Aller au contenu

Sécurisation du site web


Messages recommandés

Bonjour,

J’ai créé un site web qui comporte seule la page index.php qui affiche le message "site en maintenance".

J’ai un nom de domaine et un certificat Let’s Encrypt.

Quand je tape https://mondomaine.fr, j’arrive sur ma page web (j’utilise apache 2.4 et Php 7.0).

J’ai créé un virtual host identique à celui ci-dessous.


 

J’ai accès au site, donc a priori, je n’ai pas trop fait d’erreurs.

Je teste mon site à l’adresse suivante sur le web

https://securityheaders.com/

Je tape mon nom de domaine.fr et j’ai le résultat le plus mauvais à savoir F, le meilleur étant A +.

Avec un «. htaccess » à la racine du dossier web qui comporte 2 lignes

RewriteEngine On

Redirect permanent /secure https://mondomaine.fr

Je passe en D, Stric-Transport-Security semble réglé.  Figure jointe.

Pour les autres, il me faut modifier la configuration d’apache pour y ajouter des directives header. C’est ici que j’ai besoin d’aide

Sur mac, avec le terminal, en me connectant en ssh à mon NAS, j’ai juste trouvé sous

usr/local/etc/apache24/sites-enabled un fichier intitulé httpd-vhost.conf

Est-ce là qu’il faut placer les directives header ?

Et où peut-on trouver les modules apache qui « tournent » (ex : mod_headers.c ) ?

Merci

 

Capture d’écran 2019-01-28 à 14.44.18.png

 

Capture d’écran 2019-01-28 à 15.45.37.png

Capture d’écran 2019-01-28 à 15.54.14.png

Modifié par Antares95
Lien vers le commentaire
Partager sur d’autres sites

Bonjour,

J’ai poursuivi mes recherches et je me suis dit que j’allais modifier le fichier httpd-vhost.conf.

J’en ai fait une copie dans un de mes dossiers, je l’ai modifié et quand j’ai voulu le recopier avec la commande cp, j’ai eu un "Permission denied".

J’ai tenté un chmod sur le dossier sites-enabled et là : "Operation not permitted". Idem sur le fichier. Je suis pourtant en root.

Une idée ?

Merci

Lien vers le commentaire
Partager sur d’autres sites

Bonjour PiwiLAbruti

Merci, mais peut-être n'ai-je pas tout compris, je débute avec les commandes Unix-Linux.

Voici les commandes que j'ai tapées.

~ @ MPK (name)

=> sudo -i

Password:       (passe du mac)

MPK: ~ root#

MPK  ~user_root@ip_du_nas  (j'ai créé l'utilisateur user_root comme admin)

Password:       (passe de user_root)

Et là un message identique avec sudo su
Could not chdir to home directory /var/services/homes/user_root: Permission denied
-sh: /var/services/homes/user_root/.profile: Permission denied

J'ai obtenu le prompt user_root@nomdunas /$

Voici les commandes que j'ai tapées ensuite

$ : cd usr/local/etc/apache24/sites-enabled

$ : ls

je vois bien les deux fichiers

httpd-vhost.conf  webstation-default.conf

$: chmod 777 httpd-vhost.conf
chmod: changing permissions of ‘httpd-vhost.conf’: Operation not permitted

Je continue de chercher en attendant une autre piste.

 

Lien vers le commentaire
Partager sur d’autres sites

Bonjour,

J'ai utilisé sudo -i  mais je suis toujours dans une impasse.

j'obtiens le prompt MPK: ~root#

J'ai créé mes 2 clés RSA avec la commande ssh-keygen -t rsa 4096 -C "creation clefs"

J'ai vérifié que les clés étaient bien créées en faisant un ls du répertoire .ssh de ma session.

J'ai obtenu ceci    id_rsa        id_rsa.pub       known_hosts

Puis en faisant ensuite sous root

ssh root@ip_du nas, le serveur me demande le passe de root

Je ne trouve pas ce passe. J'ai essayé avec celui de mon admin NAS, de user_root, et sans passe.

Je dois faire une erreur. J'ai lu le tuto de Zeus et bon nombre d'articles sur le net.

Ils disent tous de rentrer le passe de root  et que c'est le même que celui de l'interface web du DSM, donc a priori, celui que j'ai rentré quand j'ai créé mon admin ou pas de passe..

j'ai fait un reset du NAS. Résultats identiques

Donc toujours impossible de recopier mon fichier httpd-vhost.conf.

Où fais-je une erreur ? Merci

 

Modifié par Antares95
Lien vers le commentaire
Partager sur d’autres sites

Bonsoir pluton212+

Mes clés sont créées.

Je me suis connecté par ssh un_admin@ip_du_nas

j'ai obtenu le prompt un_admin@nom_du_serveur

puis sudo -i

Après l'entrée du passe, je suis arrivé sur root@nom_du_serveur

et là je n'ai plus accès aux commandes ls et cp mais aux commandes du shell inconnues pour moi

donc je ne sais pas comment passer les clés du mac au NAS.

Il doit bien y avoir un moyen. Une idée. merci

Modifié par Antares95
Lien vers le commentaire
Partager sur d’autres sites

Bonjour,

Après réinstallation du DSM, tout fonctionne correctement.

j'ai accès à root.

j'ai installé un fichier ".htaccess" à la racine de web qui comprend juste une redirection http vers https, comme ceci

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

J'ai modifié le fichier httpd-vhost.conf de /usr/local/etc/apache24/sites-enabled/

j'ai ajouté une directive car le Content-Security-Policy ne semble pas fonctionner (coché dans la partie sécurité du DSM).

comme ceci

<VirtualHost *:80 *:443>
    ServerName mondomaine.fr
    SetEnv HOST mondomaine.fr
  <IfModule mod_headers.c>
    Header set Content-Security-Policy "script-src 'self' https://mondomaine.fr"
  </IfModule>    
    DocumentRoot "/volume1/web"

etc..

Pas mieux lors du test sur https://securityheaders.com/

le <IfModule mod_header.c> n'a pas l'air d'être lu ou interprété

les modules apaches sont pourtant présents dans /usr/local/etc/apache24/modules/.

Je n'ai rien trouvé sur le net.

Quelqu'un a-t'il une idée ? Merci

Lien vers le commentaire
Partager sur d’autres sites

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
×
  • Créer...

Information importante

Nous avons placé des cookies sur votre appareil pour aider à améliorer ce site. Vous pouvez choisir d’ajuster vos paramètres de cookie, sinon nous supposerons que vous êtes d’accord pour continuer.