# Guides : sécurité de PHP et des serveurs > Guides sur la sécurité de PHP : webshells, portes dérobées, php.ini, injection SQL, XSS, envois de fichiers, journaux, sauvegardes et en-têtes de sécurité. Source : https://phpsos.de/fr/ratgeber/ État : 25/10/2026 Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6 Articles spécialisés pour administrateurs et développeurs : détecter les webshells, durcir php.ini, analyser les journaux, programmer de façon sécurisée. - [Chronologie PHP2Shell : du 17 au 25 octobre 2026](https://phpsos.de/fr/ratgeber/php2shell-chronologie/): Toutes les dates documentées sur PHP2Shell en un coup d'œil, de la première tentative d'attaque observée à la situation au 25 octobre 2026, et ce qu'il en découle pour votre contrôle. - [Confirmation de mise à jour PHP par l'hébergeur : comment demander l'état du correctif](https://phpsos.de/fr/ratgeber/hoster-patch-status-erfragen/): Après PHP2Shell, une version PHP affichée prouve peu de choses. Ce modèle vous permet d'exiger de votre hébergeur une confirmation que vous pouvez documenter. - [Détecter et supprimer un webshell](https://phpsos.de/fr/ratgeber/webshell-erkennen/): Comment repérer les portes dérobées sur des serveurs web PHP sans détruire les traces, et pourquoi la simple suppression suffit rarement. - [Trouver une backdoor WordPress : repérer les portes dérobées méthodiquement](https://phpsos.de/fr/ratgeber/backdoor-wordpress-finden/): Où les portes dérobées se cachent typiquement dans WordPress et comment les admins les repèrent méthodiquement avec WP-CLI et quelques commandes. - [Configurer php.ini de façon sécurisée](https://phpsos.de/fr/ratgeber/php-ini-sicher-konfigurieren/): Quels réglages de php.ini réduisent la surface d'attaque, comment les protéger contre l'écrasement et ce qui s'applique en plus après PHP2Shell. - [Bien utiliser PHP disable_functions](https://phpsos.de/fr/ratgeber/disable-functions/): disable_functions permet de bloquer des fonctions PHP à risque. Comment définir la liste en fonction de votre application sans paralyser le site. - [open_basedir et isolation par site web](https://phpsos.de/fr/ratgeber/open-basedir/): Comment empêcher, avec open_basedir, des utilisateurs système dédiés et des pools PHP-FPM séparés, qu'une intrusion dans un site n'atteigne tous les autres sur le serveur. - [Droits des fichiers sur le serveur web](https://phpsos.de/fr/ratgeber/dateirechte-webserver/): Pourquoi le serveur web ne doit pas modifier son propre code, quels droits sont judicieux pour les fichiers et les dossiers et comment contrôler rapidement l'état actuel. - [composer audit : vérifier les failles des dépendances](https://phpsos.de/fr/ratgeber/composer-abhaengigkeiten-pruefen/): Comment les développeurs trouvent avec composer audit les failles de sécurité connues dans les bibliothèques, automatisent le contrôle et évitent les erreurs typiques au déploiement. - [Fin de vie de PHP : les risques des versions obsolètes](https://phpsos.de/fr/ratgeber/php-end-of-life-risiken/): Ce que signifie la fin du support d'une version de PHP, quelles branches reçoivent encore des correctifs officiels après PHP2Shell et comment rendre la migration planifiable. - [Prévenir l'injection SQL en PHP](https://phpsos.de/fr/ratgeber/sql-injection-php/): Comment les développeurs excluent de façon fiable l'injection SQL dans les applications PHP grâce aux requêtes préparées, aux listes blanches et aux droits minimaux sur la base de données. - [Prévenir le XSS en PHP : se défendre sûrement contre le cross-site scripting](https://phpsos.de/fr/ratgeber/xss-php/): Comment les développeurs préviennent le cross-site scripting dans les applications PHP : encodage adapté au contexte, échappement automatique dans les templates, nettoyage du HTML et Content Security Policy. - [Mettre en œuvre des téléversements de fichiers sûrs en PHP : sécurité des uploads PHP](https://phpsos.de/fr/ratgeber/datei-upload-sicher/): Les