Sujet plutôt sérieux car il s’agit de sécurité informatique. Un domaine qui me plaît tout particulièrement. Il est très vaste, autant vous prévenir tout de suite. Cela va de l’accès physique de locauxà la formation du personnel pour leur apprendre à ne pas mettre “azerty” en mot de passe, en passant par les alimentations redondantes et la sécurité d’une application. Bien entendu pour maTiTine nous ne traiterons pas de tous ces différents points.

Je comprends déjà votre déception. Vous qui rêviez de découvrir, enfin, la sécurisation accrue de la boîte aux lettres de Raf ainsi que l’accès biométrique du lecteur mp3 de Kef, et bien c’est raté!

Je vais traiter ici des principes simples de sécurisation d’un serveur dédié. Sachez toutefois qu’une personne (ayant un peu de moyen) qui voudra accéder à votre serveur ou le faire tomber parviendra à ses fins. Le tout étant quand même de se protéger un minimum.

Voici quelques principes/astuces que vous pouvez mettre en place facilement

• Changer les ports usuels des applications. Je prend l’exemple de SSH. Commandez un serveur chez OVH, attendez 2-3 jours et regardez les logs de connexions… Vous y observerez de nombreuses tentatives de connexions, le plus souvent des attaques de type “dictionnaire”. L’attaquant va essayer de se connecter en SSH à votre machine avec des mots de passes potentiellement utilisés.
  Modifiez maintenant le port d’écoute pour SSH (par défaut 22). Miracle, 98% des tentatives de connexions ont disparu. Faites de même si vous hébergez un serveur FTP etc.
• Se protéger des plaisantins qui continuent à faire des tentatives de connexion. Installez Fail2Ban. Ce tools s’occupera de bannir (de manière non permanente) les IPs effectuant trop de tentatives.
  Note: Si vous avez modifié les ports d’écoute des services comme indiqué au point précédent, n’oublier pas d’indiquer les nouveaux ports dans la config de Fail2Ban.
• Ne pas donner d’indice. Cela peut paraître tout bête mais par défaut Apache, pour ne citer que lui, fournit un grand nombre d’informations à une personne mal intentionnée. Comment? Avez vous déjà observé une erreur 404 non personnalisée? Ex: Apache/2.0.55 (Debian) PHP/5.1.2-1+b1 mod_ssl/2.0.55 OpenSSL/0.9.8b.
  Ca nous donne pas mal d’info tout ça. Vous pouvez très bien obtenir cette signature en tapant une adresse bidon, ou en faisant un Telnet (port 80) sur la machine. Enfin quand je dis obtenir, c’est surtout si le propriétaire de la machine a laissé la dite signature! Je vous conseil donc vivement de supprimer toute signature, ca ne sert pas a grand chose de toute façon.Vous pouvez aussi visiter http://www.netcraft.com/ et tester votre url Vous saurez tout de suite si une signature est ou a été présente!
• Modifier les urls de base de vos applis ou de votre backend. Oui car mettre mondomaine.com/admin comme partie d’administration, c’est pas ce qu’on a vu de mieux. Pareil pour PhpMyAdmin etc. C’est tout bête, mais ça ne coûte rien et ça peut vous éviter des surprises!
• Est-il nécessaire de faire un rappel sur les mots de passe? On va dire que non :D. Contentez vous de ne pas mettre votre date de naissance ou “azerty” et de diversifier le plus possible vos passwords.
• S’en suit de pleins d’autres mesures: faire attention aux droits des dossiers/fichiers, interdire toute connexion aux ports d’applications auxquels le “public” ne devrait pas avoir accès (IPTABLES vous aidera si vous êtes sous linux), monitorez votre équipement et surtout backupez le.

Je pense avoir fait à peu près le tour. Je finirai simplement par une note : adaptez la sécurité à la criticité de vos données / équipements. Votre machine pour tester une application vite fait, bon on s’en fiche un peu. Le serveur de prod ou dev, un peu moins. Il faut juste éviter de sortir le tank pour tuer la mouche à merde!

PS: pour le premier avatar, je me suis inspiré d’une, voire même 2, motos célèbres, à vous de deviner lesquelles!

Bon ok ca vaut pas un profil Myspace avec des couleurs flashy et du Cindy Sanders en musique d’accueil, mais bon!

Bref, non seulement vous pourrez y voir des mécanos sexy, mais en plus vous pourrez nous laisser une petite dédicasse! Venez nombreux, plus on est de fous, plus on rit.
Ah, on me dit que Raf n’est pas sur Facebook. J’avais oublié que Facebook n’était pas encore disponible sur Minitel…

Dommage.

