Reprise du message précédent :
vous avez des outils comme ceux la pour vous aider pour vos saisie de code ? si vous avez des nom de programme qui verie je suis preneur

 
Elle s'appelerait pas Claude ta copine par hasard ?

C'est la même qui nous envoyait les k7 de séries en 2005

L'alcool c'est mal

j'ai casser mon htaccess impossible de trouver une solution, une personne pourrai maider ?  
 
j'ai voulu faire une page d'index.html pour remplacer mon index.php qui s'ouvre automatiquerment en tapant mon adresse xxxxxxx.com
 
jusque la pas de probleme , le hic la nouvelle page en .html avait moins de secu que ma vieille page .php
 
le probleme en .html ca prend pas tous ce qui est avant <!DOCTYPE html>
 
donc j'ai refait la meme page avec :
 
<?php
$BASE_PATH = "Cxxxxxx/php";
define('SECURE_INTERNAL_TOOL', true);
require_once $BASE_PATH . "/Security/public_secure.php";
require_once $BASE_PATH . "/Config/secure_init.php";
require_once $BASE_PATH . "/Security/security_config.php";
require_once $BASE_PATH . "/Security/security_core.php";
require_once $BASE_PATH . "/Security/os_policy.php";
require_once __DIR__ . '/monitoring/track_visit.php';
enforce_os_policy_or_die('login');
?>
<!DOCTYPE html>
<html lang="fr" dir="ltr">
<head>
....
 
 
je l'ai mis en .php jusque la pas de probleme
 
mais quand je tape https://xxxxxxx.com ca veut m'ouvrir index.html ...
 
impossible de lui dire non vas dans index.php  
 
j'ai 2 .htaccess 1 dans C:\xampp\htdocs\ et 1 dans C:\xampp\htdocs\xxxxxx\
 
celui de c:\xamp\htdocs\.htaccess :
 
# ===============================
# Racine XAMPP — Raccourcis URLs
# ===============================
Options -Indexes
 
<IfModule mod_rewrite.c>
RewriteEngine On
 
# Raccourci inscription (masque /xxxxxxx)
RewriteRule ^verification/register\.php$ /register.php [R=302,L]
# Rediriger les anciennes URLs explicites /xxxxxxx
RewriteRule ^xxxxxxx/register\.php$ /register.php [R=302,L]
RewriteRule ^xxxxxxx/verification/register\.php$ /register.php [R=302,L]
 
</IfModule>
# ===============================
# xxxxxxx — HTACCESS ROOT (C:\xampp\htdocs\.htaccess)
# Objectif :
#  - Protéger le répertoire htdocs
#  - Router vers /xxxxxxxx quand le dossier existe (setup XAMPP classique)
#  - ✅ AJOUT : ErrorDocument pour trap_403/404
# ===============================
 
Options -Indexes
 
<IfModule mod_rewrite.c>
RewriteEngine On
 
# ───────────────────────────────────────────────────────────────
# ✅ EXCEPTION CRITIQUE : LOCALHOST / DEV (anti-boucle, anti-ban)
# ───────────────────────────────────────────────────────────────
RewriteCond %{REMOTE_ADDR} ^127\.0\.0\.1$ [OR]
RewriteCond %{REMOTE_ADDR} ^::1$
RewriteRule .* - [E=MG_SAFE:1]
 
# ───────────────────────────────────────────────────────────────
# ✅ EXCEPTION : IP ADMIN (décommente et adapte si besoin)
# ───────────────────────────────────────────────────────────────
# RewriteCond %{REMOTE_ADDR} ^84\.98\.
# RewriteRule .* - [E=MG_SAFE:1]
 
# ───────────────────────────────────────────────────────────────
#

y a un index.php dans C:\xampp\htdocs\index.php :
 
<?php
header("Location: /index.php", true, 301);
exit;
 
 
quand je met ca il me dit :
 
Cette page ne fonctionne pas
xxxxxxxxx.com vous a redirigé à de trop nombreuses reprises.
 
