Installation security hints/fr - Revision history

Maren.fritz: Created page with "'''AVERTISSEMENT - Le CSP fourni ici est uniquement un exemple et n'est pas destiné à être utilisé textuellement. Il s'agit d'un point de départ et vous DEVEZ l'adapter..."

2023-10-02T07:04:47Z

Created page with "'''AVERTISSEMENT - Le CSP fourni ici est uniquement un exemple et n'est pas destiné à être utilisé textuellement. Il s'agit d'un point de départ et vous DEVEZ l'adapter..."

← Older revision		Revision as of 09:04, 2 October 2023
Line 126:		Line 126:
	=== Politique de sécurité du contenu (CSP) ===		=== Politique de sécurité du contenu (CSP) ===

	'''~~DISCLAIMER~~ - ~~The~~ CSP ~~provided here is an example only and is not meant to used verbatim~~. ~~It is meant as a starting~~ point ~~and you MUST adapt it to your needs and test it thoroughly~~.'''		'''AVERTISSEMENT - Le CSP fourni ici est uniquement un exemple et n'est pas destiné à être utilisé textuellement. Il s'agit d'un point de départ et vous DEVEZ l'adapter à vos besoins et le tester minutieusement.'''
	<nowiki><IfModule mod_headers.c>		<nowiki><IfModule mod_headers.c>
	~~Header always set~~ Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; base-uri '~~none~~'; ~~form~~-action '~~self~~'; ~~frame~~-~~ancestors~~ '~~self~~'; ~~upgrade~~-insecure-requests" "expr=%{CONTENT_TYPE} =~ m#text\/(html\|javascript)\|application\/pdf\|xml#i"		L'en-tête est toujours défini sur Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; base-uri 'aucun '; formulaire-action 'soi'; cadre-ancêtres 'soi'; mises à niveau-insecure-requests" "expr=%{CONTENT_TYPE} =~ m#text\/(html\|javascript)\|application\/pdf\|xml#i "
	</IfModule></nowiki>		</IfModule></nowiki>

Maren.fritz: Created page with "=== Politique de sécurité du contenu (CSP) ==="

2023-10-02T07:04:43Z

Created page with "=== Politique de sécurité du contenu (CSP) ==="

← Older revision		Revision as of 09:04, 2 October 2023
Line 124:		Line 124:


	=== ~~Content Security Policy~~ (CSP) ===		=== Politique de sécurité du contenu (CSP) ===

	'''DISCLAIMER - The CSP provided here is an example only and is not meant to used verbatim. It is meant as a starting point and you MUST adapt it to your needs and test it thoroughly.'''		'''DISCLAIMER - The CSP provided here is an example only and is not meant to used verbatim. It is meant as a starting point and you MUST adapt it to your needs and test it thoroughly.'''

Maren.fritz: Created page with "De plus, '''n'utilisez pas "admin" comme utilisateur par défaut'''. Accédez à votre base de données MySQL (ou celle dans laquelle vous avez installé LimeSurvey) et rempla..."

2023-10-02T07:04:40Z

Created page with "De plus, '''n'utilisez pas "admin" comme utilisateur par défaut'''. Accédez à votre base de données MySQL (ou celle dans laquelle vous avez installé LimeSurvey) et rempla..."

← Older revision		Revision as of 09:04, 2 October 2023
Line 121:		Line 121:
	</syntaxhighlight>		</syntaxhighlight>

	~~Also~~, '''~~don~~'~~t use~~ "admin" ~~as the default user~~'''. ~~Go to your~~ MySQL ~~database~~ (~~or the one in which you installed~~ LimeSurvey) ~~and change default user name~~ "admin" ~~to whatever you prefer~~ (~~e.g.~~ "admin_xyz"). ~~It will now be much harder to guess the administrator~~'s ~~new user name. Remember, this is one of the two~~ variables ~~intruders can use to gain access~~. ~~The admin password is the other~~ variable. ~~So choose both of them with extreme caution~~.		De plus, '''n'utilisez pas "admin" comme utilisateur par défaut'''. Accédez à votre base de données MySQL (ou celle dans laquelle vous avez installé LimeSurvey) et remplacez le nom d'utilisateur par défaut "admin" par celui de votre choix (par exemple "admin_xyz"). Il sera désormais beaucoup plus difficile de deviner le nouveau nom d'utilisateur de l'administrateur. N'oubliez pas qu'il s'agit de l'une des deux variables que les intrus peuvent utiliser pour accéder. Le mot de passe administrateur est l'autre variable. Choisissez donc les deux avec une extrême prudence.

