Lorsque vous travaillez avec des bases de données MySQL, l’une des façons les plus simples et les plus intuitives de les gérer est via PhpMyAdmin. C’est une application web open-source en PHP qui vous permet de gérer MySQL ou MariaDB via une interface web. Cet outil permet de créer, modifier, supprimer, exporter et importer des bases de données facilement, sans avoir à taper de commandes SQL. Dans cet article, nous allons vous montrer comment installer PhpMyAdmin sur votre serveur.
Pour le but de ce guide, nous allons supposer que vous utilisez un système d’exploitation basé sur Linux, tel qu’Ubuntu. Vous aurez également besoin d’avoir Apache, MySQL et PHP déjà installés sur votre serveur. Ce type d’environnement est souvent appelé un serveur LAMP.
Étape 1 : L’installation de PhpMyAdmin
Mettez à jour les packages de votre système en utilisant la commande suivante :
sudo apt-get update
Ensuite, installez PhpMyAdmin en utilisant la commande :
sudo apt-get install phpmyadmin
Pendant l’installation, un écran vous demandera de sélectionner le serveur web à reconfigurer automatiquement. Sélectionnez ‘apache2’ en utilisant la barre d’espace, puis appuyez sur Entrée pour continuer.
L’installateur vous demandera ensuite si vous souhaitez configurer une base de données pour phpmyadmin avec dbconfig-common. Sélectionnez « Oui » et continuez.
Dans la foulée, on vous demandera de fournir le mot de passe pour le compte ‘phpmyadmin’ pour se connecter à la base de données. Saisissez un mot de passe fort et notez-le quelque part, vous en aurez besoin plus tard.
Étape 2 : Configurer PhpMyAdmin correctement
Une fois l’installation terminée, ajoutez PhpMyAdmin dans le fichier de configuration Apache.
echo 'Include /etc/phpmyadmin/apache.conf' | sudo tee -a /etc/apache2/apache2.conf
Redémarrez ensuite le service Apache pour que les modifications prennent effet.
sudo systemctl restart apache2
Étape 3 : Accéder à PhpMyAdmin
Ouvrez un navigateur web et accédez à PhpMyAdmin en utilisant l’URL suivante :
http://votre_ip_de_serveur/phpmyadmin
Remplacez « votre_ip_de_serveur » par l’adresse IP réelle de votre serveur. Pour rappel, ce protocole fonctionne grâce à des identifiants numériques nommés adresses IP. Ces adresses sont composées de quatre séquences numériques (ou quatre octets), chacune pouvant aller de 0 à 255. Elles sont notées comme suit : xxx.xxx.xxx.xxx. Par exemple, l’adresse IP technique 194.153.205.26 illustre par exemple ce format.
Étape 4 : Se connecter à PhpMyAdmin
Sur la page de connexion, utilisez le nom d’utilisateur ‘phpmyadmin’ et le mot de passe que vous avez défini pendant l’installation pour vous connecter.
Et voilà ! Vous avez réussi à installer et configurer PhpMyAdmin sur votre serveur.
Veuillez noter que PhpMyAdmin est un outil puissant et, s’il est mal configuré ou mal utilisé, il peut rendre votre base de données vulnérable. Assurez-vous donc de toujours suivre les meilleures pratiques en matière de sécurité, comme l’utilisation de mots de passe forts et la restriction de l’accès à certaines adresses IP. Ci-dessous, quelques bonnes pratiques de sécurisation de votre serveur.
Sécuriser PhpMyAdmin
Sécuriser PhpMyAdmin est fondamental car il est une cible courante pour les attaques. Voici quelques mesures que vous pouvez prendre pour renforcer la sécurité de PhpMyAdmin, la cybersécurité étant essentielle de nos jours :
1. Utiliser un mot de passe fort pour les bases de données
Il est essentiel que tous les comptes de bases de données que vous utilisez avec PhpMyAdmin soient sécurisés avec des mots de passe forts et uniques. Lorsque l’on dit « fort », cela signifie qu’ils doivent être complexes et comprennent une combinaison de lettres majuscules et minuscules, de chiffres et de caractères spéciaux. De plus, ils doivent être suffisamment longs, généralement 15 caractères ou plus, pour augmenter le nombre de combinaisons possibles et rendre ainsi le cassage du mot de passe extrêmement difficile et long.
De plus, chaque compte de base de données doit avoir un mot de passe unique. L’utilisation du même mot de passe pour plusieurs comptes présente un risque de sécurité important. Si un mot de passe est compromis, tous les comptes utilisant ce mot de passe sont alors vulnérables. En utilisant des mots de passe uniques, vous isolez chaque compte, ce qui limite l’impact d’une éventuelle compromission.
Enfin, évitez d’utiliser des mots de passe par défaut ou facilement devinables, comme « motdepasse » ou « admin ». Ces mots de passe sont les premiers à être testés par des attaquants lorsqu’ils tentent de pénétrer dans un système. De même, évitez les informations facilement accessibles ou devinables, comme les dates de naissance, les noms de famille ou les noms d’animaux de compagnie. Votre objectif doit être de rendre la tâche de l’attaquant aussi difficile que possible. Assurez-vous de mettre en place des stratégies de gestion des mots de passe efficaces et de les respecter.
2. Limiter l’accès par adresse IP
La configuration de votre pare-feu pour limiter l’accès à PhpMyAdmin uniquement à certaines adresses IP spécifiques est une méthode très efficace pour renforcer la sécurité de votre système. C’est une approche connue sous le nom de « filtrage IP » et elle consiste à n’autoriser que des adresses IP spécifiques, généralement celles qui sont sous votre contrôle direct, à accéder à certaines ressources – dans ce cas, PhpMyAdmin.
