# SECURITY-03 — Durcissement

**Date** : 2026-06-24

## 3.1 — Blocage de l'exécution PHP dans `uploads/`
- Ajout `wp-content/uploads/.htaccess` (défense en profondeur, en plus du vhost qui le faisait déjà) :
```apache
# === TLO-HARDENING (2026-06-24) ===
<FilesMatch "\.(?i:php|php3|php4|php5|php7|phtml|pht|phar)$">
    Require all denied
</FilesMatch>
```
- **Vérifié** : `.php` dans uploads → 403 ; image → 200 ; quarantine `.php` → 403 ; site → 200. `apache2ctl configtest` OK.
- **But** : un futur webshell uploadé ne pourra pas s'exécuter via HTTP direct.
  (N.B. : ne bloque pas un `include()` côté serveur depuis un autre backdoor → d'où l'importance de trouver le vecteur d'entrée.)

## Reste
- [ ] Vecteur d'entrée (faille initiale)
- [ ] Suppression définitive des `*.quarantine-*`
- [ ] Scan DB approfondi (posts/postmeta)
- [ ] Étendre éventuellement le blocage PHP à `wp-content/cache/`

## Statut : ✅ 3.1 fait