Discussion :

[Olivier Regnier]

Bonjour

J'ai deux questions concernant le fichier .htaccess à savoir:

Est-il nécessaire de placer un tel fichier en dehors des www ayant comme lignes:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
<Files .htaccess>
order allow,deny
deny from all
</Files>

Théoriquement cette zone n'est pas accessible depuis l'extérieur

Je protége un répertoire et j'ai placé à l'intérieur de celui-ci le .htaccess et le fichier .htpasswd afin de ne pas créer un autre répertoire. Dans ce fichier .htaccess, on y trouve ces lignes:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
<FilesMatch "^\.ht(access|passwd)$">
    order deny,allow
    deny from all
    allow from monIP
</FilesMatch>

Est-ce vraiment utile vu que le répertoire est déjà protégé ?

Merci d'avance de vos réponses

[julp]

Je protége un répertoire et j'ai placé à l'intérieur de celui-ci le .htaccess et le fichier .htpasswd afin de ne pas créer un autre répertoire. Dans ce fichier .htaccess, on y trouve ces lignes:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
<FilesMatch "^\.ht(access|passwd)$">
    order deny,allow
    deny from all
    allow from monIP
</FilesMatch>

Est-ce vraiment utile vu que le répertoire est déjà protégé ?

Il ne faut pas oublier que les règles sont, par défaut (absence de redéfinition effective), héritées du répertoire parent (qui lui-même peut les tenir de celles de son propre parent et ainsi de suite - ça peut devenir couteux). Donc hors contexte et d'une manière générale, je pense que non. Quoique, ici tu as rajouté une règle pour ton adresse IP donc tu es bien obligé d'apporter cette redéfinition à un moment ou à un autre.

Comme je te l'ai signalé plutôt, il doit déjà exister (sinon il faut vraiment revoir sa configuration) une règle (par défaut) définie dans le fichier de configuration d'Apache interdisant l'accès aux fichiers liés au fonctionnement du serveur (.htaccess notamment - leur nom étant modifiable par AccessFileName). Quant à la possibilité de se retrouver (directement) en dehors de la racine web c'est possible par un lien symbolique mais ça implique que la configuration du serveur l'autorise à les suivre - Options (+)FollowSymLink - ou que tu ais défini un Alias ou quelque chose de semblable. Pour ces cas, on compte normalement sur les options par défaut (AllowOverride et Options à None, Deny from all) normalement introduites sur la racine du système de fichier (/ - peu importe l'OS). On active ensuite au cas par cas ce dont on a besoin et en ce qui concerne l'ensemble de ta partie web il suffit de créer une directive Directory pour ta racine web, l'héritage faisant le reste.

A noter qu'il existe des techniques pour "confiner" Apache : chroot, jail, ...

Comprends-tu où je veux en venir et l'approche globale d'Apache au niveau de ses fonctionnement/configuration ?

[Olivier Regnier]

Comprends-tu où je veux en venir et l'approche globale d'Apache au niveau de ses fonctionnement/configuration ?

Oui je comprends mieux maintenant suite à tes explications. Je parlais de mon hébergement chez Ovh et j'espère que leur serveur est bien configuré

Merci pour tout