Maren.fritz: Created page with "'urlManager' => array( [...] 'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'), [... ] ); "

2023-10-02T07:04:36Z

Created page with "'urlManager' => array( [...] 'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'), [... ] ); </syntaxhighlight>"

← Older revision		Revision as of 09:04, 2 October 2023
Line 115:		Line 115:

	'urlManager' => array(		'urlManager' => array(
	[...]		[...]
	'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'),		'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'),
	[...]		[... ]
	);		);
	</syntaxhighlight>		</syntaxhighlight>

Maren.fritz: Created page with "Exemple:"

2023-10-02T07:04:32Z

Created page with "Exemple:"

← Older revision		Revision as of 09:04, 2 October 2023
Line 107:		Line 107:
	</syntaxhighlight>		</syntaxhighlight>

	~~Example~~:		Exemple:

	<syntaxhighlight lang="php">		<syntaxhighlight lang="php">

Maren.fritz: Created page with "'urlManager' => array( [...] 'rules' => require('routes.php'), [...] ); "

2023-10-02T07:04:27Z

Created page with "'urlManager' => array( [...] 'rules' => require('routes.php'), [...] ); </syntaxhighlight>"

← Older revision		Revision as of 09:04, 2 October 2023
Line 101:		Line 101:

	'urlManager' => array(		'urlManager' => array(
	[...]		[...]
	'rules' => require('routes.php'),		'rules' => require('routes.php'),
	[...]		[...]
	);		);
	</syntaxhighlight>		</syntaxhighlight>

Maren.fritz: Created page with "'basePath' => dirname(dirname('''FILE''')), 'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'. DIRECTORY_SEPARATOR.'runtime', [...]"

2023-10-02T07:04:25Z

Created page with "'basePath' => dirname(dirname('''FILE''')), 'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'. DIRECTORY_SEPARATOR.'runtime', [...]"

← Older revision		Revision as of 09:04, 2 October 2023
Line 97:		Line 97:

	'basePath' => dirname(dirname('''FILE''')),		'basePath' => dirname(dirname('''FILE''')),
	'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'.DIRECTORY_SEPARATOR.'runtime',		'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'. DIRECTORY_SEPARATOR.'runtime',
	[...]		[...]

Maren.fritz: Created page with "Cela évite d'avoir à modifier tous les autres fichiers qui incluent /application/config/config.php, puisque config.php les "redirige" vers le fichier de configuration qui se..."

2023-10-02T07:04:21Z

Created page with "Cela évite d'avoir à modifier tous les autres fichiers qui incluent /application/config/config.php, puisque config.php les "redirige" vers le fichier de configuration qui se..."

← Older revision		Revision as of 09:04, 2 October 2023
Line 92:		Line 92:
	Une autre façon de sécuriser ces informations peut être de placer les informations du fichier /application/config/config.php dans un répertoire non-web, c'est-à-dire pour les utilisateurs Apache, il s'agit du répertoire au-dessus du dossier htdocs (également connu sous le nom de public_html ou www). . Fondamentalement, vous utiliserez config.php, mais vous n'aurez qu'une seule ligne - une ligne qui inclut le fichier avec les informations de configuration RÉELLES (ex :<?php return include("/home/hostfolder/safedata/configreal.php"); ?> ). Supprimez toutes les informations de configuration réelles de /application/config/config.php et collez-les dans l'autre fichier (configreal.php) mentionné dans le fichier /application/config/'''config.php'''. Cet autre fichier doit être situé dans un répertoire non Web. Ensuite, /application/config/config.php ne contiendra pas les mots de passe de la base de données, etc. - juste le nom du fichier qui '''CONTIENT''' les informations de la base de données.		Une autre façon de sécuriser ces informations peut être de placer les informations du fichier /application/config/config.php dans un répertoire non-web, c'est-à-dire pour les utilisateurs Apache, il s'agit du répertoire au-dessus du dossier htdocs (également connu sous le nom de public_html ou www). . Fondamentalement, vous utiliserez config.php, mais vous n'aurez qu'une seule ligne - une ligne qui inclut le fichier avec les informations de configuration RÉELLES (ex :<?php return include("/home/hostfolder/safedata/configreal.php"); ?> ). Supprimez toutes les informations de configuration réelles de /application/config/config.php et collez-les dans l'autre fichier (configreal.php) mentionné dans le fichier /application/config/'''config.php'''. Cet autre fichier doit être situé dans un répertoire non Web. Ensuite, /application/config/config.php ne contiendra pas les mots de passe de la base de données, etc. - juste le nom du fichier qui '''CONTIENT''' les informations de la base de données.

