Politique .htaccess de BeamReactor #

Cette documentation décrit la politique globale .htaccess du moteur BeamReactor.

Elle ne concerne pas un plugin en particulier, mais définit le contrat de sécurité entre Apache et le moteur.

BeamReactor repose sur un principe simple :

> Apache ne doit jamais être un chemin d’exécution.

• Tout est interdit par défaut
• Seuls les fichiers explicitement statiques sont exposés
• Toute logique PHP est exécutée exclusivement via le point d’entrée du moteur
• Le filesystem n’est jamais une API

Si un fichier devient accessible par erreur, le modèle de sécurité est déjà compromis.

Les plugins peuvent contenir des ressources statiques (images, JS, CSS), mais aucune logique exécutable.

.htaccess dans plugins/ #

# Deny access to all files by default
Order Deny,Allow
Deny from all

# Allow images
<FilesMatch "\.(jpg|jpeg|png|gif|webp|svg|ico)$">
	Allow from all
</FilesMatch>

# Allow JavaScript files
<FilesMatch "\.js$">
	Allow from all
</FilesMatch>

# Allow PHP-generated JavaScript
<FilesMatch "\.js.php$">
	Allow from all
</FilesMatch>

# Optional: Allow CSS if necessary
<FilesMatch "\.css$">
	Allow from all
</FilesMatch>

# Allow web fonts
<FilesMatch "\.(woff|woff2|ttf|eot)$">
	Allow from all
</FilesMatch>

Notes importantes :

• Les fichiers .php ne sont jamais accessibles
• Les plugins sont appelés uniquement via index.php?obj=...

Le répertoire user/ contient des données runtime, jamais des endpoints.

user/ #

IndexIgnore *

user/backups/ #

Deny from all

Téléchargement uniquement via le moteur (ex. BeamReactor).

user/conf/ #

Deny from all

Configurations sensibles.

user/content/ #

IndexIgnore *

Contenu interprété par le moteur, jamais servi brut.

user/data/ #

Deny from all

Inclut :

• pages 404
• documents HTML générés
• caches

Accès strictement interne.

user/fonts/ #

IndexIgnore *

user/gallery/ #

IndexIgnore *

Images uniquement, sans listing.

user/skins/ #

IndexIgnore *

Assets de thèmes.

Ces répertoires ne doivent jamais être accessibles depuis le web :

Deny from all

• modules/
• inc/
• lib/
• rss/

Ils contiennent de la logique interne.

Les fichiers sont accessibles, mais le listing est interdit :

IndexIgnore *

• ui/
• javascript/

• Apache = serveur de fichiers statiques, rien de plus
• Un seul point d’entrée PHP
• Aucun accès direct = aucune surface d’attaque
• .htaccess est une ligne de défense critique

BeamReactor part du postulat suivant :

> Si Apache peut exécuter ou lire ce fichier, alors le moteur a déjà perdu.