search

dounokouno / TransmitMail

Copyright表示不要のPHP製汎用メールフォームシステム
http://etc.dounokouno.com/TransmitMail/
MIT License
142 stars 48 forks source link

SMTPパスワードを保護する方法。 #98

Closed sn0wm1ku closed 2 months ago

sn0wm1ku commented 2 months ago

SMTPパスワードがconfigファイルに設置すれば、公開的になります。 https://example.com/config/config.yml にアクセスされます。

dounokouno commented 2 months ago

@sn0wm1ku 様

上記件はご指摘の通りではあるのですが、 TransmitMail 公開当初はウェブサーバーは Apache を想定しており、 config/.htaccess 似て config/ ディレクトリ以下のファイルはアクセス不可に設定していますので、 Apache であれば config/config.yml にアクセスすることはできないかと思います。

Apache 以外のウェブサーバーの場合は、上記と同様に config/ ディレクトリ以下へのアクセス拒否を行うか、 config/config.yml のパーミッションを 400 のように変更いただくことで対応可能かもしれません（未検証）。

もしよろしければ現在設置されている、または想定されているウェブサーバーの環境（ Apache や Nginx + php-fpm など）をご教示いただければ幸いです。

sn0wm1ku commented 2 months ago

想定するサーバー環境はlighttpd + fpmです。

sn0wm1ku commented 2 months ago

https://github.com/dounokouno/TransmitMail/issues/98#issuecomment-2333248867 php:alpine-fpmイメージ上にlighttpdで同じ方法もできます。 ありがとうございます。

dounokouno commented 2 months ago

@sn0wm1ku 様

php:alpine-fpmイメージ上にlighttpdで同じ方法もできます。

上記は、

config/ ディレクトリ以下へのアクセス拒否を行う

上記の設定を lighttpd で行うことができる、という意味でしょうか？

その場合、よろしければどのように設定を書くか、コメントにて共有いただくことは可能でしょうか？（他の lighttpd を使う方の参考になるかと思いますので。）

sn0wm1ku commented 2 months ago

@sn0wm1ku 様

php:alpine-fpmイメージ上にlighttpdで同じ方法もできます。

上記は、

config/ ディレクトリ以下へのアクセス拒否を行う

上記の設定を lighttpd で行うことができる、という意味でしょうか？

その場合、よろしければどのように設定を書くか、コメントにて共有いただくことは可能でしょうか？（他の lighttpd を使う方の参考になるかと思いますので。）

.htaccessでconfig/ディレトリ以下のアクセス拒否を行うことです。 lighttpd　が　.htacccess　を使えそうです。