# Irreġistra b'mod sigur: protokolla l-iżbalji mingħajr tnixxija ta' data

> Irreġistra żbalji u avvenimenti f'PHP mingħajr ma tesponi passwords, tokens jew data tal-klijenti: x'jappartjeni fil-log, x'ma jappartjenix u kif tipproteġih.

Sors: https://phpsos.de/mt/blog/sicher-loggen-php/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Logging f'PHP b'ħarsa lejn il-protezzjoni tad-data ifisser: żomm avvenimenti rilevanti għas-sigurtà b'mod komplut, imma qatt tikteb fil-log passwords, tokens, identifikaturi tas-sessjoni u data sensittiva tal-klijenti. L-iżbalji jappartjenu fil-protokoll, mhux fuq l-iskrin, il-logs jinsabu barra mill-webroot u huma protetti kontra tibdil. Kemm jibqgħu l-logs tiddeċiedu b'mod konxju flimkien mal-uffiċjal tal-protezzjoni tad-data.

## Bejn il-ħarsien tat-traċċi u tnixxija ta' data

Wara PHP2Shell il-midja speċjalizzata rrakkomandat li jinżammu l-logs tas-server tal-web mill-20/10/2026. Min ried jimplimenta dan, spiss innota żewġ affarijiet. Jew il-logs kienu diġà ġew irrotati u mħassra. Jew kienu fihom affarijiet li qatt ma kellhom jidhru hemm: inputs sħaħ ta' formoli, passwords minn logins li falliw, ċwievet tal-API f'URLs.

It-tnejn huma problema. Mingħajr logs inċident bilkemm jista' jiġi rikostruwit. B'wisq kontenut il-log innifsu jsir il-mira, għax min jikseb aċċess għas-server jaqrah b'pjaċir. Logging tajjeb jinsab bejniethom: biżżejjed għat-tfittxija tat-traċċi, kemm jista' jkun inqas data li jixraq tiġi protetta.

## X'għandha tirreġistra applikazzjoni PHP

Il-OWASP Logging Cheat Sheet isemmi avvenimenti li jgħoddu għas-sigurtà u għat-traċċabbiltà. Għal applikazzjonijiet PHP tipiċi jistgħu jinġabru hekk:

| Fil-log | Mhux fil-log |
|---|---|
| logins b'suċċess u li falliw | passwords, anke dawk imdaħħlin ħażin |
| verifiki tad-drittijiet li falliw | identifikaturi tas-sessjoni bħala test ċar |
| bidliet fil-kontijiet u fid-drittijiet | access tokens u ċwievet tal-API |
| żbalji fil-verifika tal-inputs | dettalji tal-aċċess tad-database |
| uploads, importazzjonijiet u esportazzjonijiet | data tal-ħlas u tal-bank |
| bidliet tal-konfigurazzjoni, bidu u waqfien | data tas-saħħa u data oħra partikolarment sensittiva |
| żbalji tat-tħaddim bil-post, mingħajr data użata | kontenut sħiħ ta' formoli |

Kull entrata għandha twieġeb il-mistoqsijiet meta, fejn, min u x': timestamp, applikazzjoni u host, indirizz tas-sors, identifikatur tal-utent, tip ta' avveniment u riżultat. Ismijiet jew indirizzi tal-posta spiss jistgħu jiġu mmaskerati jew sostitwiti b'identifikatur intern, mingħajr ma jintilef l-użu.

Żewġ sorsi ta' data mhux mixtieqa fil-log spiss jiġu injorati. L-ewwel huma l-URLs: jekk token, ċavetta ta' reset tal-password jew indirizz tal-posta jidher fil-query string, awtomatikament jispiċċa fl-access log tas-server tal-web, fil-logs tal-proxy u fl-istorja tal-browser. Valuri bħal dawn jappartjenu fil-body tat-talba jew f'header, mhux fl-indirizz. It-tieni sors hija l-modalità tad-debug. Frameworks u plugins fl-operat tad-debug spiss jiktbu talbiet sħaħ, mistoqsijiet tad-database u variabbli tal-ambjent. Jekk din il-modalità tibqa' attiva wara tfittxija ta' żbalji, fajl jikber mingħajr ma jinduna ħadd bl-informazzjoni li attakkant ifittex. Ivverifikaw wara kull tfittxija ta' żbalji jekk l-outputs tad-debug reġgħux ġew mitfija, u ħassru l-fajls li nħolqu.

