Auteur Sujet: Base: Installation et sécurisation d'Apache2 (Lu 7036 fois)

vivien · « **Réponse #12 le:** 10 mai 2022 à 12:38:29 »

J'ai fais une modification pour les logs :

Avant le fichier /etc/apache2/conf-available/log-personnalise.conf indiquait le port destination (80 ou 443 sur un serveur classique) :

Code: [Sélectionner]

# Customized log with display of TCP source port (%{remote}p) and TCP destination port (%{local}p)
LogFormat "%a %{remote}p %{local}p %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combiport

J'ai supprimé le port destination par la version du protocole SSL.

On a donc 3 cas possible :

- : c'est du http (donc le port 80)
TLSv1.2 : c'est du https (donc le port 443)
TLSv1.3 : c'est du https (donc le port 443)

Cela peut aider à séparer les requêtes inhabituelles de celles émanent de navigateurs web, tous avec TLS1.3 aujourd'hui.

Citation de: vivien le 14 octobre 2021 à 09:18:23

3/ Recommandation BCP-162 / RFC6302 : Rajouter le port source dans les log d'Apache2

cf BCP-162: logs, CGNat et cybercriminalité
nano /etc/apache2/conf-available/log-personnalise.conf : Création d'une configuration de log qui inclue le port source, appelé "combiport"
Copier / coller le texte ci-dessous dans le fichier :
Code: [Sélectionner]
# Customized log with display of TCP source port (%{remote}p) and the SSL protocol version (TLSv1.2, TLSv1.3) for https or "-" for http (%{SSL_PROTOCOL}x) LogFormat "%h %{remote}p %{SSL_PROTOCOL}x %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combiport
a2enconf log-personnalise : Activation du fichier mis en place (il faut touefois appeler "combiport" lors du log)
sed -i -e "s/CustomLog \${APACHE_LOG_DIR}\/other_vhosts_access.log vhost_combined/CustomLog \${APACHE_LOG_DIR}\/other_vhosts_access.log vhost_combined/g" /etc/apache2/conf-available/other-vhosts-access-log.conf : configuration "combiport" pour ce fichier de log.

« **Réponse #13 le:** 11 mai 2022 à 05:26:08 »

Cela donne un bon scoring .

vivien · « **Réponse #14 le:** 11 mai 2022 à 07:14:04 »

C'est quel outil de test ?

Je connaissais les outils de test SSL :
- https://www.ssllabs.com/ssltest/
- https://tls.imirhil.fr
mais pas ton outil

ppn_sd · « **Réponse #15 le:** 11 mai 2022 à 07:32:06 »

https://www.immuniweb.com/ssl/

vivien · « **Réponse #16 le:** 13 juin 2022 à 21:39:07 »

J'ai rajouté le type MIME pour les images WebP et d'autres formats plus récents.

Ce qui est étonnant, c'est que la liste des types MIME a fortement augmenté entre Ubuntu 20.04 et Ubuntu 22.04. Il ont rajoutés des dizaines de nouveaux types, y compris des récents : AVIF ou JPEG XL (ce dernier est un tout nouveau format d'image, pris en charge par aucun navigateur dans une version stable. Par contre, ils ont encore oubliés WebP, je ne comprends pas pourquoi alors qu'il est de plus en plus employé sur les sites web.

Citation de: vivien le 14 octobre 2021 à 09:18:23

3/ Rajouter les types MIME (Multipurpose Internet Mail Extensions) pour les nouveaux formats d'images :

Nécessaire pour que les images (WebP et autres nouveaux formats d'images) s’affichent correctement, quand on fait "ouvrir l'image dans un nouvel onglet"). Sans cela, soit il affiche des hiéroglyphes (données brutes), soit il télécharge l'image (et affiche le file:// avec le lien vers l'image en local sur le PC).

Ubuntu 18.04 LTS et 20.04 LTS :
nano /etc/mime.types
copier / coller les lignes suivantes à la fin du fichier
Code: [Sélectionner]
image/webp webp image/heif heif image/heif-sequence heifs image/avif avif hif image/avif-sequence avifs image/jxl jxl
Ubuntu 22.04 LTS :
nano /etc/mime.types
copier / coller les lignes suivantes à la fin du fichier
Code: [Sélectionner]
image/webp webp image/avif-sequence avifs
Vérification : cat /etc/mime.types | grep -e "webp" -e "heif" -e "avif" -e "jxl" : Chaque type doit n'être listé qu'une seule fois.

vivien · « **Réponse #17 le:** 23 juin 2022 à 09:46:46 »

Bug ouvert pour qu'Ubuntu rajoute le type MIME pour les images WebP par défaut : https://bugs.launchpad.net/ubuntu/+source/mime-support/+bug/1979596

vivien · « **Réponse #18 le:** 08 mai 2023 à 17:07:29 »

Mise à jour où j'ai réalisé un document pour expliquer mes choix pour la configuration du MPM Event.

Expliquer les choix réalisés dans cette configuration du MPM Event prend de la place, j'ai préféré le déplacer dans un PDF : (cliquez sur la miniature ci-dessous - le document est au format PDF)

Ne pas hésiter à me faire des suggestions.
Je regrette que la documentation Apache, pourtant bien faite, ne donne pas ce type d'exemple de configuration pour un cas d'usage classique, au moins pour les MPM les plus populaires.