mbcrypt

Identifier la version de PHP et le mode TS/NTS

Depuis une invite de commandes :

Copier la dll correspondante dans ext\

Exemple pour PHP 8.3 en mode TS :

Activer l'extension dans php.ini

Vérifier le chargement

La sortie de --ri doit afficher AES-256-GCM => enabled.

L'extension est bien chargée

php -m | findstr mbcryptload (Windows) / php -m | grep mbcryptload (Linux)

Le mode AES-256-GCM est actif

Doit afficher AES-256-GCM => enabled. En son absence, l'extension n'a pas été compilée avec le support OpenSSL : seul le mode XOR sera disponible.

Chiffrer puis déchiffrer un fichier de test

mbcrypt -p "test-2026" -o demo.encrypted.php demo.php
php -r 'mbcryptload_set_password("test-2026"); require "demo.encrypted.php";'

Le script doit s'exécuter normalement, comme s'il n'avait jamais été chiffré.

Vérifier le rejet d'un mauvais mot de passe

Avec un mot de passe incorrect, le require doit échouer explicitement (erreur d'authentification GCM), et ne jamais exécuter silencieusement un contenu corrompu ou vide.

Sauvegarde complète, avec vérification d'intégrité

Archiver l'application entière avant toute modification, puis vérifier que le nombre de fichiers dans l'archive correspond exactement au nombre de fichiers sur disque. Cette sauvegarde devient la seule copie en clair du code une fois le chiffrement effectué : la conserver hors du DocumentRoot.

Test sur un fichier isolé avant le traitement en masse

Chiffrer une copie d'un seul fichier, vérifier la présence du tag MB_ENC_V3 en tête de fichier, puis confirmer qu'il s'exécute correctement avec le mot de passe attendu, avant de lancer quoi que ce soit sur l'ensemble du code.

Chiffrement en place, fichier par fichier, toujours de façon atomique

Ne jamais écraser directement un fichier source par la commande de chiffrement elle-même. Chiffrer vers un fichier temporaire dans le même dossier, restaurer explicitement propriétaire et permissions d'origine (un mv ne les préserve pas), puis mv atomique par-dessus l'original (même principe que pour la mise à jour d'un .so ci-dessus).

MBCRYPT="/chemin/vers/mbcrypt"
PASSWORD="mot-de-passe"

find app/ routes/ -name "*.php" -print0 | while IFS= read -r -d '' f; do
  owner=$(stat -c '%U:%G' "$f"); mode=$(stat -c '%a' "$f")
  tmp="$(dirname "$f")/.$(basename "$f").tmp"
  "$MBCRYPT" -p "$PASSWORD" -o "$tmp" "$f" || { echo "ECHEC: $f"; rm -f "$tmp"; continue; }
  head -c9 "$tmp" | grep -q "MB_ENC_V3" || { echo "TAG INVALIDE: $f"; rm -f "$tmp"; continue; }
  chown "$owner" "$tmp"; chmod "$mode" "$tmp"
  mv "$tmp" "$f"
done

Un fichier déjà chiffré est ignoré automatiquement par mbcrypt (protection anti double-chiffrement intégrée) : relancer le script sur un dossier partiellement traité ne présente aucun risque.

Vider les caches applicatifs et recharger

Vider tout cache de configuration/routes/vues de l'application, puis redémarrer le pool PHP-FPM concerné : indispensable si l'opcache tourne avec validate_timestamps désactivé en production.

Vérification, dans l'ordre

Tag MB_ENC_V3 présent sur tous les fichiers ciblés, puis une commande qui charge réellement les classes chiffrées (pas seulement une vérification de syntaxe), puis le site réel en HTTP, puis tout worker en file d'attente redémarré à froid, pour prouver le rechargement depuis le disque et pas seulement la mémoire d'un process déjà démarré avant le chiffrement.