Bonnes pratiques de sécurité des sessions
Empêcher la fixation et le détournement de session grâce à la régénération et aux indicateurs de sécurité.
Bonnes pratiques de sécurité des sessions est une leçon PHP Academy gratuite sur CoddyKit. Ceci est la leçon 2 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage PHP Academy, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours PHP Academy comprend 4 leçons au total.
Attaque par fixation de session
Un attaquant incite un utilisateur à utiliser un ID de session qu’il connaît déjà, puis détourne la session après la connexion.
Prévenir la fixation : session_regenerate_id()
Après toute modification des privilèges (connexion, changement de rôle), générez un nouvel ID de session tout en conservant les données de session existantes.
<?php
session_start();
// After successful login:
session_regenerate_id(true); // true = delete old session file
$_SESSION["user_id"] = $userId;Détournement de session
Un attaquant vole l'ID de session en écoutant le réseau, en exploitant XSS ou en profitant d'une fuite dans les journaux. Réduisez ce risque avec HTTPS, des cookies HttpOnly et l'empreinte du navigateur.
session.cookie_httponly
Empêchez JavaScript de lire le cookie de session — cela bloque la plupart des vols de session fondés sur XSS.
<?php
ini_set("session.cookie_httponly", 1);
session_start();session.cookie_secure
Marquez le cookie de session comme sécurisé afin qu'il ne soit envoyé que via HTTPS.
<?php
ini_set("session.cookie_secure", 1);
session_start();session.cookie_samesite
Définissez SameSite sur Strict ou Lax pour empêcher les attaques CSRF qui utilisent le cookie de session.
<?php
ini_set("session.cookie_samesite", "Strict");
session_start();Liaison à l'agent utilisateur
Stockez l'agent utilisateur dans la session lors de la connexion, puis vérifiez-le à chaque requête pour détecter un détournement.
<?php
if (!isset($_SESSION["ua"])) {
$_SESSION["ua"] = $_SERVER["HTTP_USER_AGENT"];
} elseif ($_SESSION["ua"] !== $_SERVER["HTTP_USER_AGENT"]) {
session_destroy();
die("Session invalid");
}Délai d'expiration de session
Mettez en place des délais d'expiration fondés sur l'activité — déconnectez automatiquement les utilisateurs inactifs.
<?php
$timeout = 1800;
if (isset($_SESSION["last_active"]) &&
time() - $_SESSION["last_active"] > $timeout) {
session_destroy();
header("Location: /login");
exit;
}
$_SESSION["last_active"] = time();session.use_strict_mode
Activez le mode strict afin que le serveur rejette les ID de session non reconnus — cela empêche la fixation de session par injection dans l'URL.
<?php
ini_set("session.use_strict_mode", 1);
session_start();Gestionnaires de session personnalisés
Stocker les sessions dans Redis ou une base de données permet d'invalider de manière centralisée toutes les sessions d'un utilisateur et de surveiller les sessions actives.
Régénération périodique
Même pendant une longue session authentifiée, régénérez l'ID de session toutes les 15 à 30 minutes afin de réduire le risque de vol du jeton.
Résumé
À faire systématiquement : utilisez HTTPS, activez les indicateurs HttpOnly+Secure+SameSite, appelez session_regenerate_id(true) après la connexion, mettez en place des délais d'expiration après inactivité et utilisez le mode strict.
Vérification rapide
Que fait session_regenerate_id(true) ?
Questions Fréquemment Posées
La leçon « Bonnes pratiques de sécurité des sessions » est-elle gratuite ?
Oui — le texte complet de « Bonnes pratiques de sécurité des sessions » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours PHP Academy, passe à CoddyKit PRO. Le cours PHP Academy comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Bonnes pratiques de sécurité des sessions » ?
Empêcher la fixation et le détournement de session grâce à la régénération et aux indicateurs de sécurité. Tu pratiques PHP Academy avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer PHP Academy ?
Aucune expérience préalable n'est requise. PHP Academy sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 2 sur 4.
Combien de temps prend la leçon « Bonnes pratiques de sécurité des sessions » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon PHP Academy ?
Oui. Chaque leçon PHP Academy inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Démarrer et utiliser des sessions
- Bonnes pratiques de sécurité des sessions
- Définir et lire des cookies
- Sécurité des cookies : indicateurs HttpOnly et Secure