30.10. Sécurité

30.10.1. Limiter les risques

Si sur un ordinateur, aucun serveur web n'est nécessaire, il vaut mieux désactiver Apache dans l'éditeur de niveaux d'exécution, le désinstaller, ou ne pas l'installer du tout. Afin de minimiser les risques, désactivez tout serveur non utilisé. Cela vaut en particulier pour les ordinateurs qui servent de pare-feu. Si possible, il est vivement recommandé de ne pas faire fonctionner de serveur web sur ces ordinateurs.

30.10.2. Les droits d'accès

30.10.2.1. DocumentRoot devrait appartenir à root

Le répertoire DocumentRoot (/srv/www/htdocs) et le répertoire CGI appartiennent par défaut à l'utilisateur root. Il n'est pas conseillé de modifier ce paramétrage. Si tout le monde peut écrire dans ces répertoires, il est également possible à tout utilisateur d'y enregistrer des fichiers. Ces fichiers sont ensuite exécutés par Apache avec les droits de l'utilisateur wwwrun. De plus, Apache ne doit avoir aucun droit d'écriture sur les données et les scripts qu'il fournit. C'est la raison pour laquelle ceux-ci ne doivent pas appartenir à l'utilisateur wwwrun, mais, par exemple, à root.

Pour permettre à des utilisateurs de placer des fichiers dans le répertoire de documents d'Apache, il ne faut pas donner les droits d'écriture à tous les utilisateurs. Au lieu de cela, créez un sous-répertoire dans lequel tout le monde peut écrire, comme /srv/www/htdocs/divers.

30.10.2.2. Publier des documents à partir de son propre répertoire personnel

Si les utilisateurs sont autorisés à publier des fichiers, il est possible de déclarer un sous-répertoire de leur répertoire personnel home respectif apte à la publication de fichiers. Ce sous-répertoire est traditionnellement nommé ~/public_html. Cette possibilité est activée par défaut dans SUSE LINUX. Plus de détails sont disponibles en section  Section 30.6.2.16, « UserDir ».

On peut alors utiliser sur ces pages l'identité de l'utilisateur dans l'URL. L'URL contient l'élément ~ nom d'utilisateur comme raccourci vers le répertoire respectif du répertoire personnel de l'utilisateur. Par exemple, lorsque l'on saisit l'URL http://localhost/~tux dans un navigateur, les données du répertoire public_html du répertoire personnel de l'utilisateur tux sont affichées.

30.10.3. Toujours rester à la page

Tous ceux qui mettent en place un serveur web, et en particulier si ce serveur web est accessible au public, devraient veiller à rester à la pointe de l'information en ce qui concerne les bogues et les points de vulnérabilité potentiels. Une liste de sources sur les failles exploitables et les correctifs est donnée dans la section Section 30.12.3, « Sécurité ».


SUSE LINUX Guide de l'administrateur 9.2