{"id":251829,"date":"2023-10-09T07:09:00","date_gmt":"2023-10-09T04:09:00","guid":{"rendered":"https:\/\/inform.click\/10-hacks-de-securite-wordpress-innovants-pour-proteger-votre-site-web\/"},"modified":"2023-10-09T07:09:00","modified_gmt":"2023-10-09T04:09:00","slug":"10-hacks-de-securite-wordpress-innovants-pour-proteger-votre-site-web","status":"publish","type":"post","link":"https:\/\/inform.click\/fr\/10-hacks-de-securite-wordpress-innovants-pour-proteger-votre-site-web\/","title":{"rendered":"10 Hacks de s\u00e9curit\u00e9 WordPress innovants pour prot\u00e9ger votre site Web"},"content":{"rendered":"

\n Que vous poss\u00e9diez un blog personnel ou un site Web critique pour l’entreprise contenant des donn\u00e9es sensibles, vous devez mettre l’accent sur sa s\u00e9curisation dans toute la mesure du possible. Pour emp\u00eacher un visiteur malveillant d’acc\u00e9der \u00e0 votre site Web, il est essentiel de pr\u00e9parer une liste de contr\u00f4le de s\u00e9curit\u00e9 et d’effectuer des audits de s\u00e9curit\u00e9 p\u00e9riodiques.\n<\/p>\n

\n Cela dit, un syst\u00e8me s\u00e9curis\u00e9 \u00e0 cent pour cent est pratiquement impossible \u00e0 configurer car il y a toujours la probabilit\u00e9 que de nouvelles \u00abmenaces\u00bb \u00e9mergent \u00e0 l’improviste. Bien qu’il ne soit pas possible d’\u00e9liminer compl\u00e8tement le risque de failles de s\u00e9curit\u00e9, suivre un ensemble de bonnes pratiques peut vous aider \u00e0 minimiser les vuln\u00e9rabilit\u00e9s potentielles.\n<\/p>\n

\n Lorsqu’il s’agit de s\u00e9curiser un site Web WordPress<\/a>, vous n’aurez que l'embarras du choix en ce qui concerne la disponibilit\u00e9 des ressources. Il existe de nombreux conseils, ajustements et tutoriels publi\u00e9s sur une multitude de sites Web et de blogs. Cependant, en y regardant de plus pr\u00e8s, vous pourriez \u00eatre d\u00e9\u00e7u par le manque de substance. Les mesures de s\u00e9curit\u00e9 WordPress r\u00e9pertori\u00e9es sur la plupart de ces sites Web sont de nature tr\u00e8s basique. Qu’il s’agisse de la mise \u00e0 niveau vers la version la plus r\u00e9cente de WordPress, de la planification de sauvegardes p\u00e9riodiques ou de l’utilisation d’un mot de passe administrateur tr\u00e8s complexe, vous avez peut-\u00eatre d\u00e9j\u00e0 mis en \u0153uvre toutes ces mesures fondamentales. De toute \u00e9vidence, la question qui vous vient \u00e0 l’esprit est \u00abQuelle est la prochaine \u00e9tape ?\n<\/p>\n

\n Ce tutoriel est destin\u00e9 \u00e0 donner une r\u00e9ponse d\u00e9finitive \u00e0 votre question. Voici dix mesures de s\u00e9curit\u00e9 innovantes qui peuvent vous aider \u00e0 garder le contr\u00f4le d’un site Web WordPress sous votre garde. Passons maintenant aux d\u00e9tails.\n<\/p>\n

\n 1 Utilisez l’authentification \u00e0 deux facteurs :
\n<\/h4>\n

\n Lorsque vous impl\u00e9mentez l’authentification \u00e0 deux facteurs, une personne essayant de se connecter \u00e0 votre tableau de bord WordPress devra saisir un OTP (mot de passe \u00e0 usage unique) g\u00e9n\u00e9r\u00e9 al\u00e9atoirement, en plus du nom d’utilisateur et du mot de passe standard. Les fonctions cryptographiques sont utilis\u00e9es pour g\u00e9n\u00e9rer l’OTP en temps r\u00e9el et il est envoy\u00e9 uniquement au destinataire pr\u00e9vu sur un appareil de communication via une passerelle s\u00e9curis\u00e9e. Le t\u00e9l\u00e9phone portable est le dispositif de communication le plus largement utilis\u00e9 \u00e0 cette fin.\n<\/p>\n