En effet, PhpMyAdmin est une interface web pour gérer vos bases de données MySQL. Si une personne malveillante parvenait à y accéder, elle pourrait potentiellement créer, modifier ou supprimer des bases de données, avec des conséquences potentiellement désastreuses pour votre site ou votre application. Par conséquent, il est essentiel de limiter l’accès à cette ressource autant que possible.
Le filtrage IP est une solution efficace car même si un attaquant potentiel parvient à obtenir vos identifiants de connexion, il ne pourra pas accéder à PhpMyAdmin à moins qu’il n’ait également accès à l’un des ordinateurs de la liste autorisée. Cela ajoute une couche de sécurité supplémentaire et rend l’accès non autorisé beaucoup plus difficile.
Pour mettre en place le filtrage IP, vous devrez modifier les règles de votre pare-feu pour n’autoriser les connexions à PhpMyAdmin qu’à partir des adresses IP que vous spécifiez. Le processus exact pour cela dépendra de votre pare-feu spécifique et de votre système d’exploitation. Si vous utilisez un pare-feu basé sur Linux comme iptables ou UFW, il existe des commandes spécifiques qui vous permettront de mettre en place ces règles. Assurez-vous de consulter la documentation appropriée ou de demander l’aide d’un professionnel si vous n’êtes pas sûr de comment le faire.
3. Utiliser une connexion HTTPS
Si possible, configurez votre serveur pour utiliser HTTPS. Cela permet de chiffrer les communications entre votre navigateur et le serveur, ce qui rend beaucoup plus difficile pour quiconque d’intercepter vos informations de connexion.
4. Renommer l’URL de PhpMyAdmin
Dans sa configuration par défaut, PhpMyAdmin est généralement accessible à partir de votre domaine ou adresse IP suivi de « /phpmyadmin ». Cette universalité facilite la localisation de votre interface PhpMyAdmin par des robots malveillants qui cherchent des installations de PhpMyAdmin pour les exploiter. Pour contrer cette menace, une bonne pratique de sécurité consiste à modifier le chemin d’accès par défaut vers quelque chose de moins prévisible.
En effectuant ce changement, vous rendez le chemin d’accès à votre interface PhpMyAdmin unique et moins susceptible d’être découvert par des robots d’attaque automatisés. Ces robots parcourent généralement le web en utilisant des chemins d’accès communs pour trouver des installations vulnérables de PhpMyAdmin. En rendant le chemin d’accès à votre PhpMyAdmin unique, vous réduisez le risque que votre installation soit trouvée et exploitée.
Pour faire cela, vous devrez modifier le fichier de configuration Apache pour PhpMyAdmin. Ce fichier se trouve généralement dans le dossier « /etc/apache2/conf-available/ » et est nommé « phpmyadmin.conf ». Vous devrez modifier la ligne « Alias /phpmyadmin » pour qu’elle pointe vers le nouveau chemin que vous souhaitez utiliser. Par exemple, vous pouvez changer cette ligne en « Alias /mysecretadminpath ». Après avoir fait cela, vous devrez redémarrer Apache pour que les modifications prennent effet.
5. Désactiver l’accès root à PhpMyAdmin
La possibilité de se connecter en tant qu’utilisateur « root » à PhpMyAdmin est une fonctionnalité qui, par défaut, est activée. Bien que cela puisse être pratique pour l’administration du système, cela représente un risque de sécurité important. L’utilisateur root a des privilèges illimités et peut effectuer n’importe quelle action sur la base de données, y compris la suppression de toutes les données. Si un attaquant parvenait à accéder à PhpMyAdmin en tant qu’utilisateur root, les conséquences pourraient être dévastatrices.
Il est donc fortement recommandé de désactiver la possibilité de se connecter en tant qu’utilisateur root. À la place, vous pouvez créer un nouvel utilisateur avec des privilèges restreints. Cet utilisateur doit avoir suffisamment de droits pour effectuer les tâches nécessaires, mais pas plus. De cette façon, même si un attaquant parvient à obtenir les informations d’identification de cet utilisateur, les dommages qu’il peut causer sont limités.
Pour désactiver la connexion en tant que root, vous devrez accéder à PhpMyAdmin et modifier les paramètres de l’utilisateur root. Il est également recommandé de changer le nom d’utilisateur root en quelque chose de moins prévisible pour ajouter une couche de sécurité supplémentaire. Rappelez-vous toujours que la sécurité est un processus à plusieurs niveaux et qu’il est essentiel d’appliquer plusieurs mesures de sécurité pour protéger vos systèmes de manière efficace.
6. Mettre à jour PhpMyAdmin
Assurez-vous de toujours utiliser la dernière version de PhpMyAdmin. Les mises à jour contiennent souvent des correctifs de sécurité pour les vulnérabilités connues.
Voici un exemple de comment vous pouvez restreindre l’accès à PhpMyAdmin par adresse IP en modifiant le fichier de configuration Apache :
sudo nano /etc/apache2/conf-available/phpmyadmin.conf
Ajoutez les lignes suivantes :
<Directory /usr/share/phpmyadmin>
Order Deny,Allow
Deny from All
Allow from xxx.xxx.xxx.xxx
</Directory>
Remplacez « xxx.xxx.xxx.xxx » par votre adresse IP. Enregistrez et fermez le fichier, puis redémarrez Apache :
sudo systemctl restart apache2
Ces étapes peuvent varier en fonction de votre système d’exploitation et de votre configuration de serveur spécifique, pensez à faire une formation de cybersécurité au besoin. Assurez-vous de comprendre ce que font ces commandes avant de les exécuter. Nous déclinons toute responsabilité sur les éléments fournis ci-dessus.
R.C.