Défense en profondeur. Prête à l’emploi.
Chaque client reçoit son propre utilisateur Linux, un pool PHP-FPM dédié et des répertoires isolés. Plus le pare-feu nftables, fail2ban et une gestion propre des secrets.
Sécurité au niveau OS, pas seulement dans le panneau.
enconf isole les clients sur plusieurs couches. Un processus PHP compromis ne peut pas lire un autre client — c’est de l’architecture, pas une fonctionnalité.
- Utilisateur Linux par client
- Pool PHP-FPM par client
- open_basedir + disable_functions
- nftables + fail2ban
- open_basedir + disable_functions
- ProFTPD chroot
Sécurité sur toutes les couches
D’Unix DAC à AppArmor — défense multicouche sans configuration manuelle.
Isolation client (utilisateur Linux)
Chaque client obtient son propre UID/GID, ses propres répertoires avec 0710 user:www-data.
Pool PHP-FPM par client
PHP s’exécute avec l’identité du client, open_basedir + disable_functions.
Pare-feu nftables
Default-deny et filtre GeoIP par pays pour IPv4 & IPv6 — en mode blocage ou autorisation, continents et zones entiers (UE, DACH, UE+CH+UK) en un clic. Liste d’autorisation pour les bots des moteurs de recherche, règles modifiables avec plusieurs IP, blocage SMTP sortant — et Let’s Encrypt reste toujours accessible.
fail2ban
Protection contre le brute-force pour SSH, FTP, mail, connexion au panneau.
Protection des uploads
Bloque l’exécution PHP dans les répertoires d’upload — ferme le schéma de piratage WordPress le plus courant.
Hygiène des secrets
Secrets du panneau réservés à root (0600). Le PHP client ne peut pas lire JWT_SECRET.
WAF (ModSecurity/OWASP CRS)
Bloque les injections SQL, XSS et le path traversal au niveau Nginx — activable par site, sans effet sur les autres clients.
Conseiller de sécurité dans le panneau
Audit continu de toutes les couches de sécurité avec score, problèmes et correction en un clic.
En détail
- Utilisateur Linux + UID/GID par client
- Pool PHP-FPM par client
- open_basedir + disable_functions
- /tmp par client (0700)
- Webroot 0710 user:www-data
- nftables : règles modifiables, plusieurs IP par règle, blocage SMTP sortant
- fail2ban pour SSH/FTP/mail/panneau
- Filtre GeoIP par pays : blocage/autorisation, continents et zones, allowlist de bots
- Blocage PHP sur chemins d’upload Nginx
- ProFTPD chroot ~
FAQ
Un site piraté peut-il accéder à un autre site sur le même serveur ?
Non. Chaque site s’exécute sous son propre utilisateur Linux avec son propre pool PHP-FPM, son propre open_basedir et sa propre racine web en 0710 — techniquement séparé de tous les autres clients sur le même serveur.
Puis-je bloquer les visiteurs de certains pays ?
Oui, via le pare-feu nftables avec filtre GeoIP pour IPv4 et IPv6 — des continents entiers ou des zones comme l’UE ou la région DACH peuvent être bloqués ou autorisés en un clic, avec une liste blanche pour les robots des moteurs de recherche.
Comment enconf protège-t-il contre les attaques par force brute ?
fail2ban surveille SSH, FTP, la messagerie et la connexion au panneau, et bloque automatiquement les attaquants après plusieurs échecs.
Un site peut-il lire le JWT_SECRET ou d’autres secrets du panneau ?
Non. Les secrets du panneau sont en 0600, lisibles uniquement par root — le processus PHP d’un client n’y a aucun accès.
Une sécurité qui fonctionne par architecture.
14 jours d’essai gratuit · Sans carte de crédit · Made in Germany
Voir les tarifs →