\n Ainsi, m\u00eame si un pirate parvient \u00e0 voler votre nom d’utilisateur et votre mot de passe, il ne pourra toujours pas acc\u00e9der \u00e0 votre panneau d’administration WordPress sans le mot de passe \u00e0 usage unique.\n<\/p>\n

\n Comment impl\u00e9menter l’authentification \u00e0 deux facteurs ?<\/strong>\n<\/p>\n

\n Vous pouvez utiliser n’importe quel plug-in de g\u00e9n\u00e9ration OTP pour impl\u00e9menter une authentification \u00e0 deux facteurs sur votre site Web WordPress. Des plugins commerciaux et gratuits sont disponibles sur le march\u00e9. Deux plugins recommand\u00e9s qui sont librement disponibles sur le r\u00e9f\u00e9rentiel WordPress sont :\n<\/p>\n

    \n
  1. \n Authentification \u00e0 deux facteurs<\/a>\n <\/li>\n
  2. \n Authentification \u00e0 deux facteurs Duo<\/a>\n <\/li>\n<\/ol>\n

    \n Les deux plugins sont tr\u00e8s faciles \u00e0 configurer, m\u00eame pour un webmaster d\u00e9butant. Une documentation d\u00e9taill\u00e9e sur l’installation et la configuration peut \u00eatre trouv\u00e9e sur les pages de plugin respectives.\n<\/p>\n

    \n 2 D\u00e9sactiver l’\u00e9dition du fichier de mod\u00e8le via le tableau de bord WP
    \n<\/h4>\n

    \"\"<\/a><\/p>\n

    \n Un utilisateur WordPress disposant d’un acc\u00e8s administratif peut modifier les fichiers de mod\u00e8le de votre site Web en acc\u00e9dant \u00e0 Apparence > \u00c9diteur. Dans le cas o\u00f9 un visiteur avec une intention malveillante parvient \u00e0 pirater vos informations d’identification d’utilisateur administrateur, il peut \u00e9galement apporter les modifications souhait\u00e9es \u00e0 ces fichiers directement depuis votre tableau de bord WordPress. Pour \u00e9viter une telle occurrence, vous pouvez d\u00e9sactiver l’\u00e9dition de fichiers \u00e0 partir du tableau de bord WordPress.\n<\/p>\n

    \n Comment d\u00e9sactiver l’\u00e9dition du fichier de mod\u00e8le ?<\/strong>\n<\/p>\n

    \n Afin de d\u00e9sactiver l’\u00e9dition de fichiers via l’\u00e9diteur de tableau de bord, vous devez ajouter une ligne de code au fichier de configuration de votre site Web WordPress. Acc\u00e9dez au programme de gestion de fichiers disponible sur le panneau de contr\u00f4le de votre h\u00e9bergement et acc\u00e9dez au r\u00e9pertoire racine. Ouvrez le fichier wp-config.php dans un \u00e9diteur de texte et ajoutez la ligne de code suivante au bas du fichier.\n<\/p>\n

