PhpBB Lab Académie

Décrire un événement observable, distinguer trois familles de problèmes et choisir une première vérification sans accuser un membre ni modifier le forum au hasard.

Votre forum fonctionne : que signifie le protéger ?

Vous avez installé le forum des Jardins Partagés, organisé ses espaces et appris à administrer ses membres. Vous savez sauvegarder une installation et vérifier une restauration. Au cours précédent, vous avez essayé un style et une extension dans votre laboratoire. Nous allons maintenant apprendre à réduire les abus et à reconnaître une anomalie, en conservant un forum utilisable pour ses vrais membres.

La sécurité ne se résume pas à cocher toutes les options portant un nom rassurant. Une inscription devenue impossible protège peut-être du passage de certains robots, mais empêche aussi les adhérents de rejoindre l’association. Notre travail comportera donc deux questions : « L’abus prévu est-il limité ? » et « L’action normale reste-t-elle possible ? ». Nous vérifierons les deux chaque fois que le réglage le permet.

Dans ce cours, vous ferez des essais ordinaires sur votre copie locale : lire un réglage, changer le mot de passe d’un compte d’exercice, répondre à une question d’inscription, publier deux messages préparés et consulter des journaux. Vous n’avez pas besoin de provoquer une attaque pour apprendre à administrer correctement le forum.

Premier cas : un contenu indésirable

Un message publicitaire sans rapport avec le jardinage peut être un spam, c’est-à-dire une publication indésirable. Son auteur peut être une personne ou un programme. Un programme qui répète automatiquement des inscriptions ou des publications est couramment appelé un robot. Il existe aussi des robots utiles, comme ceux des moteurs de recherche : le mot « robot » ne décrit pas à lui seul une action malveillante.

La présence d’un spam ne prouve pas que les fichiers du forum ont été modifiés. Un compte peut avoir utilisé une fonction normale de publication pour écrire un contenu contraire à la charte. Les outils de modération du troisième cours servent à traiter ce contenu. Les réglages étudiés ici chercheront notamment à rendre certaines soumissions automatisées plus difficiles.

Deuxième cas : un accès utilisé sans autorisation

Un compte est compromis lorsqu’une autre personne en obtient un usage non autorisé. Par exemple, un mot de passe réutilisé sur un autre service peut être découvert puis essayé sur le forum. Le compte peut alors être utilisé avec ses droits habituels, même si phpBB fonctionne normalement.

Une compromission peut aussi concerner l’hébergement, les fichiers ou un autre composant. Nous n’allons pas confondre ces situations. Réinitialiser un mot de passe ne répare pas automatiquement des fichiers modifiés. Inversement, réinstaller tous les fichiers ne résout pas à elle seule le vol d’un accès encore utilisable. Le chapitre final expliquera comment conserver des faits et demander l’aide adaptée lorsqu’un incident dépasse les réglages courants du forum.

Troisième cas : une panne ou un mauvais réglage

Un membre déconnecté, un forum fermé ou un fichier refusé ne constituent pas automatiquement des signes d’attaque. Le forum peut être volontairement fermé pour maintenance. Un type de pièce jointe peut ne pas être autorisé. Une page ancienne restée ouverte peut ne plus correspondre à la session actuelle. Nous définirons la session au chapitre suivant.

Avant d’agir, décrivez ce qui s’est produit. « accueil_test voit le message de fermeture en ouvrant l’index du clone » est une observation précise. « Quelqu’un a cassé mon forum » est déjà une interprétation, qui peut être fausse. La distinction entre un fait et une interprétation évite beaucoup de manipulations inutiles.

Construire une observation utile

Une observation comporte l’heure approximative, l’installation concernée, le compte utilisé, l’action demandée, le résultat attendu et le résultat obtenu. Ajoutez le texte exact d’un message d’erreur lorsqu’il ne contient pas d’information confidentielle. Une adresse de page peut aider, mais ne recopiez pas un lien contenant un identifiant de session. Nous expliquerons ce paramètre dans le chapitre 2.

Une adresse IP est une information technique de connexion, pas une preuve de l’identité d’une personne. Plusieurs personnes peuvent partager la même connexion. Une personne peut aussi en utiliser plusieurs. De même, une heure inhabituelle n’est pas une preuve suffisante de compromission. Des faits peuvent justifier une vérification sans autoriser une conclusion certaine.

Choisir une vérification proportionnée

Si un membre voit une fermeture annoncée, contrôlez d’abord l’état du forum. S’il ne voit pas un espace privé, reprenez les vérifications d’accès du cours 2 avec le bon compte. Si plusieurs réglages ont changé sans explication, conservez les observations et consultez les journaux plutôt que de tout effacer. Le dernier chapitre précisera ce parcours de réaction.

Une sauvegarde est un moyen de retrouver un état antérieur. Elle ne bloque pas une inscription indésirable. Un contrôle à l’inscription agit à une autre étape. Il ne remplace pas non plus l’attention portée aux comptes d’administration. Ces moyens se complètent parce qu’ils répondent à des problèmes différents.

Vous n’avez aucun réglage à changer dans cette première leçon. Votre objectif est de savoir formuler une question vérifiable avant de choisir une action.

Trois événements aux Jardins Partagés

Lundi, un nouveau membre publie une publicité dans Questions publiques. Camille relève le sujet concerné et le traite avec les outils de modération déjà appris. Elle n’en déduit pas que le serveur a été piraté.

Mardi, accueil_test voit « forum fermé » sur la copie locale. Le carnet confirme que cette copie a été refermée à la fin du cours précédent. Le résultat est expliqué par un réglage attendu.

Mercredi, Camille découvre un changement d’administration qu’elle ne reconnaît pas. C’est un signal à examiner : elle relève l’heure et le libellé, puis vérifie les interventions prévues. Une ligne inconnue mérite une recherche ; elle ne suffit pas à désigner une personne.

1. Dans vos Documents, créez un nouveau fichier texte nommé Carnet-securite-Jardins.txt. Vous le compléterez pendant tout le cours. Ce fichier reste hors du dossier web de WampServer.
2. Écrivez « Observation » puis reformulez cette phrase sans conclusion : « Mon forum est piraté parce que je n’arrive pas à publier ». Précisez les informations qu’il manque pour vérifier ce qui se passe.
3. Classez les trois cas suivants : publicité hors sujet ; accès administrateur utilisé sans accord ; refus d’une pièce jointe dont le format n’est pas autorisé.
4. Pour chacun, choisissez une première vérification et expliquez pourquoi une restauration complète immédiate ne serait pas votre première action automatique.
5. Relisez vos notes : elles ne doivent contenir aucun mot de passe ni lien de session.

Résultat attendu : trois situations distinctes et trois vérifications adaptées, sans aucune modification du forum.

Un spam, un compte compromis et une panne ne sont pas la même chose. Décrivez le fait avant de l’interpréter. Relevez le compte, l’action et le résultat obtenu. Une protection utile doit limiter l’abus tout en laissant fonctionner les usages légitimes.