Base de connaissances

Le module Apache "mod_rewrite" est activé par défaut.

Toutefois, il n'est supporté chez Infomaniak que via un fichier .htaccess ; il faut en outre faire attention à ce que les expressions régulières du chemin ne commencent pas par "/".

Concernant le virtualhost (vhost), Infomaniak ne donne pas accès à sa configuration et n'effectue aucune modification.

Ce guide détaille les bibliothèques logicielles permettant de manipuler le format PDF et compatibles avec les différentes offres d'hébergement web Infomaniak.

Préambule

• Les extensions PHP PDF permettent entre autre de générer un PDF à partir de données dynamiques pour création de factures personnalisées p.ex.

PDF et Serveur Cloud

Sur Serveur Cloud, vous pouvez installer des apps comme PDFtk et wkhtmltopdf.

• La classe PHP FPDF est supportée.
• PDFlib de l'éditeur Apryse n'est plus proposé sur les Serveurs Cloud les plus récents car l'extension PHP_PDF est devenue payante. Si vous vous la procurez il faudra l'installer sur VPS Cloud / VPS Lite ou Public Cloud .
   

Sur hébergement mutualisé, ImageMagick est actif et supporte les formats EPDF, PDF et PDFA.

Ce guide concerne la configuration et la gestion de ModSecurity sur les serveurs Infomaniak. En comprenant ses limitations, restrictions et en gérant efficacement les erreurs, vous pouvez optimiser la sécurité de votre site tout en maintenant sa fonctionnalité.

Configuration par défaut

ModSecurity (mod_secure) est disponible et activé par défaut sur les serveurs Infomaniak. Cela signifie que toutes les requêtes HTTP seront soumises aux règles de sécurité définies par ModSecurity.

Il n'est pas possible de désactiver ModSecurity sur les serveurs Infomaniak. Le paramètre est global au serveur où votre site est hébergé, ce qui signifie que toutes les règles de sécurité définies seront appliquées à votre site. 

Gestion des erreurs

Si le message d'erreur ModSecurity: Access denied with code 403 (phase 2). Operator EQ matched 0 at REQUEST_HEADERS. (...) s'affiche au sujet de ModSecurity vous devriez vérifier qu'une langue par défaut soit bien configurée dans votre navigateur Web. Cette erreur peut parfois être causée par des paramètres de langue mal configurés dans le navigateur.

Ce guide vous aide à télécharger toutes les données relatives à votre site Web hébergé par Infomaniak. 

Préambule

• Des sauvegardes automatiques sont réalisées quotidiennement sur les installations Infomaniak.
• Malgré tout vous pouvez télécharger une version saine et personnelle de votre site Web pour la mettre en sécurité sur votre installation locale, clé USB, archive .zip sur kDrive, etc.
• Pour télécharger un site réalisé avec WordPress, prenez connaissance de cet autre guide spécifique à 2 extensions permettant une sauvegarde locale des informations.
• A l'exception de Site Creator, les données d'un site Web hébergé par Infomaniak sont accessibles et visibles sur le serveur via une connexion FTP (ce qui signifie que pour réaliser une sauvegarde des données, il suffit de télécharger le contenu du dossier parent sur le serveur).
• Il ne restera plus qu'à ajouter une sauvegarde de la base de données du site (dans laquelle se trouve des informations qui ne sont pas inscrites dans les fichiers accessibles par FTP).

Emplacement du site

Lorsque vous arriverez dans l'arborescence des dossiers sur le serveur, il ne sera pas toujours facile de savoir où se rendre pour télécharger les informations relatives au site qui vous intéresse.

Commencez par noter l'emplacement exact du site que vous souhaitez télécharger, en vous rendant sur manager.infomaniak.com sur le tableau de bord du site au sein de votre Hébergement Web:

L'indication mise en évidence ci-dessus est l'emplacement du site d'exemple. Allez voir le vôtre !
 

