Seguridad en php.ini

La seguridad del archivo php.ini es la primera línea de defensa. Exploraremos cómo ajustar parámetros cruciales para fortalecer la seguridad de tu aplicación PHP.

Entendiendo la Importancia de la Configuración Segura en php.ini

Descubre por qué la correcta configuración de php.ini es esencial para proteger tu aplicación. Profundizaremos en los parámetros clave y su impacto en la seguridad, proporcionando un sólido fundamento para el desarrollo seguro en PHP.

Configuración de Parámetros de Seguridad en php.ini: Ejemplos Prácticos

Desde ocultar mensajes de error sensibles hasta desactivar register_globals, proporcionaremos ejemplos de configuración práctica. Cada ajuste se acompaña de explicaciones detalladas, asegurando que los desarrolladores comprendan cómo y por qué implementar estas medidas de seguridad.

Ocultar errores en el entorno de producción

; Ejemplo: Desactivar display_errors en entorno de producción
display_errors = Off

; Ejemplo: Configurar error_reporting para informar solo de errores críticos
error_reporting = E_ERROR | E_PARSE

Configuración del Log de Errores

Además de ajustar display_errors y error_reporting, configurar el log de errores es crucial para el monitoreo efectivo en entornos de producción. Veamos cómo se realiza esta configuración en php.ini.

; Establecer la ubicación del archivo de registro de errores
error_log = /ruta/a/tu/archivo/error.log

; Configurar el nivel de registro para capturar errores, advertencias y mensajes
log_errors = On
error_reporting = E_ALL

Este ejemplo muestra cómo redirigir los errores a un archivo específico y configurar el nivel de registro para capturar errores, advertencias y mensajes. Mantener un registro de errores fuera del alcance público es esencial para la seguridad y la solución eficiente de problemas.

Directiva disable_functions: Ejemplo de Restricción de Funciones

La directiva disable_functions permite desactivar funciones específicas por motivos de seguridad. A continuación, un ejemplo de cómo evitar el uso de funciones peligrosas.

; Desactivar funciones peligrosas en entornos compartidos
disable_functions = eval, shell_exec, system

Aquí, hemos desactivado las funciones eval, shell_exec y system para prevenir posibles amenazas de ejecución de comandos maliciosos. Ajustar esta directiva proporciona un control adicional sobre la seguridad del servidor.

Configuración de Variables de Entorno

Es vital proteger las variables de entorno en aplicaciones PHP. Aquí hay un ejemplo de cómo configurar el php.ini para asegurar el manejo adecuado de estas variables.

; Restringir el acceso a las variables de entorno desde PHP
variables_order = "GPCS"

Este ajuste limita el acceso a las variables de entorno a solo GET, POST, COOKIE y SERVER, proporcionando un ambiente más seguro.

Configuración de Tiempo de Sesión

La gestión del tiempo de sesión es esencial para prevenir ataques de sesión. A continuación, un ejemplo de cómo ajustar la configuración de la sesión en php.ini.

; Establecer el tiempo de vida de la sesión en 30 minutos
session.gc_maxlifetime = 1800

; Limitar el tiempo de inactividad para cerrar la sesión automáticamente
session.cookie_lifetime = 1800

Este ajuste configura la vida útil de la sesión y la vida útil de la cookie para 30 minutos, reduciendo la ventana de oportunidad para ataques de sesión.

Configuración de CORS, Control de Acceso a Recursos

Para controlar el acceso a recursos desde dominios externos, puedes configurar las cabeceras CORS en php.ini.

; Habilitar CORS para permitir solicitudes desde cualquier origen
header("Access-Control-Allow-Origin: *")

; Configurar métodos permitidos y cabeceras
header("Access-Control-Allow-Methods: GET, POST, OPTIONS")
header("Access-Control-Allow-Headers: Content-Type")

Este ejemplo facilita el acceso controlado desde cualquier origen y especifica los métodos y cabeceras permitidos.

Configuración de Filtros de Datos de Entrada

Para mejorar la seguridad de la entrada de datos, puedes utilizar los filtros de datos de PHP. A continuación, un ejemplo de cómo activar y configurar estos filtros en php.ini.

; Activar los filtros de datos en todo el sistema
filter.default = full_special_chars

; Configurar opciones adicionales de filtro
filter.default_flags = FILTER_FLAG_STRIP_LOW | FILTER_FLAG_ENCODE_LOW

Este ajuste activa el filtro de datos full_special_chars en todo el sistema y configura opciones adicionales para filtrar y sanitizar datos de entrada.

Configuración de Modo Strict

Para promover la seguridad a través de la coherencia de tipos, puedes activar el modo estricto de PHP en php.ini.

; Activar el modo estricto para garantizar coherencia de tipos
declare(strict_types=1)

Este ejemplo habilita el modo estricto, lo que significa que PHP exigirá una declaración estricta de tipos en todas las funciones y métodos.

