PHP-FPM et Nginx : installer la pile LEMP sur Debian

PHP-FPM (FastCGI Process Manager) est le service qui exécute les scripts PHP sur un serveur web : Nginx lui transmet chaque requête vers un fichier .php par le protocole FastCGI, PHP-FPM exécute le script et renvoie la page produite. Avec une base MariaDB, cela forme la pile LEMP (Linux, Nginx, MariaDB ou MySQL, PHP), cousine de la pile LAMP qui utilise Apache. Ce chapitre installe PHP 8.4 et PHP-FPM sur Debian 13, relie Nginx à PHP-FPM, crée un pool par application et règle PHP pour la production.

Comment Nginx exécute du PHP

Nginx ne sait pas exécuter de PHP. Il sert lui-même les fichiers statiques (images, feuilles de style, scripts JavaScript) et confie les fichiers .php à PHP-FPM, un service séparé, à l'écoute sur un socket Unix (un fichier spécial, /run/php/php8.4-fpm.sock, qui relie deux processus de la même machine) ou sur un port TCP.

Séparer le serveur web de PHP a trois avantages :

• la sécurité : chaque application peut tourner sous son propre compte, dans son propre pool de processus, sans pouvoir lire les fichiers des autres ;
• les ressources : Nginx garde ses milliers de connexions avec peu de mémoire, et seuls les processus PHP nécessaires tournent ;
• la maintenance : tu peux redémarrer PHP-FPM sans couper Nginx, ou faire tourner deux versions de PHP côte à côte.

Installer PHP 8.4 et PHP-FPM

Debian 13 fournit PHP 8.4. Installe PHP-FPM et les extensions dont l'application a besoin, en nommant les paquets avec leur version :

sudo apt install php8.4-fpm php8.4-cli php8.4-curl php8.4-mbstring php8.4-intl php8.4-xml
php -v
# PHP 8.4.x (cli) …
systemctl status php8.4-fpm --no-pager

Les extensions courantes, toutes dans les dépôts de Debian :

php-fpm8.4 -m | grep -i -E 'mysqli|curl|opcache'   # extensions chargées par PHP-FPM

PHP en ligne de commande (php) et PHP-FPM ont chacun leur fichier php.ini : /etc/php/8.4/cli/php.ini et /etc/php/8.4/fpm/php.ini. Un réglage modifié dans le premier ne change rien au site web : c'est la cause d'innombrables « j'ai pourtant changé la valeur ».

La configuration de PHP-FPM

Le pool par défaut, www.conf, contient ces directives (sans les commentaires) :

[www]
user = www-data
group = www-data
listen = /run/php/php8.4-fpm.sock
listen.owner = www-data
listen.group = www-data
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3

Dimensionner pm.max_children. Chaque processus PHP occupe de la mémoire, souvent 30 à 80 Mo selon l'application. Si srv-web a 2 Go de mémoire, dont 1 Go disponible pour PHP, et qu'un processus en consomme 50 Mo, pm.max_children ne doit pas dépasser 1024 / 50, soit 20. Au-delà, le serveur manque de mémoire sous la charge. En dessous de la charge réelle, les requêtes attendent, et le journal le signale : WARNING: [pool www] server reached pm.max_children setting (5), consider raising it.

ps -o rss,cmd -C php-fpm8.4    # mémoire résidente de chaque processus, en kilo-octets

Relier Nginx à PHP-FPM

Dans le server block du site de suivi, un bloc location envoie les fichiers .php à PHP-FPM. Debian fournit le fragment snippets/fastcgi-php.conf, qui contient les réglages habituels :

server {
    listen 80;
    listen [::]:80;
    server_name suivi.sorbier-logistique.fr;

    root /var/www/suivi/public;
    index index.php index.html;

    access_log /var/log/nginx/suivi.access.log;
    error_log  /var/log/nginx/suivi.error.log;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php8.4-fpm.sock;
    }

    location ~ /\. {
        deny all;
    }
}

Le fragment fastcgi-php.conf découpe l'adresse en nom de script et en suite de chemin, vérifie que le script existe avant de le transmettre (try_files $fastcgi_script_name =404;), puis inclut fastcgi.conf, qui transmet à PHP les paramètres de la requête, dont SCRIPT_FILENAME, le chemin complet du script à exécuter. La vérification de l'existence du script n'est pas un détail : sans elle, une adresse comme /uploads/photo.jpg/x.php pourrait faire exécuter comme du PHP une image envoyée par un utilisateur.

La ligne try_files … /index.php?$query_string du bloc / renvoie vers index.php toute adresse qui ne correspond à aucun fichier : c'est le contrôleur frontal des applications modernes, qui lit l'adresse et appelle le bon code (cours PHP et MySQL).

