Outils pour utilisateurs

Outils du site


config_apache

Ceci est une ancienne révision du document !


Quelques bonnes pratiques pour Apache2:

L'idée principale est de faire attention a ce que vous exposez comme informations public sur votre serveur Apache2.

1. Masquer la version d'apache

Dans le fichier de sécurité, ici Debian pour l'exemple, /etc/apache2/conf-available

Ensuite, passer ServerTokens en Prod au lieu d'OS ainsi que Server Signature à Off au lieu de On.

N'hesitez pas a le faire dés le début sur votre environnement de dév pour vérifier que cela ne posera pas de problemes. J'ai vu une fois que la directive ServerTokens a Prod avait posé un soucis mais j'ai plus en tête quoi. :D

2. Utilisez HTTPS

Il faut vivre avec son temps et le http sur port 80 c'est fini. Surtout aujourd'hui avec des solutions tel que let's encrypt qui vous permet d'avoir des certificats SSL/TLS gratuitement. Pourquoi s'en priver? Donc passez vos sites en https et pensez a faire une redirection permanente de l'http vers l'https.

3. Gérer vos redirections

Pour vos redirection, utilisez la directive redirect et non pas rewrite (pour du http vers https par exemple). Pourquoi? parce que la doc dit explicitement que mod_rewrite ne devrait être utiliser qu'en dernier recours et en gros, quand vous n'avez pas accès a la configuration du vhost.

4. Configurer vos Vhost correctement

Cette section est incomplètes. Attention aux options Indexes, cela permet de lister le contenue d'un dossier. Il faudra précisé un No Indexes dés que possible. J'ai déjà vu Apache l'avoir par défaut sur le répertoire par défaut (exemple '/var/www'), autant dire que c'est pas top top.

5. Pas de choses inutiles

  • Faites le tour de l'ensemble des modules non utilisés et désactivés les.
  • Nettoyez vos fichiers de config et vhost.
  • Les mises à jours régulières, encore et toujours.

6. Consultez la doc!

La doc apache est plutot simple et généralement clair, je vous conseille de la consulter dés que possible. Nombre de tuto ne suivent pas ce qui est préconisé dans la docs et c'est plutôt triste.

config_apache.1556533772.txt.gz · Dernière modification: 2019/04/29 12:29 par draak