Jean-Marc Coursimault wrote:
>>Avec apache, le module mod_security est certainement à considérer pour
>
> filtrer ce qu'on veut (ou ne veut pas) laisser passer dans la query
> string, les formulaires, plus d'autres fonctionnalités intéressantes.
>
>
>>Visiter http://www.modsecurity.org/
>
>
> Hélas... Il a l'air bien ce module, mais en config de base il casse illico
> mon webmail et la recherche de certains termes dans les forums...
[..]
>
> Faudrait que je me plonge dans les détails...
En attendant, tu peux éventuellement mettre en place le module que pour
certaines parties de tes sites, celles où tu es le moins en confiance,
où il n'y a pas de saisies de données afin de couper court au
bidouillage d'url tout en évitant des DoS pour cause de
plus-droit-de-rien-faire-chez-soi ;)
Exemple de SPIP où à priori on est en bonne compagnie de gens identifiés
et responsables, pour ce qui est de l'accès des rédacteurs et
administrateurs, le restant de l'arborescence (cad /var/www/html) étant
sous le contrôle du mod_security :
<Directory "/var/www/html/spip/ecrire">
SecFilterEngine Off
</Directory>
ou encore
SecFilterScanPOST Off
sans quoi pas moyen de poster ce qu'on veut, en effet.
Yves.
