Um problema que atormenta a vida de quem trabalha programando em PHP é a facilitar como seus códigos fontes podem ser vistos, copiados, manipulados por terceiros. É comum você ser contratado por um cliente para desenvolver uma aplicação web. Depois de um tempo você descobre que este cliente contratou outro programador e este programador modificou suas aplicações ou mesmo copiou seu código para criar outros sistemas.

Isto pode ser resolvido tornando os códigos texto do seu PHP em códigos ilegíveis através de uma criptografia.

Existem soluções que exigem um preparo específico do servidor para rodar. Nem todo servidor de hospedagem é compatível. Vamos falar aqui de uma solução mais simples que vai evitar que seus códigos sejam usados por terceiros em 90% dos casos. Você tornará o trabalho do pirata bem complicado. E como piratas não gostam de complicação é provável que ele não perderá tempo com seus códigos.

O serviço de criptografia dos fontes do seu PHP é oferecido gratuitamente pelo site http://sourcelock.biz/encode-free. Eles oferecem o serviço online limitado para arquivos com até 1MB. Para quem precisa de recursos mais avançados ou precisa encriptar fontes maiores existe um software que pode ser comprado no site deles. A vantagem do software pago é que permite limitar o uso do seu PHP a um determinado número IP ou domínio. Assim quando você vender um PHP para um cliente pode instalar em um determinado servidor para funcionar sobre um único domínio. Se o cliente copiar o seu PHP e colocar em outro domínio ele não funcionará corretamente.

É um investimento que pode valer a pena para salvar as horas e horas de trabalho que você teve que gastar programando seu script PHP.

Mais de 70% de todos os problemas de segurança explorados são feitos via servidor web (httpd). Grande parte destes problemas são provocados por versões desatualizadas de softwares PHP como blogs, gerenciadores de conteúdo,  livros de visita, etc. Ainda existem os scripts PHP escritos por usuários com pouca experiência ou pouco cuidado com relação a programar PHP de forma segura.

Para diminuir este tipo de problema é recomendável a utilização de um WEB FIREWALL. É o caso do ModSecurity.

Ele monitora todo tráfego de entrada e saída de dados que passa pelo servidor HTTP em tempo real. Você pode configurar uma grande quantidade de filtros usando expressões regulares com o objetivo de localizar algum comportamento suspeito. As regras mais comuns para se aplicar são tentativas de envio de comandos linux através de formulários.

O ModSecurity é gratuito e trabalha integrado com o Apache. Para se aprofundar mais leia este post.

Esse tipo de teste gera muitos transtornos já que as imagens com os textos e palavras normalmente são distorcidas, utilizam fontes estranhas, cores e imagens de fundo que deixam as pessoas na dúvida se é uma letra l ou um número 1, se é um G ou um 6, se é a letra O ou é o número 0. E o mais chato é que este tipo de teste não é muito eficiente já que computadores podem ler imagens utilizando OCR e com um pouco mais de processamento podem detectar que letras e números estão nas imagens.

Diante disto a Microsoft em parceria com um site chamado Petfinder.com está com um projeto de CAPTCHA diferente. O sistema mostra algumas fotos de cães e gatos e pede para o usuário marcar todas as fotos de gatos. É uma tarefa muito simples para qualquer pessoa, mas é muito complicado para um computador.

O projeto se chama Asirra (Animal Species Image Recognition for Restricting Access).
Já existem outros projetos semelhantes a este que você pode conhecer aqui: PIX CAPTCHA, KittenAuth, Chew and Tygar e hotcaptcha.com

Ao utilizar o Asirra será mostrada uma tela com algumas fotos de cães e gatos em miniatura. Quando passamos o mouse uma versão maior da foto é mostrada. Se clicamos na foto a mesma é selecionada. Existem mais de 2 milhões de fotos diferentes no sistema. A possibilidade delas se repetirem é muito pequena. Então a pessoa é convidada a marcar quais são as fotos de gatos. Visite http://research.microsoft.com/asirra/ utilizando internet explorer e aguarde carregar a tela. Clique nas fotos de gatos e clique em “Score Test” para ver o resultado.

Veja um exemplo de formulário em funcionamento com o Asirra:
http://www.asirra.com/examples/ExampleService.html

Você pode utilizar este sistema gratuitamente em seus scripts. Visite:

• Python,
• PHP
• C#,
• VB,
• JavaScript

Existe até um plugin para WordPress: PHP WordPress blog plugin

Veja mais informações de como utilizar aqui:
http://research.microsoft.com/asirra/installation.aspx

Veja mais dicas sobre CAPTCHA
http://www.captcha.net/

Uma forma de acabar com isto é obrigando as pessoas a digitarem o código que aparece em uma imagem para que o formulário seja enviado. Este tipo de proteção que também é chamada de “Captcha Security Images” vem se tornando cada vez mais comum. Imaginasse que somente pessoas conseguem ler o conteúdo texto impresso em imagens ma softwares também podem fazer isto. O problema é que o software gasta tempo e processamento para fazer isto. Como a imagem apresenta diversos riscos e ruídos a tarefa fica mais complicada. O spammer prefere realizar o menor esforço e por isto vai procurar outro site que não ofereça este tipo de proteção.

No site http://www.white-hat-web-design.co.uk/articles/php-captcha.php você encontra um script gratuito que gera formulários com imagens de segurança.

Veja um exemplo de formulário funcionando. Cada vez que você carrega a página um código diferente é criado.

Download captcha.zip ou Download captcha.zip no servidor do PHPGrátis