Essayez de supprimer vos cookies.
ERR_TOO_MANY_REDIRECTS
 
et quand je met :
 
 
<?php
header("Location: /xxxxxx/index.php", true, 301);
exit;
 
 
la page s'ouvre mais dans la bare de navigation il ne cache pas le nom du projet : https://xxxxxxx.com/nomduprojet/index.php

Mais pourquoi tu veux sécuriser une page html !?
C'est un fichier statique que le serveur va se contenter d'envoyer au client sans interagir avec lui, comme un .txt, il n'y a pas de faille de sécurité dans un fichier statique...
 
Et si tu veux a tout pris ajouter du php pourquoi tu veux un fichier html !?
 
Si c'est pour avoir une jolie extension à la fin de ton url tu peux faire de l'url rewriting mais tout le monde s'en fout un peu maintenant de l'extension de fichier, on s'en sert plutôt pour avoir des mots clé dans l'url pour le référencement.

la page html a des fail de secu note C , mon ancienne page A+
 
j'ai entierement refait la page d'acceuil de A à Z , en plus l'ancienne page d'acceuil avais des fonction avancer , blocage par pays , par os , par IP , bloque les sqalper , bloc les agens du FSB ( enfin tu vois la parano) , indiquait meme dans la page management le nombre de personne se connectant par heure a la page principal  
 
donc j'essai de recuperer la nouvelle page de presentation pour lui remettre toutes les options j'ai mis et la c'est soit ca marche mais avec le nom du projet apres le domaine , ou soit ca marche pas... alors que avant tous etait ok ... impossible de savoir ou j'ai merder

Ben tu as surement un problème d'arborescence.
Si tes fichiers sont dans C:\xampp\htdocs\ et que ton serveur affiche la racine de ton nom de domaine à partir de là, que crois tu qu'il va se passer avec un fichier index.php qui faire une redirection vers lui même ?

 
Si en revanche tes fichiers sont C:\xampp\htdocs\nomduprojet\ je penses que tu devrais modifier la configuration de ton serveur pour qu'il serve à la racine de celui ci (ou prendre tout tes fichiers et les remonter d'un niveau).
 
Tu pourrais aussi régler le problème avec de l'url rewrite mais je penses qu'on va essayer de rester simple, je n'ai pas l'impression que tu ai besoin de complexifier ton projet encore plus...

 
le probleme c'est que ce projet est la 1 ere pierre de l'edifice , il vas y avoir projet 2 la suite  
 
donc il faut des dossier different projet xxxxx ensuite yyyyyyy  

bon j'ai trouver une rustine a mon htaccess mais le hic au lieu maintenant de me dire https://xxxxxx.com/index.php il me dit https://xxxxxx.com/ et me montre la page index.php ..
 
bon faut maintenant je refait les lien de retour a la page de connexion... c'est pas trop grave
 
j'ai mis a mon .htaccess :  
 
# ===============================
# Racine XAMPP — Raccourcis URLs
# ===============================
Options -Indexes
 
<IfModule mod_rewrite.c>
RewriteEngine On
 
# Raccourci inscription (masque /xxxxxxx)
RewriteRule ^verification/register\.php$ /register.php [R=302,L]
# Rediriger les anciennes URLs explicites /xxxxxxx
RewriteRule ^xxxxxxxxx/register\.php$ /register.php [R=302,L]
RewriteRule ^xxxxxxxxx/verification/register\.php$ /register.php [R=302,L]
 
# ===============================
# xxxxxxx— HTACCESS ROOT (C:\xampp\htdocs\.htaccess)
# Objectif :
#  - Protéger le répertoire htdocs
#  - Router vers /xxxxxxxxx quand le dossier existe (setup XAMPP classique)
#  - ✅ AJOUT : ErrorDocument pour trap_403/404
# ===============================
 