Voici le lien du groupe :  Groupe maTiTine

Aujourd’hui parlons un peu d’optimisation pour le travail à plusieurs. Pour gagner en efficacité, il est important de pouvoir développer sereinement sans embêter les copains. Or, nous sommes 3 (petit rappel pour les nouveaux). Voici comment notre environnement de travail est organisé:

• Un SVN:
  • Une branche “trunk“, nous avons tous les trois accès à cette branche. C’est ce qu’on pourrait appeler “la branche principale du projet”. Elle sert principalement aux quick fix. Si un bug est découvert, il sera fixé directement sur cette branche.
  • Chacun de nous possède sa propre branche “dev” sur le svn. C’est une “copie” de la branche “trunk” mais dans laquelle nous effectuons nos développements “long”. Par exemple je travail sur une nouvelle fonctionnalité, je vais utiliser ma branche de Dev. Ainsi Kevin ou Raf ne verrons pas mes développements dans leurs branches. Je peux avoir des fichiers de configurations différents  de mes deux collègues, sans ce que cela les affecte.

• Une base MySQL dédiée. Celle ci est partagée par nous 3. De cette manière nous travaillons sur une base commune.

• Préproduction: Il n’est pas rare d’avoir des sueurs froide lors d’un commit : tout marche en local, une fois en production, c’est la cata! Pour palier à cela. Nous avons 4 préproductions surs notre serveur dédié.
  • Préproduction correspondant à la branche trunk. Permet de voir le rendu du site comme s’il était en production.
  • Préproduction correspondant au 3 branches de dev citées plus haut. Permet de tester ses développement et de les montrer aux collègues

Et la mise en prod dans tout ça ? J’y viens justement !

• Mise en production: J’ai confectionné un script (s’il peut en intéresser certains, qu’ils me demandent)  en bash. Son rôle est de faire un “diff” entre le ftp de la production (et oui, c’est le seul accès que j’ai sur l’hébergement !), et notre branche “trunk” locale. J’entends par la qu’il va s’occuper de trouver toutes les différences entre les 2 espaces distants. Ajout, suppression, modification, gestion des droits etc. Une fois ses différences détectées, il ne reste plus qu’a rendre la production identique à la préprod. Ce script a deux fonctionnalités:
• Simulation de mise en production: Le script se comporte comme s’il effectuait la mise en production, tout les opérations sont loggués dans des fichiers textes, mais aucune n’est réellement effectuée. Cela permet tout simplement de voir ce qu’il va se passer lors de la mise en prod. Un rapide coup d’oeil sur ces fichiers pour savoir si tout va bien dérouler.
• Mise en production. Étape identique à celle du dessus sauf que les opérations sont réalisés cette fois ci. Un backup de tous les fichiers modifié ou supprimé sur la prod est effectué à chaque mise en production. Pourquoi ? En cas de gros problème il m’est possible de revenir en arrière très rapidement.

Petite astuce supplémentaire. Nous pouvons passer depuis notre interface de backend le site en maintenance! Vous autres aurez droit à une belle page de maintenance. Pour nous 3, nous verrons le site comme d’habitude. Très pratique je vous assure.

Dernier point avant de clore cet article. Qui fait quoi dans tout ça? Pour éviter les problèmes, nous procédons de la manière suivante:

• Lorsqu’un développement est terminé sur notre branche de dev. Cette branche est “mixée” (merge), avec la branche “trunk” pour ensuite la mettre en production. Cette étape est exclusivement faite par Kevin et tout le monde est prévenu.
• Lors d’une mise en production, c’est moi qui m’en charge.

Mais Raf alors ? Bah Raf il compte les points… Plus sérieusement, il s’occupe d’autres trucs que Kevin et moi ne touchons pas ;).

Oui mais s’il arrive un problème sur maTiTine et que celui qui s’en occupe est en vacances !?

Nous avons un forum interne ou nous postons, entre autre, les informations sur comment marche quoi, toutes les informations techniques etc. Ça peut toujours servir un jour ou l’autre

J’espère que cet article servira à une dream team qui veut se lancer mais qui ne sait pas trop comment s’organiser pour développer !

D’un point de vue technique, le lancement s’est bien déroulé avec quelques bugs évidemment mais rapidement corrigés grâce aux efficaces retours des utilisateurs. Il semble qu’on soit tombé sur quelques fondus de voitures qui ont réussi en quelques  heures à pulvériser le karma de Kef qu’il avait pourtant patiemment fait grimper lors de la phase de tests. Le site tourne plutôt bien et on réfléchit déjà à de nouvelles fonctionnalités pour occuper notre été. En parallèle, on commence à se renseigner sérieusement sur la possibilité de créer une SARL qui pourrait donner un cadre plus formel au projet. Pour être tout à fait honnête, on s’arrache un peu les cheveux pour comprendre toutes les subtilités de la création d’entreprise! Promis, quand on aura progressé sur ce terrain là, on vous fera un petit billet récapitulatif.