Connexion au serveur

Pour vous rendre sur le serveur il faut utiliser un logiciel/client FTP ou l'accès rapide Web FTP qui peut convenir dans la plupart des cas:

 

Téléchargement du site

Lorsque vous arrivez sur le Web FTP, il faut vous rendre à l'emplacement noté au premier chapitre ci-dessus, et cliquer sur l'icône de téléchargement à droite du dossier correspondant à votre site:

 

Le téléchargement démarre et vous obtenez une archive .zip avec l'ensemble des fichiers composants votre site Web (à l'exception des fichiers commençant par un "." comme .htaccess).

Téléchargement de la base de données

Dans la plupart des cas, votre site utilise une base de données pour fonctionner. Il faut donc également la télécharger.

Pour cela:

1. Cliquez sur Bases de données dans le menu latéral gauche.
2. Cliquez sur le menu d'action ⋮ situé à droite du nom de votre base de données (si vous n'êtes pas sûr de laquelle prendre, répétez l'opération pour chacune d'entre elles).
3. Cliquez sur Télécharger:
   

Vous devrez confirmer le téléchargement (ou l'export) du fichier correct le plus récent à l'étape suivante afin d'obtenir un fichier .sql.gz qui correspond à toutes les tables de votre base de données, à conserver précieusement. Le lien de téléchargement est envoyé par e-mail.

Ce guide détaille les protocoles de transfert de fichiers sur les Hébergement Web et Serveur Cloud Infomaniak lors de connexion aux serveurs ProFTPD.
 

FTP (File Transfer Protocol)

Les connexions FTP en mode "actif" et "passif" sont supportées (alterner entre les 2 pour tenter de résoudre un éventuel problème).

Infomaniak ouvre les ports passifs de son côté [PassivePorts 42000 44000] mais uniquement pour les connexions vers son serveur FTP. Le mode FTP passif implique l'utilisation de ports distants définis par le serveur distant, ainsi que de ports locaux qui peuvent varier en fonction du logiciel/client FTP utilisé.

Le mode passif s'avère utile principalement lorsque le logiciel/client FTP est derrière un pare-feu ou un routeur NAT qui bloque les connexions FTP actives. Cependant, dans l'infrastructure Infomaniak sont autorisées les connexions FTP actives, ce qui signifie que le recours au mode passif n'est généralement pas nécessaire.

En ce qui concerne PHP, il n'est pas possible, par défaut, de gérer cette configuration de manière centralisée. Par conséquent, il n'est pas viable pour Infomaniak d'ouvrir tous les ports pour prendre en charge toutes les configurations distantes, car cela ne serait ni pratique ni sécurisé.

Dans l'ensemble, l'infrastructure ne prend pas en charge à 100% les connexions FTP sortantes en mode passif. Pour une expérience de transfert de fichiers plus fluide, il est recommandé d'utiliser le mode FTP actif ou d'explorer des technologies plus modernes telles que SFTP (lire ci-dessous).

SFTP (SSH File Transfer Protocol)

Créer des connexions SFTP garantit une sécurité élevée des transferts de fichiers. S'assurer d'avoir activé SSH sur votre logiciel/client SFTP et utiliser le port 22 pour la connexion : sftp://*****.

FTPES (FTP sécurisé avec TLS/SSL)

Utiliser FTPES pour des transferts de fichiers sécurisés avec le port 21 et l'encryption SSL/TLS. Avec le logiciel Filezilla p.ex, sélectionner "Connexion FTP explicite sur TLS" pour configurer votre logiciel/client FTPES : ftpes://*****.

FTPaccess

L'accès à la configuration FTPaccess est disponible.

Ce qui n'est pas pris en charge

Utilisateur Public/Anonymous

Il n'est pas autorisé de se connecter en tant qu'utilisateur public ou anonyme. Vous devez disposer d'un compte d'utilisateur valide pour accéder à votre espace d'hébergement.

FTPs (FTP sécurisé sur un port personnalisé)

Le protocole FTPs n'est pas pris en charge, ce qui signifie que le port 2121 n'est pas ouvert pour ce type de connexion.

