bonjour,

est ce suffisant pour protéger son dossier d'administration avec un .htaccess et htpasswd contre toute intrusion?
dois-je ajouter un login et un mdp au niveau de php aussi?

voila merci

1- rien n'est infaillible
2- du brute force avec du temps, si tu as un pwd en carton, et on passe outre
3- un couche de sécu coté php est 100x mieux qu'un login/pass avec htaccess

merci

Il est a noter que si tu fais un
<LIMIT GET,POST>

Je te défonce ton authentification

c'est net xD

comment ça ?

C'est clair les .htaccess c'est joli pour masquer des contenus de dossier ou encore faire du Rewriting d'url, mais niveau sécurité ça vaut pas une vraie authentification PHP.

Bon après évidemment faut un code propre derrière, sinon je te raconte pas les injections SQL.

Pour un administration , tu devrais créer un administration :

Par exemple tu mets en bas de la page :

Se connecter ?

Et tu mets deux formulaires (identifient/mot de passe) qui redirigeront vers l'administration, et si les mots de passes et identifient sont correct , tu as accès à la page avec un session_start() pour garder les infos de connexions.
========================
La vie nous joue des sales tours mais méfiance, tes beaux jours arriveront... .

Et puis tu fais une page de déconnexion avec session_destroy()
pour finir

Et sur les pages d'administration (en php bien sûr) , tu fais :

$mdp = 'zeze6554ds5d45s'

if (isset($_SESSION['mdp']) AND ($_SESSION['mdp'] == $mdp))
{

Administration

}
else
{
echo'acces refusé';

}

========================
La vie nous joue des sales tours mais méfiance, tes beaux jours arriveront... .

Mettre un mdp en clair dans une page web c'est mal !

Pour faire simple et en écrivant sans code :

---
Debut page d'administration

Si l'utilisateur n'est pas connecté Alors

redirection vers une page de connexion
stopper le chargement de la page

FinSi

Contenu de l'administration

Fin Page d'administration
---

Mdp en clair ?
Le serveur affiche jamais le php d'une page, dont la variable qui contient le mot de passe ...
========================
La vie nous joue des sales tours mais méfiance, tes beaux jours arriveront... .

Même, ça se fait pas, c'est comme ça. Utilise un hashage MD5 au moins, comme ça même si un mec vient sur ton PC et lit ta source il pourra pas choper le mot de passe.

Au fait juste une question, plus haut tu as écrit ça :

"if (isset($_SESSION['mdp']) AND ($_SESSION['mdp'] == $mdp))"

Tu créées ta session avant même d'avoir fait la vérification ? Donc même un mec qui n'a pas de compte et qui essaye de se logger juste une fois, ben ensuite il trimballera une session sur ton site ? A moins que j'ai mal interprété ton code, je suis assez fatigué donc c'est tout à fait possible.

"Le serveur affiche jamais le php d'une page, dont la variable qui contient le mot de passe ... " sauf si tu lui demandes...