le code php sensible est donc a mettre dans un repertoire "protegé", c'est a dire contenant un fichier ".htaccess" contenant juste la ligne "Deny from all"

Le fichier ".htaccess" étant géré par le serveur apache, il sera impossible d'acceder a ce fichier tant que le serveur apache tournera... et s'il s'arrete de tourner, le fichier sera de toute facon inaccessible. On a donc une meilleure sécurité que dans le cas précédent.