Ce guide explique comment installer ownCloud (ou Nextcloud qui est une version améliorée de Owncloud) en quelques clics sur les offres d'Hébergement Web payantes.

Préambule

• Un système de Cloud (stockage, synchronisation et partage de fichiers) existe également indépendamment de vos produits d'hébergement: kDrive Infomaniak
• OwnCloud fait partie des applications (non développées par Infomaniak) et permet la mise en place d'un système de stockage & partage de fichiers au sein d'un "cloud" que vous maîtrisez entièrement (gestion des utilisateurs, permissions, quotas, applications mobiles associées, etc.).
• Contrairement à d’autres hébergeurs, Infomaniak autorise l’utilisation d’ownCloud sur ses hébergements:
  • Une utilisation personnelle est autorisée sur les hébergements Web mutualisé.
  • Pour un usage intensif et professionnel, il est recommandé d’opter pour un Serveur Cloud afin d'y installer ownCloud ou Nextcloud.

Installer ownCloud

Prérequis

• Posséder un hébergement Web Infomaniak (commander si nécessaire).
• Ajouter un site Web vierge sur l'hébergement Infomaniak.
• Mettre à niveau la partie Bases de données si nécessaire (surtout pour Nextcloud)

Afin d'accéder à l'Hébergement Web et d'y installer une application:

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné.
3. Cliquez sur le bouton Ajouter une app:
   
4. Choisissez l'application souhaitée (si nécessaire, filtrez et recherchez).
5. Cliquez sur Sélectionner:
   
6. Cliquez en bas de page sur Suivant.
7. Laissez l'emplacement par défaut ou choisissez d'installer l'app dans un nouveau dossier que vous pouvez créer grâce à une icône visible à droite du point 8 sur l'image.
8. Choisissez éventuellement d'installer une version antérieure si nécessaire.
9. Cliquez sur le bouton Suivant:
   
10. Configurez nom d'utilisateur et mot de passe.
11. Spécifiez certains réglages avancés si nécessaire (type de sauvegarde notamment).
12. Prenez connaissance et acceptez les conditions d'utilisation de l'app sélectionnée.
13. Cliquez sur le bouton Suivant:
    
14. Confirmez l'installation de l'application à l'étape suivante et patientez:
    
    • Prenez connaissance d'éventuel message d'erreur à l'écran si par exemple le dossier d'installation choisi n'est pas vide ou si la version de PHP du site sur lequel vous tentez l'installation n'est pas compatible.

Ce guide détaille le header "X-Frame-Options" qui peut être utilisé dans le but de se protéger notamment d’attaque de clickjacking. Notez que le header "X-Frame-Options" peut ne pas être supporté par tous les navigateurs Web. Il est donc conseillé de le combiner avec d'autres méthodes pour renforcer la sécurité de votre site Web.

Valeurs possibles pour le header

‍Le header "X-Frame-Options" peut être défini pour empêcher un site Web d'être chargé dans un cadre ou une iframe. Il existe trois valeurs possibles pour ce header:

Ce guide donne des informations sur le fichier robots.txt créé par défaut pour les hébergement Web sur lesquels ce fichier est absent.

Préambule

• Le fichier robots.txt agit comme un guide pour les robots d'exploration des moteurs de recherche
• Il est placé à la racine d'un site Web et contient des instructions spécifiques pour ces robots, indiquant quels répertoires ou pages ils sont autorisés à explorer et lesquels ils doivent ignorer
• Attention cependant, les robots peuvent choisir d'ignorer ces directives, en faisant du robots.txt un guide volontaire plutôt qu'une règle stricte

Contenu du fichier

Si le fichier robots.txt est absent d'un site Infomaniak, un fichier du même nom est automatiquement généré avec les directives suivantes:

User-agent: *
Crawl-delay: 10

Ces directives indiquent aux robots d'espacer leurs requêtes de 10 secondes, ce qui évite de surcharger inutilement les serveurs.

