Protection des dossiers magento sur serveur

octobre 21, 2009 14 Commentaires

Pensez à protéger vos dossiers magento sur votre serveur. Une multitude de nouveaux sites sont présentés sans protection sur les forums magento. Ce qui peut être préjudiciable pour la sécurité et pour votre image. Ce n’est pas très agréable de tomber sur un répertoire « listable ». Dans ce tutoriel, nous allons voir comment protéger correctement les dossiers magento. J’ai installé une démo de magento sur un serveur RPs1 ovh pour vous montrer un exemple.

Prenons l’exemple du dossier skin de magento par défaut. Les droits de ce dossier sont 777. Ce dossier est donc listable.

En tapant l’url du site plus /skin on tombe sur cette page, on peut y voir clairement l’arborescence des dossiers et y naviguer facilement pour voir les css utiliser les js, les images.

le dossier skin pas protégé

le dossier skin n'est pas protégé

Protéger vos dossiers sur le serveur :

  1. Changez les droits du dossier sous linux mettre le dossier skin en 755.
    2. dossier skin protégé

    dossier skin protégé

  2. Grâce au fichier .htaccess vous pouvez modifier les droits d’accès aux fichiers.

    3. Options -Indexes

  3. Vous pouvez également ajouter un fichier index.php vierge ou avec un message dossier inaccessible et un lien vers la page d’accueil.
  4. Vous pouvez également faire une redirection 301 vers la page d’accueil.

Code
14 commentaires : “Protection des dossiers magento sur serveur”
  1. bob dit :
    23 octobre 2009 à 15 h 47 min

    bjr,
    doit on proteger d’autre répertoires.

  2. admin dit :
    23 octobre 2009 à 20 h 15 min

    Bonsoir oui il faut protéger le dossier media aussi

    site-magento.com/media/

  3. Lemax dit :
    25 octobre 2009 à 15 h 34 min

    si tu mets /skin en 744, tu plantes le site !

  4. admin dit :
    25 octobre 2009 à 18 h 10 min

    salut Lemax
    Oui bien vue j’ai écrit trop vite c’est 755, je change

    merci

  5. Blacknight dit :
    5 novembre 2009 à 9 h 51 min

    Bien vu le post

    j’avais pas vu que ses dossiers étaient accessibles en tapant simplement le nom du dossier

    magento est tellement bien fait qu’on a tendance à croire qu’il est conçu comme il faut

    Merci pour le conseil

    Blacky

  6. admin dit :
    5 novembre 2009 à 10 h 31 min

    @Blacknight
    je suis tombé dessus par hasard en navigant via la barre adresse de firefox. c’est vrai que c’est un peu surprenant magento nous a habitué à mieux :)

  7. Irwan dit :
    25 novembre 2009 à 23 h 04 min

    Je confirme que ces opérations sont cruciales et fondamentales.

    A mon avis, le point n°2 « Options -Indexes » est vraiment la première chose à faire. Rien à voir avec les droits OS des fichiers, c’est juste pour interdire à Apache le listing de ses répertoires. Il n’est pas forcément utile de jouer avec les chmod.

    C’est en effet étonnant que cette directive Apache ne figure pas dans le .htaccess par défaut.

  8. admin dit :
    26 novembre 2009 à 6 h 53 min

    Bonjour Irwan
    Oui c’est étonnant qu’aucune protection ne soit prévue d’origine, plein de sites partent en production avec cette faille. Je mettrai que la protection apache alors si elle suffit.

  9. phel dit :
    2 décembre 2009 à 20 h 46 min

    Etrange cette erreur de magento. Toujours actif sur magento 1.34
    je vais protéger mes dossiers merci

  10. Damien dit :
    4 décembre 2009 à 19 h 27 min

    Merci je vais protéger mes dossiers

  11. kenshin dit :
    20 août 2010 à 20 h 00 min

    merci, j’avoue que c’est très important. Je vais suivre votre conseil.

  12. RUBEN dit :
    3 octobre 2010 à 13 h 53 min

    Quel est la ligne de code exacte à mettre dans le .htaccess??

  13. cédric rousset dit :
    3 octobre 2010 à 16 h 54 min

    Bonjour,
    Le code est : Options – Indexes

  14. vianney frémy dit :
    18 juillet 2011 à 6 h 32 min

    Bonjour,

    Ce sujet est intéressant compte tenu de la possibilité de naviguer dans l’arborescence avec un simple navigateur web.
    Ma question est la suivante :
    – Je souhaite protéger mon site contre cette possibilité de naviguer dans l’arborescence complète. Dois-je alors créer un fichier index.php vide ou avec redirection dans chacun des sous dossiers ? A noter que tous les droits des fichiers sont à 755 et que la page « index of … » s’affiche toujours. Merci à l’équipe bloggento pour ce travail et à bientôt.

Poster un commentaire

(obligatoire)

(obligatoire)