## Logging f'PHP: l-issettjar bażiku

L-ewwel livell huwa PHP innifsu. Fil-produzzjoni l-iżbalji għandhom jiġu rreġistrati, imma mhux murija. Il-log jinsab barra mill-webroot, biex ma jkunx jista' jinġieb permezz ta' URL.

```ini
; php.ini jew pool ta' FPM għall-produzzjoni
display_errors = Off
display_startup_errors = Off
log_errors = On
error_log = /var/log/php/app-error.log
```

Għaliex żbalji viżibbli huma perikolużi jiddeskrivi [Itfi l-outputs ta' żbalji fil-produzzjoni](https://phpsos.de/mt/blog/display-errors-produktion/). Kif jikkoordinaw żbalji u exceptions f'PHP jispjegah [Żbalji u exceptions f'PHP](https://phpsos.de/mt/php/fehler-und-exceptions/).

It-tieni livell huwa l-applikazzjoni. Ħafna frameworks jużaw għal dan librerija skont l-istandard PSR-3 tal-PHP-FIG, li jistabbilixxi interface uniformi tal-logger. Importanti mhix il-librerija, imma d-dixxiplina: agħżlu data tal-kuntest b'mod konxju, minflok ma tikteb talbiet jew oġġetti sħaħ fil-log.

```php
<?php
// Newtralizza u mmaskera l-inputs qabel tirreġistra
function logSicher(string $text): string {
    return mb_substr(str_replace(["\r", "\n"], ' ', $text), 0, 200);
}

function maskiereMail(string $mail): string {
    [$name, $domain] = array_pad(explode('@', $mail, 2), 2, '');
    return mb_substr($name, 0, 1) . '***@' . $domain;
}

$logger->warning('Anmeldung fehlgeschlagen', [
    'benutzer' => maskiereMail(logSicher($_POST['email'] ?? '')),
    'ip'       => $_SERVER['REMOTE_ADDR'] ?? '',
    // qatt: 'passwort' => $_POST['passwort']
]);
```

## Log injection u entrati manipulati

Jekk applikazzjoni tikteb inputs mhux iffiltrati fil-log, attakkant jista' b'qsim ta' linji joħloq entrati foloz. Dan jikkonfondi l-evalwazzjoni u jista' jaħbi traċċi. Il-OWASP Cheat Sheet jirrakkomanda formati strutturati bħal JSON, it-tneħħija jew il-kodifika ta' qsim ta' linji u limitu tat-tul għall-inputs fil-log.

Daqstant importanti hi l-protezzjoni tal-logs innifishom:

1. **Ħażna barra mill-webroot** u b'drittijiet li l-utent tas-server tal-web jeħtieġ għall-kitba, imma mhux biex iħassar fajls qodma.
2. **Kopja fuq sistema oħra**, pereżempju permezz ta' Syslog fuq konnessjoni ċċifrata. Min jieħu f'idejh is-server m'għandux ikun jista' sempliċement iħassar it-traċċi.
3. **Illimita l-aċċess tal-qari** u irreġistrah stess. Il-logs kważi dejjem fihom data personali.
4. **Agħraf in-nuqqas:** Jekk il-log f'daqqa jibqa' vojt, dan huwa sinjal ta' twissija.
5. **Sinkronizza l-ħin:** Is-servers kollha jieħdu l-ħin mill-istess sors u jiktbu żona tal-ħin mhux ambigwa fil-log. Inkella entrati tas-server tal-web, ta' PHP u tad-database bilkemm jistgħu jinġabru f'linja taż-żmien wara inċident.

> **Importanti:**
> Log li jinsab biss fuq is-server kompromess huwa dgħajjef bħala prova. Kopja kontinwa fuq sistema separata hija spiss wara inċident is-sors affidabbli uniku.