	~~This avoids having to change all the other files that include~~ /application/config/config.php, ~~since~~ config.php ~~'re-directs them' towards the~~ configuration ~~file that is located in a~~ non-web ~~directory which includes all the real~~ configuration ~~information~~. ~~However~~, ~~you will need to edit~~ configreal.php ~~and change the follow parameters to use absolute directory paths to work properly~~:		Cela évite d'avoir à modifier tous les autres fichiers qui incluent /application/config/config.php, puisque config.php les "redirige" vers le fichier de configuration qui se trouve dans un répertoire non-web qui comprend toutes les informations réelles de configuration. . Cependant, vous devrez modifier configreal.php et modifier les paramètres suivants pour utiliser les chemins de répertoire absolus pour fonctionner correctement :

	<syntaxhighlight lang="php">		<syntaxhighlight lang="php">

Maren.fritz: Created page with "Une autre façon de sécuriser ces informations peut être de placer les informations du fichier /application/config/config.php dans un répertoire non-web, c'est-à-dire pour..."

2023-10-02T07:04:17Z

Created page with "Une autre façon de sécuriser ces informations peut être de placer les informations du fichier /application/config/config.php dans un répertoire non-web, c'est-à-dire pour..."

← Older revision		Revision as of 09:04, 2 October 2023
Line 90:		Line 90:
	Le fichier /application/config/config.php contient un nom d'utilisateur et un mot de passe pour votre serveur de base de données. Cela pose certains problèmes de sécurité, en particulier si vous utilisez une connexion disposant d'un accès administratif de haut niveau à votre base de données. Dans le cas d'une erreur renvoyant le contenu de ce fichier PHP au navigateur d'un utilisateur, le mot de passe de votre base de données et d'autres détails pourraient être compromis (cependant, il s'agit d'un scénario très improbable). La meilleure façon de minimiser les risques est de configurer une connexion spécifique qui dispose de droits spécifiques uniquement sur votre base de données LimeSurvey.		Le fichier /application/config/config.php contient un nom d'utilisateur et un mot de passe pour votre serveur de base de données. Cela pose certains problèmes de sécurité, en particulier si vous utilisez une connexion disposant d'un accès administratif de haut niveau à votre base de données. Dans le cas d'une erreur renvoyant le contenu de ce fichier PHP au navigateur d'un utilisateur, le mot de passe de votre base de données et d'autres détails pourraient être compromis (cependant, il s'agit d'un scénario très improbable). La meilleure façon de minimiser les risques est de configurer une connexion spécifique qui dispose de droits spécifiques uniquement sur votre base de données LimeSurvey.

	~~Another way to secure this information can be to put the information from the~~ /application/config/config.php ~~file in a~~ non-web ~~directory~~, ~~i.e. for~~ Apache ~~users this is the directory above the~~ htdocs (~~also known as~~ public_html or www) ~~folder~~. ~~Basically~~, ~~you will use~~ config.php, ~~but have one line in it~~ - ~~a line that includes the file with ACTUAL~~ configuration ~~information~~ (ex: ~~<code>~~<?php return include("/home/hostfolder/safedata/configreal.php"); ?~~></code~~>). ~~Remove all actual~~ configuration ~~information from~~ /application/config/config.php ~~and paste it into the other file~~ (configreal.php) ~~that is mentioned in the~~ /application/config/'''config.php''' ~~file~~. ~~This other file should be located in a~~ non~~-web directory~~. ~~Then~~, /application/config/config.php ~~will not contain database passwords~~ etc. - ~~just the name of the file that~~ '''~~DOES~~''' ~~contain the database info~~.		Une autre façon de sécuriser ces informations peut être de placer les informations du fichier /application/config/config.php dans un répertoire non-web, c'est-à-dire pour les utilisateurs Apache, il s'agit du répertoire au-dessus du dossier htdocs (également connu sous le nom de public_html ou www). . Fondamentalement, vous utiliserez config.php, mais vous n'aurez qu'une seule ligne - une ligne qui inclut le fichier avec les informations de configuration RÉELLES (ex :<?php return include("/home/hostfolder/safedata/configreal.php"); ?> ). Supprimez toutes les informations de configuration réelles de /application/config/config.php et collez-les dans l'autre fichier (configreal.php) mentionné dans le fichier /application/config/'''config.php'''. Cet autre fichier doit être situé dans un répertoire non Web. Ensuite, /application/config/config.php ne contiendra pas les mots de passe de la base de données, etc. - juste le nom du fichier qui '''CONTIENT''' les informations de la base de données.