Options -Indexes
 
<IfModule mod_rewrite.c>
RewriteEngine On
 
# ───────────────────────────────────────────────────────────────
# ✅ EXCEPTION CRITIQUE : LOCALHOST / DEV (anti-boucle, anti-ban)
# ───────────────────────────────────────────────────────────────
RewriteCond %{REMOTE_ADDR} ^127\.0\.0\.1$ [OR]
RewriteCond %{REMOTE_ADDR} ^::1$
RewriteRule .* - [E=MG_SAFE:1]
 
# ───────────────────────────────────────────────────────────────
# ✅ EXCEPTION : IP ADMIN (décommente et adapte si besoin)
# ───────────────────────────────────────────────────────────────
# RewriteCond %{REMOTE_ADDR} ^84\.98\.
# RewriteRule .* - [E=MG_SAFE:1]
 
# ───────────────────────────────────────────────────────────────
#
 
# ───────────────────────────────────────────────────────────────
#

Bonjour,
J'ai actuellement en sécurité :  
 
1) Headers de sécurité HTTP
X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy (geo/mic/cam bloqués)
Strict-Transport-Security (HSTS en HTTPS)
Content-Security-Policy stricte (Cloudflare + GA autorisés)
Fichiers: security_headers.php, .htaccess
 
2) Protection fichiers/racine Apache
Options -Indexes (pas de listing dossier)
Blocage dotfiles (.env, .git, etc.)
Blocage extensions sensibles (.sql, .log, .bak, .json, etc.)
Réécritures/canonical pour éviter accès bizarres
Fichier: .htaccess
 
3) Session/cookies sécurisés
session.use_strict_mode=1
Cookies session HttpOnly, SameSite=Strict, Secure en HTTPS
session_regenerate_id(true) après auth
Fichier: secure_init.php
 
4) CSRF global
Token CSRF par contexte (admin, guide, client, etc.)
Vérification via csrf_verify()
Contrôle + logs des POST sans token
Fichiers: secure_init.php, security_config.php
 
5) Firewall IP (DB + whitelist + bans)
Whitelist hardcodée + table whitelist_ips
Cache whitelist (mémoire requête + fichier /tmp)
Ban IP/prefix (security_bans), unban auto temporaires, unban manuel
Protection anti-ban des IP whitelistées
Fichier: firewall_local.php
 
6) Anti VPN / proxy / datacenter
Détection VPN/proxy + blocage/ban (sauf routes avec skip explicite)
Fichiers: secure_init.php, firewall_local.php
 
7) Anti-bot / anti-scraper / anti-scan
Blocage bots IA connus (UA)
Détecteur scraper dédié
Piège “ghost asset”
Analyse comportementale IA (score, captcha, ban)
Rate limit applicatif
Fichiers: secure_init.php, security_config.php
Blocage géographique
 
8) Blocage par pays via config + GeoIP
Log en base security_logs
Fichier: secure_init.php
 
9) 2FA + appareil de confiance
2FA email (codes), vérification, session “2fa_pending”
Cookie “trusted device” + token DB pour éviter redemande selon appareil
Fichiers: 2fa_functions.php, verify_2fa.php, login_client.php, login_guide.php
 
10) Protection login / comptes
Limites tentatives
Verrouillage temporaire / blocage permanent
Statuts de compte (pending_otp, etc.)
Logs d’auth + fingerprint serveur
Fichiers: login_client.php, login_guide.php, admin_login.php
 
11) Journalisation sécurité
security_logs, logs unifiés, logs fingerprint, alertes
Pages admin pour voir bans/logs/whitelist
Fichiers: secure_init.php, firewall_local.php
 
