====== Repositories ======
==== DotDeb pour PHP7 ====
''DotDeb était utile sous Debian Jessie, pour avoir accès à PHP7. PHP7 étant de base dans les repos de Debian Stretch, plus aucun utilité d'utiliser DotDeb. Pour l'instant, donc je laisse tout de même le paragraphe.''
<code bash>
wget https://www.dotdeb.org/dotdeb.gpg -O- | apt-key add -
nano /etc/apt/sources.list.d/dotdeb.list
</code>
Pour la totalité des packages disponibles chez dotdeb :
<code bash /etc/apt/sources.list.d/dotdeb.list>
deb http://packages.dotdeb.org jessie all
deb-src http://packages.dotdeb.org jessie all
</code>

==== MariaDB officiel pour version 10.2 ====
Via : [[https://mariadb.com/kb/en/mariadb/installing-mariadb-deb-files/]]\\
''MariaDB 10.1 est intégré aux repos Debian Stretch par défaut, plus besoin de passer par les repos officielles MariaDB. par contre, si l'on souhaite utiliser la version 10.2 en avance, on peut y revenir :''
<code bash>
apt-key adv --recv-keys --keyserver keyserver.ubuntu.com 0xcbcb082a1bb943db
nano /etc/apt/sources.list.d/mariabd.list
</code>
Avec l'utilisation du miroir CNRS :
<code bash /etc/apt/sources.list.d/mariabd.list>
deb [arch=i386,amd64] http://ftp.igh.cnrs.fr/pub/mariadb/repo/10.2/debian stretch main
deb-src http://ftp.igh.cnrs.fr/pub/mariadb/repo/10.2/debian stretch main
</code>
On met à jour les sources, et on installe :
<code bash>apt-get update
apt-get install mariadb-server</code>
**mysql_secure_installation** fonctionne aussi avec MariaDB.
====== Installation : Apache ======
<code bash>apt-get install apache2</code>
====== Installation : MariaDB ======
<code bash>apt-get install mariadb-client-10.1 mariadb-server-10.1 mariadb-common</code>
Sachant que les aliases suivant marchent encore, mais installent bien ''MariaDB'', pas ''MySQL'' :
<code bash>apt-get install mysql-server mysql-client</code>
On sécurise la base directement :
<code bash>mysql_secure_installation</code>
====== Installation : PHP7 ======
Tout plein de packages avec :
<code bash>apt-get install memcached libapache2-mod-php7.0 php7.0 php7.0-apcu php7.0-bz2 php7.0-cli php7.0-common php7.0-curl php7.0-gd php7.0-geoip php7.0-imagick php7.0-imap php7.0-intl php7.0-json php7.0-mbstring php7.0-mcrypt php7.0-memcached php7.0-mysql php7.0-opcache php7.0-pgsql php7.0-pspell php7.0-readline php7.0-recode php7.0-redis php7.0-snmp php7.0-sqlite3 php7.0-ssh2 php7.0-tidy php7.0-xml php7.0-xmlrpc php7.0-xsl php7.0-zip</code>
===== Tweaks =====
Dans le fichier de configuration ''php.ini'' qui va bien :
  * ''expose_php=Off'' pour masquer la version de PHP dans les headers.
===== Installer PHP 7.1 et 7.2 =====
Pour ''Debian Stretch'', on passera par :