Teste avec un script minimal, puis supprime-le :

echo '<?php echo "PHP ", PHP_VERSION, " via ", php_sapi_name(), "\n";' | sudo tee /var/www/suivi/public/test.php
sudo nginx -t && sudo systemctl reload nginx
curl -H "Host: suivi.sorbier-logistique.fr" http://192.168.10.225/test.php
# PHP 8.4.x via fpm-fcgi
sudo rm /var/www/suivi/public/test.php

Un pool par application

Avec le seul pool www, toutes les applications du serveur s'exécutent sous www-data : une faille dans l'une donne accès aux fichiers et aux secrets de toutes. La bonne pratique est un pool par application, chacun avec son compte. Pour le site de suivi :

sudo adduser --system --group --no-create-home --home /var/www/suivi suivi

Puis /etc/php/8.4/fpm/pool.d/suivi.conf :

[suivi]
user = suivi
group = suivi

listen = /run/php/php8.4-fpm-suivi.sock
listen.owner = www-data
listen.group = www-data
listen.mode = 0660

pm = ondemand
pm.max_children = 10
pm.process_idle_timeout = 30s
pm.max_requests = 500

; Limiter PHP au dossier de l'application et au dossier temporaire
php_admin_value[open_basedir] = /var/www/suivi:/tmp
php_admin_flag[display_errors] = off
php_admin_flag[log_errors] = on
php_admin_value[error_log] = /var/log/php-fpm/suivi.error.log

sudo mkdir -p /var/log/php-fpm && sudo chown suivi:suivi /var/log/php-fpm
sudo php-fpm8.4 -t        # test de la configuration
sudo systemctl reload php8.4-fpm
ls -l /run/php/
# srw-rw---- 1 www-data www-data 0 … php8.4-fpm-suivi.sock

Dans le server block, remplace le socket par celui du pool : fastcgi_pass unix:/run/php/php8.4-fpm-suivi.sock;.

Les fichiers du site appartiennent toujours à root et restent lisibles par tous ; seul le dossier où l'application écrit (un dossier var/ ou uploads/) appartient à suivi. Un attaquant qui exploiterait une faille ne pourrait donc pas modifier le code.

Régler PHP pour l'application

Les valeurs de /etc/php/8.4/fpm/php.ini s'appliquent à tous les pools. Celles qu'on ajuste le plus souvent :

expose_php = Off              ; ne pas annoncer « X-Powered-By: PHP/8.4.x » dans les réponses
display_errors = Off          ; jamais d'erreurs affichées aux visiteurs en production
log_errors = On
memory_limit = 256M           ; mémoire maximale par script
max_execution_time = 60       ; durée maximale d'un script, en secondes
upload_max_filesize = 20M     ; taille maximale d'un fichier envoyé
post_max_size = 20M           ; taille maximale d'une requête POST, au moins égale à la précédente
date.timezone = Europe/Paris
session.cookie_httponly = On  ; cookie de session illisible par JavaScript
session.cookie_secure = On    ; cookie envoyé seulement en HTTPS
session.cookie_samesite = Lax

sudo systemctl reload php8.4-fpm

Une limite d'envoi se règle à trois endroits, et c'est la plus petite qui gagne : client_max_body_size dans Nginx, post_max_size et upload_max_filesize dans PHP. L'erreur dit lequel bloque : 413 renvoyée par Nginx pour le premier, un formulaire qui arrive vide dans l'application pour les deux autres.

OPcache, installé et actif d'office, garde en mémoire le code PHP compilé : l'application répond plusieurs fois plus vite. Après une mise à jour du code, un rechargement de PHP-FPM vide ce cache.

Les erreurs classiques de la pile LEMP

Le cas du fichier téléchargé est le plus grave : le code source part chez le visiteur, avec les identifiants de base de données qu'il contiendrait. Garde les secrets hors de la racine publique (un fichier .env ou de configuration dans le dossier parent de public), pour qu'une erreur de configuration ne les expose pas (cours PHP et MySQL).

Exercices

sudo adduser --system --group --no-create-home --home /var/www/rdv rdv

; /etc/php/8.4/fpm/pool.d/rdv.conf
[rdv]
user = rdv
group = rdv
listen = /run/php/php8.4-fpm-rdv.sock
listen.owner = www-data
listen.group = www-data
listen.mode = 0660
pm = ondemand
pm.max_children = 5
pm.process_idle_timeout = 30s
php_admin_value[open_basedir] = /var/www/rdv:/tmp
php_admin_flag[display_errors] = off