Contourner le robots.txt créé par défaut

Il est possible de contourner le robots.txt en suivant ces étapes:

1. Créez un fichier vide robots.txt (il servira uniquement d'emplacement pour que les règles ne s'appliquent pas).
2. Gérez la redirection du URI (Uniform Resource Identifier) robots.txt vers le fichier de votre choix à l'aide d'un fichier .htaccess.

Exemple

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} /robots.txt$
RewriteRule ^robots\.txt$ index.php [QSA,L]
</IfModule>

Explication

• Le module mod_rewrite d'Apache est activé pour permettre les redirections.
• La condition RewriteCond %{REQUEST_URI} /robots.txt$ vérifie si la requête concerne le fichier robots.txt.
• La règle RewriteRule ^robots\.txt$ index.php [QSA,L] redirige toutes les requêtes vers robots.txt vers index.php, avec l'option [QSA] qui conserve les paramètres de requête.

Il est recommandé de placer ces instructions au début du fichier .htaccess.

Ce guide explique pourquoi un compte FTP (et la plupart du temps l'Hébergement Web également) peut se retrouver soudainement bloqué.

Préambule

• Infomaniak utilise sur tous les serveurs mutualisés une solution antivirus pour lutter contre les envois de virus via FTP et scripts.
• L'antivirus permet de détecter:
  • les éventuels piratages de comptes FTP
  • l’envoi volontaire ou involontaire de fichiers (thèmes WordPress, modules frauduleux, etc.) contenant des lignes de codes ou des inclusions malveillantes

Détection de fichier malveillant

L’antivirus scanne tous les fichiers envoyés inférieurs à 1 Mo afin d'empêcher tout upload de virus / script de spam / etc.

En cas de détection d'un élément suspect, le mot de passe du compte FTP est automatiquement modifié et les fichiers incriminés sur le serveur sont verrouillés (FTPban).

Le serveur FTP renvoi alors au client FTP un message du type

550 Virus Detected and Removed: botnet.infomaniak.5.UNOFFICIAL

ou encore

550 Virus Detected and Removed: winnow.botnet.ff.trojans.15900.UNOFFICIAL

Que faire si le compte est bloqué ?

Si votre compte FTP est soudainement bloqué, vous recevez un e-mail ; suivez la procédure qui y sera indiquée afin de débloquer la situation. Notamment:

• Nettoyez votre site et analysez ce que vous souhaitiez envoyer sur le serveur.
• Vérifiez si les applications Web et CMS que vous utilisez sont à jour:
  • La cause de la plupart des piratages vient d'un déficit de sécurité dans des applications Web obsolètes ou de mots de passe trop faibles.

Résoudre le problème définitivement

Pour éviter que votre site se fasse à nouveau pirater et bloquer, effectuez les actions suivantes:

• Mettez à jour les applications Web (WordPress, Joomla, etc.) et les extensions utilisées.
• Supprimez les applications Web non utilisées.
• Changez le mot de passe de tous vos comptes FTP.
• Changez les mots de passe pour accéder aux applications Web (WordPress, Joomla, etc.).
• Changez le mot de passe des utilisateurs de bases de données MySQL.
• Supprimez les utilisateurs des bases de données MySQL que vous n'utilisez pas.
• Utilisez un mot de passe différent à chaque fois, complexe avec au minimum 8 caractères.
• Lancez un scan antivirus manuellement sur votre hébergement.
• Installez et utiliser un antivirus à jour (quel que soit le système d'exploitation).
• Prenez connaissance de cet autre guide si vous recherchez des informations sur la surveillance et résolution de failles dans les scripts hébergés. 

Ce guide explique comment bloquer l'accès à certains répertoires d'un Hébergement Web pour certains visiteur / robot / aspirateur en filtrant et bloquant leurs adresses IP ou noms d'hôte.

Mettre en place des règles .htaccess

Créer un document .htaccess à la racine de votre site et inscrire les règles destinées à bloquer certaines adresses IP ou certains bots.