	This avoids having to change all the other files that include /application/config/config.php, since config.php 're-directs them' towards the configuration file that is located in a non-web directory which includes all the real configuration information. However, you will need to edit configreal.php and change the follow parameters to use absolute directory paths to work properly:		This avoids having to change all the other files that include /application/config/config.php, since config.php 're-directs them' towards the configuration file that is located in a non-web directory which includes all the real configuration information. However, you will need to edit configreal.php and change the follow parameters to use absolute directory paths to work properly:

Maren.fritz: Created page with "Le fichier /application/config/config.php contient un nom d'utilisateur et un mot de passe pour votre serveur de base de données. Cela pose certains problèmes de sécurité,..."

2023-10-02T07:04:14Z

Created page with "Le fichier /application/config/config.php contient un nom d'utilisateur et un mot de passe pour votre serveur de base de données. Cela pose certains problèmes de sécurité,..."

← Older revision		Revision as of 09:04, 2 October 2023
Line 88:		Line 88:
	{{Alerte\| Vous devez mettre à jour application/config/'''config.php''' seulement une fois la première installation terminée et que cela fonctionne.}}		{{Alerte\| Vous devez mettre à jour application/config/'''config.php''' seulement une fois la première installation terminée et que cela fonctionne.}}

	~~The~~ /application/config/config.php ~~file contains a user name and password for your database server~~. ~~This poses certain security issues~~, ~~particularly if you are using a login that has high level administrative access to your database~~. ~~In the event of some error returning the content of this~~ PHP ~~file to a user~~'~~s browser~~, ~~your database password and other details could be compromised~~ (~~however~~, ~~this is a very unlikely scenario~~). ~~The best way to minimize risk is to set up a specific login that has specific rights only to your~~ LimeSurvey ~~database~~.		Le fichier /application/config/config.php contient un nom d'utilisateur et un mot de passe pour votre serveur de base de données. Cela pose certains problèmes de sécurité, en particulier si vous utilisez une connexion disposant d'un accès administratif de haut niveau à votre base de données. Dans le cas d'une erreur renvoyant le contenu de ce fichier PHP au navigateur d'un utilisateur, le mot de passe de votre base de données et d'autres détails pourraient être compromis (cependant, il s'agit d'un scénario très improbable). La meilleure façon de minimiser les risques est de configurer une connexion spécifique qui dispose de droits spécifiques uniquement sur votre base de données LimeSurvey.

	Another way to secure this information can be to put the information from the /application/config/config.php file in a non-web directory, i.e. for Apache users this is the directory above the htdocs (also known as public_html or www) folder. Basically, you will use config.php, but have one line in it - a line that includes the file with ACTUAL configuration information (ex: <code><?php return include("/home/hostfolder/safedata/configreal.php"); ?></code>). Remove all actual configuration information from /application/config/config.php and paste it into the other file (configreal.php) that is mentioned in the /application/config/'''config.php''' file. This other file should be located in a non-web directory. Then, /application/config/config.php will not contain database passwords etc. - just the name of the file that '''DOES''' contain the database info.		Another way to secure this information can be to put the information from the /application/config/config.php file in a non-web directory, i.e. for Apache users this is the directory above the htdocs (also known as public_html or www) folder. Basically, you will use config.php, but have one line in it - a line that includes the file with ACTUAL configuration information (ex: <code><?php return include("/home/hostfolder/safedata/configreal.php"); ?></code>). Remove all actual configuration information from /application/config/config.php and paste it into the other file (configreal.php) that is mentioned in the /application/config/'''config.php''' file. This other file should be located in a non-web directory. Then, /application/config/config.php will not contain database passwords etc. - just the name of the file that '''DOES''' contain the database info.