Bonjour, je suis en train de me faire un site et pour l'espace membre j'utilise les sessions PHP.
Mais je me demandais si c'était réellement sécurisé, lors d'une connexion le grade et pseudo de l'utilisateur sont stockés en $_SESSION
mais ma question est, peut-on modifier les données de session, par exemple le grade, en touchant les cookies ?
Car l'accès au page d'administration n'est bloqué que par une vérification du grade, alors si un utilisateur change son grade d'user à admin ça foire tout

Merci de votre aide, j'espère avoir été assez clair dans mes explications

Je ne suis pas sûr d'avoir compris, mais tu peux mettre à jour la session, au moment où il change de grade tu fais un $_SESSION['user'] = 'nouveaugrade'; et il ne devrait pas y avoir de soucis ?

Si on pouvait modifier les infos du $_SESSION en touchant aux cookies ça n'aurait aucun intérêt, on utiliserait que les cookies et point barre

Le $_SESSION stocke un unique cookie, qui est l'identifiant de session. Une fois ton utilisateur connecté et que tu as instauré le session_start(), ton utilisateur à cet unique identifiant en cookie. Si il désactive les cookies ça passe en paramètre d'URL.

Tout ce qui est dans le $_SESSION est sur ton serveur, l'utilisateur ne peut rien toucher, il peut juste supprimer le cookie de session.

Mais l'identifiant de session de chaque utilisateur est pas statique, un même utilisateur aura un identifiant différent si il se connecte depuis un autre PC ou un autre navigateur, ou si il supprime le cookie de session.

L'utilisation des session te permettra de savoir quel utilisateur identifié est sur la page d'administration, et de le rediriger si il n'est pas autorisé. Mais pour l'identification, et le grade, tu dois utiliser une base de donnée ; ton utilisateur se connecte avec pseudo et mdp, tu vas donc vérifier si ce qu'il a rentré colle avec une entrée de ta BDD utilisateurs, puis tu stocke la clé primaire de l'utilisateur en question dans le $_SESSION. Tu sauras donc sur les autres pages où il va que c'est bien cet utilisateur. Et sur une page admin, tu vérifie donc dans la base de donnée que l'utilisateur identifié a bien le grade admin, et là il peut rentrer

Après, comme Thymotep, je suis pas sûr d'avoir vraiment compris ce que tu veux faire et comment tu as organisé ton site (tu as pas évoqué de base de donnée donc c'est pour ça que je t'en parles)...

vava740 Les sessions sont liés au navigateur, pas au serveur Ce qui change tout !

Oui exactement ! C'est pour ça que je dis "un même utilisateur aura un identifiant différent si il se connecte depuis un autre PC ou un autre navigateur" - d'où ma suggestion de BDD pour identifier clairement chaque utilisateur

Ce que je voulais dire par rapport au serveur, c'est que hormis l'identifiant, toutes les données de session liées à cet identifiant sont stockées sur le serveur donc impossible pour le client de modifier de quelque façon son $_SESSION['grade'] !

Désolé de mon post qui est assez confus je l'accorde, mais c'est bien ce que je voulais savoir
Donc le cookies de session est une clé unique et les données sont bien côtés serveur, donc l'utilisateur ne peut rien toucher.
Merci beaucoup, et oui j'utilise bien une BDD

Si tu veux être sûr de la sécurité des sessions, stocke donc l'ip ( avec vérification ).