    define( 'DISALLOW_FILE_EDIT', true );<\/code><\/pre>\n
    \n  3 Masquer les commentaires d’erreur de connexion des visiteurs
    \n<\/h4>\n
    \"\"<\/a><\/p>\n
    \n  \u00c0 quoi sert-il d’afficher les journaux d’erreurs \u00e0 vos visiteurs ? Absolument rien. Lorsque quelque chose ne va pas, vous seul, l’utilisateur administrateur, devez le savoir. Pour aggraver les choses, en rendant public le retour d’erreur, vous donnez en fait juste assez d’indices \u00e0 un visiteur techniquement expert pour essayer de pirater votre site Web.\n<\/p>\n
    \n  Comment arr\u00eater d’afficher les commentaires d’erreur ?<\/strong>\n<\/p>\n
    \n  Il existe une m\u00e9thode simple pour emp\u00eacher les commentaires d’erreur de connexion WordPress d’\u00eatre affich\u00e9s publiquement. Apr\u00e8s vous \u00eatre connect\u00e9 \u00e0 votre panneau d’administration WordPress, acc\u00e9dez \u00e0 Apparence > \u00c9diteur. Ouvrez le fichier functions.php du th\u00e8me actif et placez l’extrait de code suivant n’importe o\u00f9 dans le fichier.\n<\/p>\n
    add_filter('login_errors',create_function('$a', \"return null;\"));<\/code><\/pre>\n
    \n  4 Supprimer l’utilisateur ‘admin’
    \n<\/h4>\n
    \"\"<\/a><\/p>\n
    \n  Le compte d’utilisateur administratif par d\u00e9faut qui est cr\u00e9\u00e9 automatiquement au moment de l’installation de WordPress est \u00abadmin \u00bb. C’est aussi la zone la plus vuln\u00e9rable en ce qui concerne la s\u00e9curit\u00e9 de WordPress, qui est le plus souvent exploit\u00e9e par les pirates. Donc, supprimer ce compte \u00ab\u00a0administrateur\u00a0\u00bb par d\u00e9faut et g\u00e9rer votre site Web \u00e0 partir d’un autre compte \u00ab\u00a0pseudo\u00a0\u00bb administrateur est une tr\u00e8s bonne id\u00e9e pour tenir les pirates \u00e0 distance. \u00c0 tout le moins, cela rendra la vie un peu plus difficile pour tout pirate informatique potentiel.\n<\/p>\n
    \n  Comment supprimer l’utilisateur ‘admin’ par d\u00e9faut ?<\/strong>\n<\/p>\n
    \n  Cette activit\u00e9 peut \u00eatre r\u00e9alis\u00e9e \u00e0 deux \u00e9tapes diff\u00e9rentes comme d\u00e9crit ci-dessous :\n<\/p>\n
      \n
    1. \n    Lors de l’installation de WordPress<\/strong>: S’il s’agit d’un nouveau compte d’h\u00e9bergement sur lequel vous souhaitez cr\u00e9er votre site Web WordPress, vous pouvez vous d\u00e9barrasser de l’utilisateur \u00abadmin\u00bb lors de l’installation de WordPress. Sur le premier \u00e9cran d’installation, vous obtenez des options configurables par l’utilisateur. Le nom d’utilisateur est l’un de ces \u00e9l\u00e9ments que vous \u00eates autoris\u00e9 \u00e0 modifier. Avant de cliquer sur le bouton \u00ab\u00a0Installer\u00a0\u00bb situ\u00e9 en bas de votre \u00e9cran, remplacez simplement le nom d’utilisateur par d\u00e9faut \u00ab\u00a0admin\u00a0\u00bb par le nom que vous pr\u00e9f\u00e9rez. Proc\u00e9dez ensuite au processus d’installation comme vous le feriez normalement.\n  <\/li>\n
    2. \n    Pour une installation WordPress existante<\/strong>: Lorsque vous avez d\u00e9j\u00e0 un site WordPress existant, vous devez d’abord vous connecter avec votre compte ‘admin’ et cr\u00e9er un nouveau compte utilisateur. Assurez-vous que vous fournissez au nouvel utilisateur des privil\u00e8ges administratifs complets. D\u00e9connectez-vous ensuite du compte ‘admin et reconnectez-vous \u00e0 l’aide du compte utilisateur nouvellement cr\u00e9\u00e9. Acc\u00e9dez \u00e0 l’onglet \u00ab\u00a0Utilisateurs\u00a0\u00bb de votre tableau de bord WordPress et supprimez le compte d’utilisateur \u00ab\u00a0admin\u00a0\u00bb. Vous pouvez maintenant g\u00e9rer votre tableau de bord avec l’utilisateur administratif nouvellement cr\u00e9\u00e9.\n  <\/li>\n<\/ol>\n