  * Pour ''PHP 7.1'', https://www.noobunbox.net/serveur/auto-hebergement/installer-php-7-1-sous-debian-et-ubuntu ou https://www.chris-shaw.com/blog/how-to-install-php-7.1-on-debian-8
  * Pour ''PHP 7.2'', https://www.chris-shaw.com/blog/installing-php-7.2-on-debian-8-jessie-and-debian-9-stretch
Pour ''Alpine Linux 3.7'' (fourni de base avec ''PHP 7.1'' déjà), l'on a aussi le choix pour passer à ''PHP 7.2'' :
  * Passer par les dépôts Edge,
  * Utiliser les dépôts proposés ici : https://github.com/codecasts/php-alpine
====== Apache : Customisation======
On ajoute une ligne au fichier de configuration d'Apache :
<code bash>nano /etc/apache2/apache2.conf</code>
<code bash /etc/apache2/apache2.conf>Include custom.conf</code>
On édite ensuite notre fichier de configuration ''custom.conf'' :
<code bash>nano /etc/apache2/custom.conf</code>
<code bash /etc/apache2/custom.conf>ServerTokens Prod
ServerSignature Off
HostnameLookups Off
TraceEnable Off #Si pas déjà mis en place dans /etc/apache2/conf-enabled/security.conf</code>
====== Apache : Modules ======
Lister les modules actifs :
<code bash>apachectl -M</code>
Activer un module : ''a2enmod <module>''\\
Désactiver un module : ''a2dismod <module>''
<code bash>a2enmod cache expires headers rewrite setenvif ssl proxy_fcgi</code>
==== mod_limitipconn : limiter les connexions avec ====
On se rend sur [[http://dominia.org/djao/limitipconn2.html]] et on télécharge la dernière version :
<code bash>wget http://dominia.org/djao/limit/mod_limitipconn-0.24.tar.bz2</code>
On installe les prérequis pour la build :
<code bash>apt-get install build-essential apache2-dev</code>
On extrait le package téléchargé, on se rend dans le bon dossier :
<code bash>tar xavf mod_limitipconn-0.24.tar.bz2
cd mod_limitipconn-0.24</code>
On édite le ''Makefile'' pour changer la ligne ''APXS=apxs'' en ''APXS=apxs2'' :
<code bash>sed -i 's/APXS=apxs/APXS=apxs2/' Makefile</code>
Enfin on compile :
<code bash>make install</code>
Fichier de chargement du module :
<code bash>nano /etc/apache2/mods-available/limitipconn.load</code>
On vérifie qu'il contient bien comme première ligne ''ExtendedStatus On'' sinon on l'ajoute :
<code bash /etc/apache2/mods-available/limitipconn.load>ExtendedStatus On
LoadModule limitipconn_module /usr/lib/apache2/modules/mod_limitipconn.so
</code>
Fichier de configuration du module (Doc du module : [[http://dominia.org/djao/limitipconn2-README]]) :
<code bash>nano /etc/apache2/mods-available/limitipconn.conf</code>
Exemple :
<code bash /etc/apache2/mods-available/limitipconn.conf>
<IfModule mod_status.c>
  ExtendedStatus On
  <IfModule mod_limitipconn.c>
            <Location /files>
                MaxConnPerIP 2
            </Location>