--------------------------------------------------
 
question pour ceux qui fond des site au test ab j'ai ce résultat avec tous cela mis en place  :
 
ab -l -n 300 -c 50 \
-T "application/x-www-form-urlencoded" \
-H "Cookie: PHPSESSID=$SESS" \
-p /tmp/post_search.txt \
"https://:7081/client_search.php"
This is ApacheBench, Version 2.3 <$Revision: 1923142 $>
Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/
Licensed to The Apache Software Foundation, http://www.apache.org/
 
Benchmarking  (be patient)
Completed 100 requests
Completed 200 requests
Completed 300 requests
Finished 300 requests
 
Server Software:        Apache
Server Hostname:        
Server Port:            7081
SSL/TLS Protocol:       TLSv1.3,TLS_AES_256_GCM_SHA384,2048,256
Server Temp Key:        X25519 253 bits
TLS Server Name:        
 
Document Path:          /client_search.php
Document Length:        Variable
 
Concurrency Level:      50
Time taken for tests:   1.633 seconds
Complete requests:      300
Failed requests:        0
Total transferred:      6782100 bytes
Total body sent:        83100
HTML transferred:       6414900 bytes
Requests per second:    183.76 [#/sec] (mean)
Time per request:       272.096 [ms] (mean)
Time per request:       5.442 [ms] (mean, across all concurrent requests)
Transfer rate:          4056.87 [Kbytes/sec] received
                        49.71 kb/s sent
                        4106.58 kb/s total
 
--------------------------------------
 
et pour k6 :  
 
 
         /\      Grafana   /‾‾/
    /\  /  \     |\  __   /  /
   /  \/    \    | |/ /  /   ‾‾\
  /          \   |   (  |  (‾)  |
 / __________ \  |_|\_\  \_____/
 
 
     execution: local
        script: k6_search_flow.js
        output: -
 
     scenarios: (100.00%) 1 scenario, 90 max VUs, 11m30s max duration (incl. graceful stop):
              * realistic_users: Up to 90 looping VUs for 11m0s over 5 stages (gracefulRampDown: 30s, gracefulStop: 30s
 
 
 
  █ THRESHOLDS
 
    http_req_duration
    ✗ 'p(95)<2500' p(95)=3.44s
    ✓ 'p(99)<4000' p(99)=3.96s
 
    http_req_failed
    ✓ 'rate<0.01' rate=0.00%
 
 
  █ TOTAL RESULTS
 
    checks_total.......: 11416   17.242354/s
    checks_succeeded...: 100.00% 11416 out of 11416
    checks_failed......: 0.00%   0 out of 11416
 
    ✓ search page status is 200
    ✓ search page looks valid
    ✓ search POST status is 200
    ✓ page 2 status is 200
 
    HTTP
    http_req_duration..............: avg=1.13s  min=24.99ms med=607.35ms max=5s     p(90)=2.98s  p(95)=3.44s
      { expected_response:true }...: avg=1.13s  min=24.99ms med=607.35ms max=5s     p(90)=2.98s  p(95)=3.44s
    http_req_failed................: 0.00%  0 out of 8562
    http_reqs......................: 8562   12.931766/s
 
    EXECUTION
    iteration_duration.............: avg=11.39s min=4.69s   med=10.36s   max=22.66s p(90)=16.99s p(95)=18.26s
    iterations.....................: 2854   4.310589/s
    vus............................: 1      min=1         max=90
    vus_max........................: 90     min=90        max=90
 
    NETWORK
    data_received..................: 196 MB 296 kB/s
    data_sent......................: 2.4 MB 3.7 kB/s
 
 
 
 
running (11m02.1s), 00/90 VUs, 2854 complete and 0 interrupted iterations
realistic_users ✓ [======================================] 00/90 VUs  11m0s
ERRO[0662] thresholds on metrics 'http_req_duration' have been crossed
mercurius_supadmin@ns1:~/httpdocs/tourguide_app/admin_tools$
 
 
comment trouver vous les résultat ? j'essai d'optimiser mon code au mieux de mes connaissances.
 
merci de votre retour

Tu n'as plus de jetons dispo pour demander à ton IA ?