## Iddeċiedi b'mod konxju ż-żamma u l-protezzjoni tad-data

Kemm jistgħu u jridu jinżammu l-logs hija bilanċ bejn interess tas-sigurtà, minimizzazzjoni tad-data u rekwiżiti legali jew kuntrattwali. L-Art. 32 GDPR jitlob miżuri tekniċi u organizzattivi xierqa għar-riskju, fost oħrajn biex jiġu żgurati b'mod permanenti l-kunfidenzjalità, l-integrità u d-disponibbiltà tas-sistemi; ir-reġistrazzjoni tista' tikkontribwixxi għal dan. Fl-istess ħin data personali ma tistax tinżamm aktar milli hemm bżonn.

Iddeterminaw għalhekk terminu għal kull tip ta' log, ikteb ir-raġuni u aqblu fuq it-tnejn mal-uffiċjal tal-protezzjoni tad-data tagħkom. Għal investigazzjoni li għaddejja jista' jkun neċessarju li l-logs jinżammu lil hinn mit-terminu normali. Dan għandu jiġi dokumentat ukoll. Din il-paġna hija tagħrif ġenerali u mhijiex konsulenza legali; għal mistoqsijiet konkreti jgħinu l-uffiċjali tal-protezzjoni tad-data u l-avukat. Kif tevalwaw logs wara attakk turi [Evalwa l-logs tas-server tal-web wara attakk](https://phpsos.de/mt/ratgeber/logfiles-auswerten/).

## Kif tgħin PHP SOS b'mod konkret?

- Niċċekkjaw il-logs eżistenti tagħkom għal passwords, tokens u data oħra li ma jappartjenux hemm.
- Nistabbilixxu PHP u l-applikazzjoni b'mod li l-iżbalji jiġu rreġistrati, imma mhux murija.
- Nistabbilixxu kopja protetta tal-logs fuq sistema separata.
- Permezz ta' [Security Monitoring](https://phpsos.de/mt/leistungen/security-monitoring/) nevalwaw kontinwament entrati rilevanti għas-sigurtà u nirrapportaw dak li jolqot b'mod li jinftiehem.

**Konklużjoni:** Logs tajbin huma ekonomiċi fil-kontenut u ġeneruži fil-protezzjoni. Min illum jiddeċiedi x'jiġi rreġistrat u x'qatt, fil-każ serju jkollu traċċi użabbli u l-ebda tnixxija addizzjonali ta' data.


## Mistoqsijiet frekwenti

**Indirizzi IP jistgħu jidhru f'fajls tal-log?**  
Indirizzi IP jistgħu jkunu data personali. Jekk u kemm iddumu taħżnuhom jiddependi mill-iskop u mill-bażi legali. Ičċaraw l-ambitu u ż-żamma mal-uffiċjal tal-protezzjoni tad-data tagħkom; din il-paġna mhijiex konsulenza legali.

**Kemm għandhom jinżammu l-logs?**  
Daqs kemm hu meħtieġ għas-sigurtà u t-tfittxija ta' żbalji u permess legalment, u mhux aktar. Wara PHP2Shell il-istampa speċjalizzata rrakkomandat li jinżammu l-logs tas-server tal-web mill-20/10/2026. Iddeterminaw it-termini b'mod konxju u iddokumentawhom.

**X'inhi Log Injection?**  
Jekk input fih qsim ta' linji jew karattri ta' kontroll u jinkiteb mhux iffiltrat fil-log, jista' joħloq entrati foloz. Dan jiffalsifika l-evalwazzjonijiet. Formati strutturati bħal JSON u t-tneħħija ta' qsim ta' linji jevitaw dan.

**display_errors għandu jkun mitfi fil-produzzjoni?**  
Iva. L-iżbalji għandhom imorru fil-log, mhux fl-output lill-viżitaturi. Messaġġi ta' żball viżibbli jiżvelaw mogħdijiet, mistoqsijiet u xi kultant dettalji tal-aċċess.

## Sorsi

- [OWASP: Logging Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Logging_Cheat_Sheet.html)
- [PHP-FIG: standards PSR](https://www.php-fig.org/)
- [Manwal ta' PHP](https://www.php.net/manual/de/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)