            NoIPLimit images/*

            OnlyIPLimit audio/mpeg video

            ErrorDocument 503 "2 files limit, thanks."
    </IfModule>
</IfModule>
</code>
et finalement on active le module (dépend du module ''status'', on active aussi donc) :
<code bash>a2enmod limitipconn status</code>
==== mod_proxy ====
''mod_proxy'' : [[http://httpd.apache.org/docs/trunk/fr/mod/mod_proxy.html|Documentation]]
==== mod_pagespeed ====
''mod_pagespeed'' : [[https://developers.google.com/speed/pagespeed/module/|Documentation]]\\
Installation : 
<code bash>wget https://dl-ssl.google.com/dl/linux/direct/mod-pagespeed-stable_current_amd64.deb
dpkg -i mod-pagespeed-stable_current_amd64.deb
apt-get -f install
service apache2 restart</code>
==== mod_status ====
''mod_status'', pour suivre la charge et les statistiques d'Apache.\\
Plus d'informations [[http://www.tecmint.com/monitor-apache-web-server-load-and-page-statistics/|ici]] sur l'installation et la documentation.
==== mod_expires ====
<code bash>nano /etc/apache2/custom.conf</code>
<code bash /etc/apache2/custom.conf>
[...]
<IfModule expires_module>
    ExpiresActive On
    ExpiresByType image/jpg "access plus 1 month"
    ExpiresByType image/jpeg "access plus 1 month"
    ExpiresByType image/gif "access plus 1 month"
    ExpiresByType image/png "access plus 1 month"
    ExpiresByType text/css "access plus 1 month"
    ExpiresByType application/pdf "access plus 1 month"
    ExpiresByType text/x-javascript "access plus 1 month"
    ExpiresByType image/x-icon "access plus 1 month"
    ExpiresDefault "access plus 2 days"
</IfModule>
</code>
==== mod_headers ====
<code bash>nano /etc/apache2/custom.conf</code>
<code bash /etc/apache2/custom.conf>
[...]
<IfModule headers_module>
    Header always set Content-Security-Policy "default-src https: data: 'unsafe-inline' 'unsafe-eval'"
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    Header always set Referrer-Policy "unsafe-url"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Download-Options noopen; 
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set X-Permitted-Cross-Domain-Policies none
    Header always set X-Robots-Tag "index,follow,noarchive"
    Header always set X-Xss-Protection "1; mode=block"
    #Ajout cookies en secure
    Header set Set-Cookie HttpOnly;Secure
    #Si on veut supprimer la mention à Apache
    Header unset X-Powered-By
</IfModule>
</code>
====== Apache : mod event MPM et PHP-FPM ======
On installe les paquets dont on a besoin :
<code bash>#apache2-mpm-event plus dispo
apt-get install php7.0-fpm</code>
On nettoie Apache de ses modules inutiles :
<code bash>a2dismod mpm_prefork php7.0</code>
On désinstalle le module PHP :
<code bash>apt-get purge libapache2-mod-php7.0</code>
On active le mode ''event'' :
<code bash>a2enmod mpm_event</code>
Pour que PHP soit pris en compte, le module Apache ''proxy_fcgi'' doit être activé, si pas déjà activé plus haut :
<code bash>a2enmod proxy_fcgi</code>
On relance Apache :
<code bash>service apache2 restart</code>
On vérifie que le fichier de configuration PHP-FPM existe bien :
<code bash>nano /etc/apache2/conf-available/php7.0-fpm.conf</code>
<code bash /etc/apache2/conf-available/php7.0-fpm.conf># Redirect to local php-fpm if mod_php is not available
<IfModule !mod_php7.c>
<IfModule proxy_fcgi_module>
    # Enable http authorization headers
    <IfModule setenvif_module>
    SetEnvIfNoCase ^Authorization$ "(.+)" HTTP_AUTHORIZATION=$1
    </IfModule>

    <FilesMatch ".+\.ph(p[3457]?|t|tml)$">
        SetHandler "proxy:unix:/run/php/php7.0-fpm.sock|fcgi://localhost"
    </FilesMatch>
    <FilesMatch ".+\.phps$">
        # Deny access to raw php sources by default
        # To re-enable it's recommended to enable access to the files
        # only in specific virtual host or directory
        Require all denied
    </FilesMatch>
    # Deny access to files without filename (e.g. '.php')
    <FilesMatch "^\.ph(p[3457]?|t|tml|ps)$">
        Require all denied
    </FilesMatch>
</IfModule>
</IfModule>
</code>
Si tout ok, on la valide :
<code bash>a2enconf php7.0-fpm</code>
On relance Apache (encore) :
<code bash>service apache2 restart</code>

====== Apache : SSL ======
Voir : [[selfhosted:setup:4-lets-encrypt#apache|Let's Encrypt & Certbot]] pour les configurations des vhosts.\\
Pour la configuration globale, ajouter :
<code bash>nano /etc/apache2/custom.conf</code>
<code bash /etc/apache2/custom.conf>
[...]
    # Mozilla : OCSP Stapling, only in httpd 2.3.3 and later
    SSLUseStapling on
    SSLStaplingResponderTimeout 5
    SSLStaplingReturnResponderErrors off
    SSLStaplingCache shmcb:/var/run/ocsp(128000)
</code>
''Include ssl.conf'' dans les vhost demandant SSL :
<code bash>nano /etc/apache2/ssl.conf</code>
<code bash /etc/apache2/ssl.conf>
# Adaptation de l'ancienne config auto fournie par Let's Encrypt
SSLEngine on

SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
SSLHonorCipherOrder     on
SSLCompression          off

SSLProxyEngine On
SSLVerifyClient none

SSLOptions +StrictRequire

#Header edit Set-Cookie (?i)^(.*)(;\s*secure)??((\s*;)?(.*)) "$1; Secure$3$4"
#SSLDHParametersFile "/etc/ssl/private/dhparams.pem"
</code>
Et la redirection ''http'' vers ''https'' dans les vhosts, ici à l'aide du mod ''rewrite'' :
<code bash>
RewriteEngine on
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [L,QSA,R=permanent]
</code>
Ou bien simplement avec une ''redirection 301'' permanente :
<code bash>Redirect permanent / https://example.com/</code>
====== Apache : HTTP2 ======
<code bash>apt-get install openssl libssl-dev</code>
Pour vérifier la disponibilité, la commande ''apachectl -v'' doit renvoyer une version supérieure à ''2.4.17''.\\
\\
On va enfin activer ''http2'' sur nos sites, via les ''VirtualHost'' :
<code bash>
<VirtualHost *:443>
    Protocols h2 http/1.1
    [...]
</VirtualHost></code>
On active le mod :
<code bash>a2enmod http2</code>
Enfin, on relance apache :
<code bash>service apache2 restart</code>
Et on va tester son site sur [[https://tools.keycdn.com/http2-test]] par exemple.
====== Apache : Custom errors ======
Dans un fichier de vhost, définir l'autorisation au minimum à ''AllowOverride FileInfo'', ou ''AllowOverride All'' pour tout autoriser par les fichiers ''.htaccess''.\\
On édite ensuite le ''.htaccess'' voulu, et on lui ajoute une ligne :
<code bash>ErrorDocument ErrorCode Action</code>
Par exemple :
<code bash>ErrorDocument 404 /errors/404.html</code>
====== Apache : Reverse Proxy simple ======
A défaut d'utiliser Apache comme reverse proxy, on peut passer par :
  * Nginx,
  * [[https://traefik.io|Traefik]],
  * [[https://caddyserver.co|Caddy]]
On active le mod, et on redémarra Apache :
<code bash>a2enmod proxy_http
service apache2 restart</code>
On édite le fichier du vhost qui va avoir le rôle de proxy :
<code bash>nano /etc/apache2/sites-available/proxy</code>
<code bash  /etc/apache2/sites-available/proxy>
<VirtualHost *:443>
    # Pour relayer du https self-signed
    RequestHeader set X-Forwarded-Proto "https" early
    SSLProxyEngine on
    SSLProxyVerify none
    SSLProxyCheckPeerCN off
    SSLProxyCheckPeerName off
    SSLProxyCheckPeerExpire off

    ProxyPreserveHost On
    ProxyRequests off
    # Exemple pour un serveur Proxmox, sur port 8006
    ProxyPass / https://37.65.17.232:8006/ Keepalive=On
    ProxyPassReverse / https://37.65.17.232:8006/ Keepalive=On

    ServerName my.domain.tld
    [...]
</VirtualHost>
</code>
Enfin, on active le site et on relance Apache :
<code bash>a2ensite proxy
service apache2 reload</code>

==== Bonus : petit load-balancing ====
Fichier vhost :
<code bash><Proxy balancer://mycluster>
    # Serveur 1
    BalancerMember http://10.0.1.10:8080/

