Sécurité¶
La sécurité dépend du serveur web, de PHP, de la base, de la configuration MRBS et du fournisseur d’identité.
Maintenir les logiciels¶
MRBS 1.12.2 contient des correctifs, notamment contre les redirections ouvertes et les requêtes serveur forgées. Surveiller les versions et avis suivants au lieu de considérer 1.12.2 comme toujours actuelle.
Maintenir PHP, base, serveur web et système dans leurs cycles de support.
Protéger configuration et transport¶
- Servir MRBS en HTTPS.
- Restreindre l’accès à
config.inc.php. - Garder les identifiants base, SMTP, LDAP et API hors du dépôt.
- Vérifier pairs et noms d’hôte TLS.
- Renouveler les secrets après une exposition supposée.
Droits de base¶
Employer un compte d’exécution dédié avec les seuls droits nécessaires. Si possible, utiliser un autre compte pour les changements de schéma.
Les sauvegardes contiennent réservations et utilisateurs et exigent la même protection que la production.
Accès public¶
Contrôler explicitement la vue déconnectée :
- détails des réservations ;
- réservations privées ;
- recherche et rapports publics ;
- kiosque ;
- exports de calendrier ;
- noms des inscrits.
Utiliser $auth['deny_public_access'] si toute consultation exige une session.
Fichiers d’installation¶
Ne pas exposer outils de test, scripts SQL, sauvegardes, journaux ou copies de
configuration. testdata.php est réservé aux tests et ne doit pas être public.
Journalisation¶
Journaliser les erreurs sans identifiants ni contenu privé. Garder désactivée la journalisation des identifiants :
Contrôle régulier¶
Examiner régulièrement :
- comptes administrateur ;
- contacts de zones et salles ;
- clés de rapports publics ;
- secrets du fournisseur d’identité ;
- restauration des sauvegardes ;
- dépendances et versions ;
- journaux web et applicatifs.