Pour bloquer les visiteurs en fonction p.ex du début de leur adresse IP, utiliser la directive "deny from":

Order Deny,Allow
Deny from 123.456.
Allow from all

Cela signifie que toutes les requêtes provenant d'une adresse IP commençant par "123.456." seront refusées, tandis que toutes les autres requêtes seront autorisées. Les utilisateurs bloqués recevront un message d'erreur HTTP 403 Forbidden.

Bloquer une adresse IP spécifique

Order Allow,Deny
Deny from 123.456.789
Allow from all

Cela signifie qu'une seule adresse IP, 123.456.789, est bloquée et toutes les autres adresses IP peuvent accéder au site.

Bloquer plusieurs adresses IP

Order Allow,Deny
Deny from 123.456.789
Deny from 987.654.321
Allow from all

Cela signifie que deux adresses IP, 123.456.789 et 987.654.321, sont bloquées et toutes les autres adresses IP peuvent accéder au site.

Bloquer un bot par son user-agent

SetEnvIfNoCase User-Agent "BadBot" BadBot
Order Allow,Deny
Deny from env=BadBot
Allow from all

Cela signifie que tout bot identifié avec un user-agent "BadBot" sera bloqué et tous les autres utilisateurs peuvent accéder au site.

Bloquer un accès à un dossier spécifique

Order Allow,Deny
Deny from all

Cela signifie que tous les accès au dossier "/dossier" seront bloqués, indépendamment de l'adresse IP ou du user-agent. Un assistant pour une fonctionnalité similaire est disponible sur votre Manager Infomaniak.

Directives mod_rewrite

Vous pouvez également utiliser la directive mod_rewrite pour bloquer certaines adresses IP ou certains bots dans un fichier .htaccess.

Voici quelques exemples:

Bloquer une adresse IP spécifique

RewriteEngine on
RewriteCond %{REMOTE_ADDR} ^123\.456\.789\.
RewriteRule ^(.*)$ - [F,L]

Cela signifie qu'une seule adresse IP, 123.456.789, est bloquée et toutes les autres adresses IP peuvent accéder au site.

Bloquer plusieurs adresses IP

RewriteEngine on
RewriteCond %{REMOTE_ADDR} ^123\.456\.789\. [OR]
RewriteCond %{REMOTE_ADDR} ^987\.654\.321\.
RewriteRule ^(.*)$ - [F,L]

Cela signifie que deux adresses IP, 123.456.789 et 987.654.321, sont bloquées et toutes les autres adresses IP peuvent accéder au site.

Bloquer un bot par son user-agent

RewriteEngine on
RewriteCond %{HTTP_USER_AGENT} BadBot [NC]
RewriteRule ^(.*)$ - [F,L]

Cela signifie que tout bot identifié avec un user-agent "BadBot" sera bloqué et tous les autres utilisateurs peuvent accéder au site. Cela peut être utile pour empêcher les robots indésirables d'accéder à certaines pages ou de consommer des ressources inutilement.

Bloquer un accès à un dossier spécifique

RewriteEngine on
RewriteRule ^dossier/secret - [F,L]

Cela signifie que tous les accès au dossier "/dossier/secret" seront bloqués, indépendamment de l'adresse IP ou du user-agent.

Bloquer et rediriger ailleurs

RewriteEngine On
RewriteCond %{REMOTE_ADDR} ^123\.456\.789\.
RewriteRule ^(.*)$ http://www.domain.xyz/blocked.html [L,R=301]

Cela signifie que toutes les requêtes provenant de l'adresse IP 123.456.789 seront redirigées vers la page "blocked.html" sur le site "www.domain.xyz". La dernière partie de la ligne RewriteRule, [L,R=301] indique que la redirection est permanente (R=301) et que c'est la dernière règle à être appliquée (L).

Vous pouvez ajouter plusieurs conditions RewriteCond pour bloquer différentes adresses IP et rediriger vers différentes pages.

Prenez également connaissance de cet autre guide.