PHP Security: посилення безпеки через налаштування php.ini

Навіщо хардити PHP

Правильне налаштування php.ini закриває цілі класи вразливостей: RCE, розкриття інформації про сервер, обходи open_basedir. Це перший крок захисту будь-якого PHP-сервера.

Приховати інформацію про PHP

expose_php = Off

Вимкнути небезпечні функції

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,\
    curl_exec,parse_ini_file,show_source,phpinfo

Обмеження доступу до файлової системи

open_basedir = /var/www/mysite:/tmp
allow_url_fopen = Off
allow_url_include = Off

Безпечні налаштування сесій

session.cookie_httponly = On
session.cookie_secure = On
session.use_strict_mode = On

Чекліст безпеки PHP

• expose_php = Off
• display_errors = Off
• log_errors = On
• allow_url_include = Off
• session.cookie_httponly = On