URGENT: Securiser pages administration

Bonjour à tous! Je suis en train de faire un site pour une association sportives. J'ai fais des pages admin où ils pourront faire des tas de modifications (de breves, de tarifs, et encore pleins d'autres...). Cependant je souhaiterais securiser ces pages par mot de passe et login. J'ai déjà crée le formulaire d'authentification, mais maintenant je ne sais pas comment je dois faire. Les login et mot de passe doivent ils etre sauvegargé dans la BDD pour etre plus sécurisés? Que dois faire exactement pour securiser toutes les pages admin? Y a t il un script tout simple que je puisse utiliser?
Merci de votre aide car je suis dans l'urgence car je dois mettre le site en ligne d'ici quelques jours. Merci infiniment
P.S: je suis débutant en php

Ca date de 2004, mais c'est toujours d'actualité.
http://phpdebutant.org/article47.php

--
Développeur web freelance - Bling182 Dev : http://freelancedev.ovh.org - http://www.bling182.fr

Salut,

Le principe c'est que tu as des identifiants enregistés dans une base de donnée et que tu fait une comparaison entre le pseudo et le mot de passe du formulaire et ceux du de la BDD ...

Pour plus de sécurité, tu peus crypter le mot de passe en MD5 dans ta BDD et crypté celui entré dans le formulaire pour la comparaison, cela permet que si un hacker trouve une faille exploitable sur ton site, même si il récupère des mots de passes, il ne poura rien en faire car on ne peus pas décrypter le MD5 !

Dans ton form, utilise la methode post car sinon, si par malheur quelqun fait un copier/collé de l'URL et que la methode utilisé est le methode GET, il prendra le pseudo et le mot de passe avec l'URL (si la personne envoi le liens a plein de personne sans s'en rendre compte, je ne donne pas cher de son compte)

Pour sécuriser toute les page d'administration, tu peus utiliser les session, c'est a dire, qu'a la connection tu créer une session avec le pseudo dedans et dans chaque page tu fais une condition pour vérifier si la session existe, si elle existe on peut afficher la page, sinon on redirige ou tu peus faire autre chose...

Pour avoir un script, il te suffit de chercher sur google, yahoo, phpcs, etc...

a++

Si la réponse vous convient, pensez : Réponse acceptée !

Bonjour Bling 182! Encore toi qui vient à mon aide! Merci! JE voulais savoir déjà est ce plus sûr d'avoir le login et mot de passe dans la BDD ou c'est mieux avec htaccess?
Ensuite d'un point de vue pratique , je dois mettre en include sur chaque page que je veux protéger la page "verif.php"?

Merci de ton aide, je vais essayer le lien que tu m'as envoyé...et je te tiens au courant...Encore merci

Oui, sur chaque page que tu veux protéger, tu dois inclure la page vérif.php (ou c/c le code)
Les mots de passe, comme a dit nicomilville, c'est mieux de les mettre de facon cryptée dans une bdd, et de vérifier la version cryptée en sortie de formulaire.
en gros if (md5($_POST['pwd'] == $row['pwd'])

Le htaccess c'est une protection au niveau serveur, plus difficilement contournable (ya pas vraiment moyen d'injecter du code, etc) mais bon, ca implique une boite moche qui s'ouvre la premiere fois.
Par contre, tu proteges un dossier facilement comme ca (1 seul fichier)

--
Développeur web freelance - Bling182 Dev : http://freelancedev.ovh.org - http://www.bling182.fr

Merci Blink et nicomilville pour votre aide. Concernant le mot de passe pour le crypter en MD5 c'est bien dans "fonction" que je sélectionne MD5? Et bien en mettant MD5 dans ma BDD ca me met : "Mauvais login / password. Merci de recommencer" alors que lorsque je mets pas MD5 ca me met vous etes bien logué.

Ensuite je copie bien le code "verif.php" dans la page à sécurisé, mais quand je l'ouvre je tombe sur la page sans me demander le login...
Que puis je faire? Merci

en fait dans ta BDD tu as bien enregistrer tes mot de passe crypté ?

après pour la comparaison, as tu bien crypté le mot de passe du formulaire ?

Pour tes pages a sécuriser, utilise les sessions comme je te l'ai iniqué plus haut !

De rien !

a++

Si la réponse vous convient, pensez : Réponse acceptée !

pour crypter le mot de passe de la BDD fallais bien que je choisisse MD5 dans la liste déroulante de "fonction"?
Et comment je dois faire pour crypter le mot de passe dans le formulaire?

Pour ce qui est des pages a sécuriser j'ai copié ce code :

<?
session_start();

/*
si la variable de session login n'existe pas cela siginifie que le visiteur
n'a pas de session ouverte, il n'est donc pas logué ni autorisé à
acceder à l'espace membres
*/
if(!isset($_SESSION['login'])) {
  echo 'Vous n\'êtes pas autoris? à acceder à cette zone';
  include('login.htm');
  exit;
}
?>

tiré de : http://phpdebutant.org/article47.php  que m'a conseillé Blink182. Mais ca ne change rien pour moi...


ok,

je ne vois pas de quelle liste déroulante tu parle mais sinon ça m'a l'air correct !

a++

PS : as tu une erreur ?

Si la réponse vous convient, pensez : Réponse acceptée !

J'utilise easyPHP et dans phpMYAdmin j'ai crée une table admin avec les champs login et password. quand j'insere ou modifie les données login et pswd j'ai le champ psw de type varchar(8) et on peut choisir fontion (ASCII, CHAR, SOUNDEX, LCASE, UCASE, PASSWORD, OLD_PASSWORD, MD5, SHA1 etc...)

Quand je mets rien ds "fonction" y a pas de problème , mais quand je mets MD5 ca me mets "Mauvais login / password. Merci de recommencer"
Mais je pense que c'est parce que je n'ai pas crypté le formulaire. Comment dois je faire pour le crypter le formulaire?