Comme je l'ai déjà dit l'IA me sert pour 20% de mon temps  
 
Uniquement pour adapter mon code , débug, ou vérifier les require et joint
 
Tu verrai ma base SQL ... Y 1 tellement de table je sais même plus qui fait quoi.... Faut donc je m'amuse a chercher toutes les pages ... Si j'utilisais que l'IA je pense que je serai pas là a demander de l'aide  
 
Et je ferais pas comme un con toutes ces protections y a surment des choses qui existe

un moment de lucidité

bon j'ai demander a un autre forum mon dit de mettre un redis et MariaDB buffer/cache franchement je connaissait pas...
 
 
je connaissais sur Windows le swap mais je savais pas le nom du Debian  
 
passer de 183.76 à 806 req/s  
 
je donne la solution au cas ou un débutant passe par ici et ne connaissait pas comme moi les nom  

Tu as conscience que redis n'a rien avoir avec le swap windows ?
 
C'est même plutôt le contraire...
 
En deux mots (mais tu ferais mieux de faire tes propres recherche sur wikipedia ou autre):
- le swap c'est quand l'OS n'a plus de ram et commence à écrire sur le disque, ce qui est bien sur catastrophique en terme de perf car de la ram est toujours plusieurs ordre de grandeur plus rapide qu'un disque.
- redis c'est un système de cache qui au contraire permet de mettre en ram des choses sans cesse demander. Par exemple pour un serveur web, si tu as  requêtes simultané qui passe par ta base de donnée pour construire ton menu tu fait 100 requetes sql et autant de boucles de construction de ton code html, tu met ton menu en cache redis (même avec une rétention de 5 minutes) et c'est déjà un énorme soulagement pour ton serveur.
 
Et on peut installer et utiliser redis ou swaper sur à peu prêt tout les OS donc non ce n'est pas le nom pour débian.

ha ba moi j'avais pas comprit comme ca son fonctionnement , merci de m'éclairer sur celui-ci , perso j'en avais jamais entendu parler

Hello !
 
Y aurait-il un topic qui dédié "publication d'appli" sur l'android store ?
Pour échanger sur la meilleure façon de faire, meilleur moyen si on désire mettre une app à vendre (ou un abo intégré), juridiquement comment faire en France (structure, etc) ?

non ?

Savoir faire une recherche déjà c'est une compétence utile

https://forum.hardware.fr/hfr/Progr [...] 419_74.htm

J'avais trouvé, mais je me disais qu'un topic dédié publication sur le store pouvait exister, que ça sortait d'un topic dev.
 

Tu auras pas mieux je pense

Je viens de prendre le temps de regarder le topic. Dernier message en 2020   .

Je cherche le rapport avec php, je vois pas.

Je me suis trompé de topic désolé

Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h
 
lu ca au info : https://www.frandroid.com/culture-t [...] edi-a-16-h
 
a ouiiii ca a l'aire sauvage ( non pas comme le parfum )  
 
chaud quand même tous les serveur php impacter ...
 
je met pas exprès de java pour évité ce genre de truc et finalement php en a aussi  

Oui et c'est pour ça que faire 50 audits de sécurité ne rendra pas vraiment ton site plus sur, les vrai failles sont souvent à des niveaux ou on ne peut pas faire grand chose...
Ça va peut être avoir des effets énorme, certain hébergeur conservait d'ancienne versions non supporté de php encore en activité car leur client ne voulait (ou ne pouvait) pas mettre à jour leur site.
Si la faille est suffisamment grave ils vont devoir couper le service rapidement...