formulaires d'upload sont une voie fréquente pour les webshells. Comment vérifier correctement les types de fichiers, stocker les fichiers en sécurité et empêcher le serveur d'exécuter des scripts téléversés. - [Sécuriser les sessions en PHP : la sécurité des sessions PHP en pratique](https://phpsos.de/fr/ratgeber/session-sicherheit-php/): Les sessions maintiennent les utilisateurs connectés et constituent donc une cible intéressante. Comment configurer cookies, ID de session et lieux de stockage en sécurité, et appliquer l'avis PHP2Shell sur le suivi des uploads. - [Désérialisation non sécurisée en PHP : unserialize et sécurité](https://phpsos.de/fr/ratgeber/deserialisierung-php/): unserialize() avec des données étrangères peut, dans le pire des cas, conduire à l'exécution de code. Comment le remplacer par JSON, le restreindre là où il doit rester et trouver les endroits à risque dans le code. - [Prévenir la Local File Inclusion en PHP : LFI et RFI](https://phpsos.de/fr/ratgeber/lfi-rfi/): Quand include ou require reprennent des chemins issus de la requête, des attaquants peuvent charger des fichiers étrangers. Comment construire en sécurité la sélection de pages et les modèles, et sécuriser en plus le serveur. - [Protéger les connexions administrateur contre la force brute : une protection pour chaque connexion](https://phpsos.de/fr/ratgeber/brute-force-login-schutz/): Les essais de mots de passe automatisés touchent toute page de connexion accessible. Comment freiner les attaquants avec la limitation de débit et Fail2ban, protéger les comptes par un second facteur et stocker correctement les mots de passe. - [DDoS ou piratage ? Bien qualifier les attaques](https://phpsos.de/fr/ratgeber/ddos-oder-exploit/): Site lent, charge élevée, fichiers étranges : qu'il s'agisse d'un DDoS ou d'une intrusion détermine la bonne réaction. Comment qualifier la situation avec quelques contrôles. - [Analyser les journaux du serveur web après une attaque : bien lire le journal d'accès](https://phpsos.de/fr/ratgeber/logfiles-auswerten/): Après une attaque, les fichiers journaux sont souvent la trace la plus importante. Comment sauvegarder correctement les journaux d'accès, d'erreurs et PHP, trouver les requêtes suspectes et éviter les erreurs typiques d'analyse. - [Mettre en place l'authentification à deux facteurs pour les accès administrateur](https://phpsos.de/fr/ratgeber/zwei-faktor-admin/): Un mot de passe volé ne doit pas suffire à prendre le contrôle de votre serveur ou de votre boutique. Comment choisir la méthode adaptée, sécuriser tous les accès administrateur et prévoir des accès de secours. - [Stratégie de sauvegarde pour serveurs : sauvegardes selon la règle 3-2-1](https://phpsos.de/fr/ratgeber/backups-3-2-1/): Une sauvegarde n'aide que si elle survit à une attaque et peut être restaurée. Comment appliquer la règle 3-2-1 aux serveurs web et planifier correctement conservation et tests. - [En-têtes de sécurité pour les sites web : bien définir les en-têtes de sécurité](https://phpsos.de/fr/ratgeber/sicherheits-header/): Les en-têtes de sécurité demandent au navigateur de mieux protéger vos visiteurs. Comment définir les principaux en-têtes dans Nginx et Apache, introduire progressivement une Content Security Policy et contrôler le résultat. - [Supprimer l'alerte Google « Ce site a été piraté »](https://phpsos.de/fr/ratgeber/google-warnung-entfernen/): Une alerte de piratage dans les résultats de recherche coûte des visiteurs et de la confiance. Comment nettoyer le site à fond, trouver les pages de spam cachées et demander le réexamen dans la Search Console. - [Liste de contrôle après un piratage : 20 points pour le suivi](https://phpsos.de/fr/ratgeber/checkliste-nach-dem-hack/): Après une attaque, le bon ordre compte. Cette liste de contrôle vous guide en 20 points à travers confinement, préservation des preuves, nettoyage, nouveaux accès, obligations et clôture documentée.