Sur le site:

• quand on ajoute un plein, il est désormais possible d’indiquer le type de carburant utilisé (pour les véhicules Flex-fuel ou GPL)
• un nouveau champ qui permet d’indiquer le type de trajet réalisé avec un plein d’essence (Ville/Route ou Mixte) pour analyser plus finement sa consommation
• l’interface pour la recherche des garages a été améliorée
• le design du blog a été accordé avec le design du site
• les pages d’erreurs ont été relookées
• un début de partie communautaire a fait son apparition, elle est amenée à se développer par la suite
• la compatibilité avec Opera et IE7 est assurée

Sur l’arrière-boutique:

• l’interface d’administration a été enrichie
• les sauvegardes et les services CRON sont désormais installés sur notre serveur privé
• un petit système bien conçu permet de tester en live les dernières modifications effectuéees sur le SVN et de les déployer en un click

Sur le reste:

• on utilise enfin un vrai gestionnaire de bugs (Flyspray en l’occurrence)
• on a terminé la rédaction de notre premier communiqué de presse qui va rapidement innonder toutes la presse nationale et internationale

On en profite au passage pour remercier tous les beta-testeurs pour leur aide précieuse et leurs remarques avisées, n’hésitez pas à continuer à nous remonter les bugs que vous rencontrerez et à nous faire part de vos suggestions. De notre côté, on va maintenant se concentrer sur la communication pour essayer de faire parler de maTiTine tous azimuts! Y a du pain sur la planche!

L’infrastructure :

Comme expliqué précédemment, un des challenges de ce dernier mois était de déployer notre propre environnement de développement et de sauvegarde. Pourquoi ? Tout simplement pour maîtriser un peu plus notre projet. Recourir à des services gratuits est très intéressant au début, mais ne peut s’envisager dans le cadre d’un service professionnel.

Quelques exemples:

• Notre serveur SVN, indispensable pour travailler à plusieurs. Gracieusement hébergé par OpenSVN, il devenait un peu trop léger… Assez souvent en rade, pas vraiment rapide.
• La base de données de dev : hébergée par une connaissance
• Le service de cron : hébergé par un service gratuit

Bref pleins de petits service pas très gourmands mais néanmoins indispensables. Nous avons donc opté pour la location d’ un serveur privé virtuel car même un serveur dédié lowcost type Dedibox ou Kimsufi était largement surdimensionné par rapport à nos besoins. Deux offres qui ont retenu notre attention:

• Gandi : Equivalent d’un Celeron, 256mo de ram, 5go d’espace disque et quelques mbit/s de bande passante. 6€ HT /mois
• Ovh : Celeron 1.2ghz, 512mo de ram, 10go d’espace de stockage et 100mbit/s de bande passante. Le tout pour 9.99€ HT/mois

Ovh étant spécialisé dans l’hébergement et l’offre de Gandi traînant depuis pas mal de temps en version bêta nous nous sommes tournée vers celle d’Ovh. Le service est suffisant pour nos besoins même si des problèmes d’accès disque réseau plombent un peu les performances. Grosse applis attention (mais qui irait mettre une grosse application sur une machine pareille ?). Ces problèmes sont en cours de résolution chez Ovh. Une fois la machine payée (et livrée plutot rapidement, comptez 1 journée voire moins) j’ai pu faire un peu joujou avec la bestiole.

Voilà les services installés :

• Environnement LAMP (Linux, Apache, MySQL et PHP)
• SVN en HTTPS
• Serveur FTP
• Cron pour lancer des taches à heures régulières sur MaTiTine
• Différents backups de MaTiTine

Tout ça tourne très bien. La bande passante monte à 11mo/s en téléchargeant sur un ftp free.fr, et le lien entre Infomaniak (notre hébergeur situé en Suisse) et le RPS tourne à 2.5 mo/s environ, le tout en journée, ce qui reste très correct.

Donc pour ceux qui ont de petits besoins pour développer un (ou plusieurs) projet(s), vous pouvez vous tourner vers ce genre de service. Ce n’est pas très cher, performant et plutôt fiable (j’espère que ça va durer :)) .

L’optimisation :

Point important du projet, l’optimisation du site. En effet même si pour l’instant la charge reste minime, nous ne sommes pas à l’abri d’une grosse montée en charge (et on espère que ça va arriver :D). Dans ces moments, une bonne optimisation des requêtes permettra de gérer un peu mieux le flot d’utilisateurs (sans pour autant éviter que le serveur tombe si la charge est vraiment démesurée).
C’est pour cela que Kef a mis en place un système de cache pour le calcul des statistiques des utilisateurs et des véhicules. Il y’a déjà une gestion de cache faite par Infomaniak, mais nous avons encore poussé la chose un peu plus loin :).
Notre système de cache évite donc de recalculer à chaque visite d’une page, les statistiques qui y sont présentes. Celle-ci ne sont recalculées que toutes les 24h, ou si une modification à été faite sur ces données. Ainsi, en cas de grosse montée en charge, ce système permettra d’alléger un peu le serveur :).

Voilà, j’ai fini mon petit billet sur quelques aspects techniques de MaTiTine et retourne mettre les mains dans le cambouis.