6

En PHP podemos usar archivos para guardar datos sensibles, pero esos archivos deben tener ciertos niveles de protección.

Vamos a tomar el ejemplo de un archivo que guarda nuestras credenciales de conexión a la base de datos.

Para guardar esa información tan importante he creado un archivo db.php.ini que contiene lo siguiente:

<?php return; ?>
; credenciales
host=localhost
usuario=elusuariodeladb
clave="laclave"
dbnombre=elnombredeladb

Este archivo aplica varios niveles de seguridad:

  1. Está en una carpeta fuera del root o de public_html, por tanto no se podrá acceder a él mediante el navegador
  2. Está en una carpeta oculta .credenciales
  3. Tiene esto al principio <?php return; ?> para que, si por alguna casualidad se accede a él por URL no muestre nada.

La lectura de ese archivo, al momento de conectar a la base de datos, se hace así:

private function Connect()
    {
    /* Leer credenciales desde el  archivo ini */
        $this->credenciales = parse_ini_file(".credentials/db.php.ini");
        $dsn = 'mysql:dbname=' . $this->credenciales["dbnombre"] . 
               ';host=' . $this->credenciales["host"] . '';
        $pwd = $this->credenciales["clave"];
        $usr = $this->credenciales["usuario"];
// ... más código
}

La pregunta

¿Existen otras medidas que podrían tomarse para darle más seguridad a este archivo? ¿Cuáles serían esas medidas?

15
  • Estando fuera de la estructura accesible desde web, no veo la necesidad de esas etiquetas php, aunque, en todo caso, la extensión debería ser .php para que funcione, porque, al ser .ini (suponiendo que se pueda acceder) se mostraría el contenido como texto. La función parse_ini_file() puede leer cualquier archivo de texto con cualquier extensión, la única duda es si <?php return; ?> debería estar precedida de punto y coma o no.
    – Triby
    el 6 nov. 2017 a las 23:56
  • @Triby el archivo funciona así como lo tengo, de hecho, lo uso así para conectar a la base de datos.
    – A. Cedano
    el 6 nov. 2017 a las 23:58
  • Ok, supuse que el parser podría generar un error al no tener comentada la primera línea. Pero lo de la extensión, al ser .ini, si fuese accesible desde web, el servidor no invocará el intérprete de PHP y, por tanto, se mostraría el contenido como texto.
    – Triby
    el 7 nov. 2017 a las 0:02
  • No @Triby. Ya lo había probado, y lo probé ahora de nuevo. Si quito el código PHP es cuando se muestra el contenido del archivo, pero si le pongo el código PHP no muestra nada. Puedes hacer la prueba si quieres.
    – A. Cedano
    el 7 nov. 2017 a las 0:07
  • ¿Qué pasa si ves el código fuente en el navegador?, según las pruebas que hice hace algunos ayeres, aparecía todo, pero no se mostraba en la "vista normal" porque <?php iniciaba un HTML mal formado, convirtiéndose en una etiqueta sin cierre.
    – Triby
    el 7 nov. 2017 a las 0:10

2 respuestas 2

6

A la hora de trabajar con archivos sensibles (credenciales, archivos de configuracion, conexiones a base de datos) en un servidor web lo recomendable es que estén ubicados siempre fuera del directorio público, de forma que no se pueda acceder directamente a ellos.

Pero ¿es suficiente con poner los archivos en un directorio no público?

Obviamente no, debemos de tener en cuenta algunas recomendaciones para limitar el acceso de estos archivos por otros medios.

  • Establecer solo los permisos necesarios.
  • Evitar el uso de funciones PHP (u otros lenguajes) que puedan ejecutar código o comandos (ejmplo: eval, exec ...) y en caso de ser necesario ser muy cuidadoso.
  • Evitar utilizar rutas por defecto a los paneles de administración (ejemplo: dominio.com/cpanel).
  • Evitar o restringir el acceso ftp en producción y/o usuario por defecto o contraseñas débiles.

Esto no nos garantiza una seguridad 100% ya que un servidor se puede ver comprometido debido a otros factores.

0

Muchas gracias amigo. un gran aporte no lo sabía y se lo agradezco sinceramente. Pero me di cuenta que la extensión del archivo es ini cuando debería ser php, le comento, porque lo puse a prueba y mostraba los datos debido a que no resuelve la instrucción php y es obvio. De manera que revertí la extensión y así queda db.ini.php y listo. Al decir que a usted le funciona deduzco que a nivel de sistema (el parseo) pero no al visualizarlo en la url. Pero no se le de nada porque fíjate cuantos años y tu aporte aún de gran utilidad.

Saludos

2
  • Esto parece realmente un comentario mas que una respuesta. Con un poco mas de reputación, vas a poder comentar en cualquier lado.. Por favor mira Cómo responder
    – gbianchi
    el 23 sep. 2022 a las 0:30
  • Por favor no agregues una respuesta que diga gracias. Invierte algun tiempo en el sitio y ganaras suficiente reputación para votar a las respuestas que te gustaron. Esa es la forma de decir gracias en Stack Overflow en español.
    – gbianchi
    el 23 sep. 2022 a las 0:30

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.