Configuración de Limites de Subida de Archivos

Prevenir ataques de carga puede lograrse estableciendo límites razonables en las cargas de archivos. A continuación, un ejemplo de cómo ajustar estos límites en php.ini.

; Limitar el tamaño máximo de archivo a 5 MB
upload_max_filesize = 5M

; Limitar el tamaño máximo de la solicitud a 10 MB
post_max_size = 10M

Estos ajustes limitan el tamaño máximo permitido para archivos cargados y el tamaño total de la solicitud, reduciendo la exposición a posibles ataques de carga.

Configuración de Desactivación de Funciones Peligrosas

Además de disable_functions, puedes desactivar funciones específicas de manera adicional.

; Desactivar funciones potencialmente peligrosas
disable_functions = exec, passthru, shell_exec

Este ejemplo añade restricciones adicionales desactivando funciones como exec, passthru, y shell_exec, reduciendo así posibles puntos de vulnerabilidad.

Configuración de Variables Globales

Limitar el uso de variables globales es crucial para prevenir posibles problemas de seguridad. Aquí tienes un ejemplo de cómo configurar php.ini para restringir el uso de variables globales.

; Restringir el uso de variables globales solo a entornos específicos y prevenir vulnerabilidades
register_globals = Off

Desactivar register_globals evita que las variables de URL o cookies se conviertan en variables globales, mitigando riesgos de seguridad asociados.

Configuración de Exposición de PHP para Ocultar Información Sensible

Para ocultar información sensible sobre la versión de PHP que estás utilizando, puedes ajustar la configuración de exposición.

; Deshabilitar la exposición de la versión de PHP
expose_php = Off

Desactivar la exposición de la versión de PHP es una medida de seguridad que dificulta a posibles atacantes identificar posibles vulnerabilidades.

Configuración de Suhosin, una Extensión de Seguridad

Si estás utilizando la extensión Suhosin para mejorar la seguridad, puedes configurar sus parámetros en php.ini.

; Configuración de Suhosin para protección adicional
suhosin.executor.disable_eval = On
suhosin.mail.protect = 2

Estos ajustes son solo un ejemplo; la configuración de Suhosin puede adaptarse a las necesidades específicas de seguridad de tu aplicación.

Optimizando la Configuración para Diferentes Entornos

Optimizar la configuración de PHP para diferentes entornos, como desarrollo, pruebas y producción, es crucial para garantizar un equilibrio entre seguridad y eficiencia en cada etapa del ciclo de vida de la aplicación. Aquí te detallo cómo puedes adaptar la configuración según cada entorno:

1. Entorno de Desarrollo:
   • En este entorno, es común tener configuraciones que faciliten la depuración y el desarrollo rápido. Por lo tanto, puedes permitir la visualización de errores (display_errors = On) y configurar un nivel de informes detallado (error_reporting = E_ALL) para identificar problemas rápidamente durante la fase de desarrollo.
   • También puedes activar funciones de desarrollo útiles, como auto_reload para reiniciar automáticamente PHP cuando se realizan cambios en el código, y habilitar extensiones necesarias para herramientas de depuración y análisis de rendimiento.
2. Entorno de Pruebas:
   • En el entorno de pruebas, es fundamental replicar de manera cercana la configuración del entorno de producción para validar la funcionalidad y la seguridad de la aplicación en un ambiente controlado. Por lo tanto, puedes desactivar la visualización de errores (display_errors = Off) para mantener la seguridad y limitar el nivel de informes a errores críticos (error_reporting = E_ERROR | E_PARSE) para enfocarte en problemas importantes.
   • Asegúrate de simular el entorno de producción lo más fielmente posible, incluyendo la configuración de seguridad y las extensiones necesarias.
3. Entorno de Producción:
   • En el entorno de producción, la seguridad y el rendimiento son prioritarios. Por lo tanto, desactiva la visualización de errores (display_errors = Off) para evitar la exposición de información sensible y limita el nivel de informes a errores críticos (error_reporting = E_ERROR) para garantizar que solo se registren los errores más importantes.
   • Deshabilita extensiones y funciones innecesarias para minimizar la superficie de ataque y mejorar el rendimiento. Por ejemplo, puedes desactivar register_globals, allow_url_fopen, y exec para prevenir vulnerabilidades conocidas y mejorar la seguridad.

Al adaptar la configuración de PHP para diferentes entornos, garantizas un equilibrio entre seguridad y eficiencia en cada etapa del desarrollo de la aplicación. Esto ayuda a identificar problemas temprano en el ciclo de vida del desarrollo, garantizar una validación efectiva en entornos de pruebas y mantener un entorno de producción seguro y optimizado.

Conclusión

Este artículo ofrece una guía completa para fortalecer la seguridad de tu aplicación PHP mediante la configuración del archivo php.ini. Con ejemplos prácticos y recomendaciones, estarás equipado para desarrollar de manera segura en cualquier entorno.