J'ai un client (asso) qui a un site sur un hébergeur qui a changé d'approche et qui s'est orienté plus vers les gros comptes et n'en a plus rien à faire de son hébergement mutualisé, en toute conscience ils trainent donc un PHP 5.x sans possibilité de migrer au delà (sauf à prendre une offre méga chère). A chaque fois qu'on leur fait remonter, ils s'en foutent, c'est genre : rien ne vous retient, on garde juste l'offre comme ça pour nos anciens clients mais c'est tout. Même s'ils prennent bien le pognon et qu'ils ne respectent ainsi pas leurs propres CGV qui est de fournir un hébergement en l'état de l'art...  
Donc le client pourrait se barrer bien sûr, mais ça n'est pas gratuit et ils préfèrent utiliser l'argent (asso je rappelle) à des choses plus utiles.
 
On verra bien quand le site sera hacké...
 
Sinon c'est ma tâche relou annuelle (mais le timing est parfait car je fais ça pendant les "vacances" de la toussaint : monter d'une sous-version de php par an. Donc là j'attaque php 8.5... à priori ça a l'air plutôt tranquille (toutes les années ne sont pas comme ça). Il faut juste mettre au passage à jour toutes les lib tierces incorporées, et c'est souvent plus là que ça coince (faut qu'elles soient mises à jour pour supporter PHP 8.5) ou qu'elles n'utilisent pas de fonctions deprecated...

Ce genre de migrations techniques en 2026 avec l'IA c'est presque un non sujet désormais, faut vraiment avoir un énorme gap pour ne pas parvenir à faire la montée de version.
Et même là, au taf j'ai fait une montée de version de java 8 vers 21, ça m'a pris un peu de boulot mais c'est passé crème. Difficile de défendre le fait de garder des vieilles versions avec ce qui se passe aujourd'hui en terme de cyberattaque.

This. J'ai des vieilleries en PHP7.4 (des sites qui avaient été créés par quelqu'un d'autre qui a eu la mauvaise idée de mixer Laravel+WordPress). Là c'est l'IA qui va patcher comme il peut pour faire passer

 
 
pareille j'ai une page siem avec controle toutes les 1h des mise a jour qui existe et une page Failles des paquets du serveur (debsecan) outes les 16 mn pour ca quand j'ai vue les alerte me suis dit c'est quoi ce bordel

par le truchement du hasard je tombe sur https://www.promos.fr/
qui dit "Bientôt de retour
Nous installons une mise à jour de sécurité urgente. Le site sera de nouveau disponible d’ici quelques heures. Merci de votre patience.
 
Quel est le problème de sécurité ?
Une faille grave a été découverte dans PHP, le langage de programmation utilisé par ce site et par des millions d’autres. Elle est connue sous le nom de PHP2Shell. Les développeurs de PHP publient un correctif d’urgence et, par précaution, nous avons mis le site hors ligne le temps de l’installer sur tous nos serveurs.
 
Identifiants officiels : CVE-2026-109618, CVE-2026-109619
 
En savoir plus (en anglais) : PHP (php.net), SecurityWeek, Tenable FAQ"
 
Marrant comme approche.

Ça y est c'est sorti
 
https://www.php.net/archive/2026.php#2026-10-21-5

Bon j'attend maintenant les images Docker officielles

Edit : c'est en cours : https://github.com/docker-library/php/pull/1694

https://ppa.launchpadcontent.net/ondrej/php/ubuntu a l'air aussi un peu surchargé...

Elles ne sont pas encore sur Docker Hub, il faut les build à partir du repo

Sur le Figaro
"Une partie de l’Internet mondial mise à l’arrêt après la découverte de failles «critiques» dans le langage informatique PHP
"

Y'a quelqu'un pour s'occuper de mettre à jour la version de PHP utilisée par HFR (site et forum) ?

je m'auto -réponds, ondrej ça a l'air deprecated
cf https://www.reddit.com/r/PHP/commen [...] _critical/

purée je mate ce matin dans ma page de monitoring ...pratiquement 400 tentatives , heureusement mis la mise a jour a 16h01  
 
et vous c'est pareille des tentatives ?
 
en fait les pirates amateur ils lisent les infos et tests