    # Serveur 2
    BalancerMember http://10.0.1.11:8080/
</Proxy>

<VirtualHost *:*>
    # Appel vers le cluster de serveurs créé plus haut
    ProxyPass / balancer://mycluster
</VirtualHost>
</code>
====== Apache : Custom index avec h5ai ======
Site officiel : [[https://larsjung.de/h5ai/]]\\
On se place dans le dossier racine du vhost voulu :
<code bash>cd /var/www/my.domain.tld/</code>
On télécharge la dernière version en date :
<code bash>wget https://release.larsjung.de/h5ai/h5ai-0.29.0.zip</code>
On décompresse le tout :
<code bash># installation de zip/unzip au besoin
apt-get install zip unzip
unzip h5ai-0.29.0.zip
# et on supprime l'archive devenue inutile :
rm h5ai-0.29.0.zip</code>
On met en place la possession des fichiers si installé avec un autre utilisateur que celui qui gère Apache :
<code bash>chown -R www-data:www-data /var/www/my.domain.tld/_h5ai/</code>
On teste dans un navigateur que tout est ok avec l'url ''my.domain.tld/_h5ai/public/index.php'', on change le password par défaut comme indiqué.\\
Pour définir h5ai comme index par défaut, on ajoute la ligne suivante au fichier ''/etc/apache2/custom.conf'' :
<code bash /etc/apache2/custom.conf>DirectoryIndex  index.html  index.php  /_h5ai/public/index.php</code>
Doit écraser l'attribut ''DirectoryIndex'' déjà déclaré, soit dans ''apache2.conf'' ou bien ''/etc/apache2/mods-available/dir.conf''
====== Fichiers de configuration ======
Configuration PHP ''php.ini'' :
<code bash>nano /etc/php/7.0/fpm/php.ini</code>
<code bash /etc/php/7.0/fpm/php.ini>
[...]</code>
PHP-FPM pool config :
<code bash>nano /etc/php/7.0/fpm/pool.d/www.conf</code>
<code bash /etc/php/7.0/fpm/pool.d/www.conf>
[...]</code>
MariaDB :
Voir : [[linux:db:mysql-mariadb#les_options_qui_vont_bien|Les options MySQL/MariaDB]]
<code bash>nano /etc/mysql/my.cnf</code>
<code bash /etc/mysql/my.cnf>
[mysqld]
# Prérequis Nextcloud, si besoin
binlog-format=mixed
[...]
max_allowed_packet = 64M
[...]
table_open_cache = 2000
table_definition_cache =  2000
</code>
Fichier ''custom.conf'' final pour Apache :
<code bash /etc/apache2/custom.conf>
ServerTokens Prod
ServerSignature Off
HostnameLookups Off
TraceEnable Off

ServerName my.domain.tld

<IfModule headers_module>
    Header always set Content-Security-Policy "default-src https: data: 'unsafe-inline' 'unsafe-eval'"
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    Header always set Referrer-Policy "unsafe-url"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Download-Options noopen;
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set X-Permitted-Cross-Domain-Policies none
    Header always set X-Robots-Tag "index,follow,noarchive"
    Header always set X-Xss-Protection "1; mode=block"
    #Ajout cookies en secure
    Header set Set-Cookie HttpOnly;Secure
    #Si on veut supprimer la mention à Apache
    Header unset X-Powered-By
</IfModule>

# Mozilla : OCSP Stapling, only in httpd 2.3.3 and later
SSLUseStapling on
SSLStaplingResponderTimeout 5
SSLStaplingReturnResponderErrors off
SSLStaplingCache shmcb:/var/run/ocsp(128000)</code>

====== Connaître le fichier de configuration utilisé par PHP ======
Avec PHP : 
<code bash>
php -i | grep "Loaded Configuration File"
</code>
Avec PHP-FPM(7) : 
<code bash>
php-fpm(7) -i | grep "Loaded Configuration File"
</code>
====== Documentation supplémentaire ======
  * https://www.maketecheasier.com/securing-apache-ubuntu/
  * https://github.com/gregrickaby/The-Perfect-Apache-Configuration/blob/master/http.conf
  * https://wiki.evolix.org/HowtoPHP
====== Aller plus loin avec Apache et Nginx ======
  * Apache : [[system/linux/debian/5.1-apache]]
  * Nginx : [[system/linux/debian/5.2-nginx]]