      \n  5 Masquer le num\u00e9ro de version de WordPress
      \n<\/h4>\n
      \"\"<\/a><\/p>\n
      \n  Chaque version de WordPress pr\u00e9sente quelques vuln\u00e9rabilit\u00e9s qui sont g\u00e9n\u00e9ralement corrig\u00e9es lors de la sortie de la version suivante. Si un pirate parvient \u00e0 identifier la version de WordPress que vous utilisez, il peut facilement l’associer \u00e0 une faiblesse connue et l’exploiter pour prendre le contr\u00f4le de votre site Web. Pour \u00e9viter un tel sc\u00e9nario, vous pouvez demander au fichier de fonctions WordPress de ne pas divulguer le num\u00e9ro de version.\n<\/p>\n
      \n  Comment masquer le num\u00e9ro de version WP ?<\/strong>\n<\/p>\n
      \n  Habituellement, le num\u00e9ro de version de WordPress est ins\u00e9r\u00e9 dans le fichier d’en-t\u00eate de votre th\u00e8me via la fonction ‘wp-head()’. Cependant, supprimer la fonction n’est pas une solution, car la m\u00eame fonction peut \u00e9galement \u00eatre utilis\u00e9e par certains des plugins que vous avez install\u00e9s. Au lieu de cela, une meilleure alternative consiste \u00e0 ajouter l’extrait de code ci-dessous \u00e0 votre fichier functions.php.\n<\/p>\n
      remove_action('ks29so_head','ks29so_generator');<\/code><\/pre>\n
      \n  6 Bloquer l’acc\u00e8s aux robots
      \n<\/h4>\n
      \"\"<\/a><\/p>\n
      \n  Les robots sont des outils automatis\u00e9s programm\u00e9s par ordinateur utilis\u00e9s par les pirates pour prendre le contr\u00f4le de votre site Web. Ces programmes automatis\u00e9s peuvent \u00e9galement utiliser vos ressources d’h\u00e9bergement Web pour effectuer d’autres activit\u00e9s au nom du pirate. En emp\u00eachant les robots d’acc\u00e9der \u00e0 vos pages Web et \u00e0 vos r\u00e9pertoires, vous pouvez renforcer votre emprise sur l’administration du site Web.\n<\/p>\n
      \n  Comment emp\u00eacher les bots d’acc\u00e9der \u00e0 votre site Web ?<\/strong>\n<\/p>\n
      \n  La r\u00e9\u00e9criture de mod est un rem\u00e8de efficace pour bloquer l’acc\u00e8s des bots. \u00c0 l’aide de n’importe quel programme d’\u00e9dition de texte, ouvrez le .htaccess<\/code>fichier ‘ ‘ pr\u00e9sent dans votre r\u00e9pertoire racine WordPress. Faites d\u00e9filer vers le bas du fichier, ins\u00e9rez l’extrait de code mentionn\u00e9 ci-dessous, puis enregistrez le fichier au m\u00eame emplacement. Assurez-vous que vous ne modifiez pas le nom du fichier.\n<\/p>\n
      SetEnvIfNoCase User-Agent ^$ keep_out\nSetEnvIfNoCase User-Agent (pycurl|casper|cmsworldmap|diavol|dotbot) keep_out\nSetEnvIfNoCase User-Agent (flicky|ia_archiver|jakarta|kmccrew) keep_out\nSetEnvIfNoCase User-Agent (purebot|comodo|feedfinder|planetwork) keep_out\nOrder Allow,Deny\nAllow from all\nDeny from env=keep_out<\/code><\/pre>\n
      \n  7 Utiliser les autorisations de fichier\/dossier appropri\u00e9es
      \n<\/h4>\n
      \"\"<\/a><\/p>\n
      \n  Les autorisations de fichiers ne sont rien d’autre qu’une m\u00e9thode de restriction d’acc\u00e8s. En utilisant des param\u00e8tres d’autorisation de fichier appropri\u00e9s, vous pouvez emp\u00eacher les visiteurs d’acc\u00e9der aux fichiers de configuration importants r\u00e9sidant dans votre r\u00e9pertoire d’installation WordPress.\n<\/p>\n
      \n  Comment impl\u00e9menter la restriction d’acc\u00e8s ?<\/strong>\n<\/p>\n
      \n  Vous trouverez ci-dessous les param\u00e8tres d’autorisation de fichiers et de dossiers recommand\u00e9s pour votre site Web WordPress :\n<\/p>\n
      \n  La valeur CHMOD pour tous les fichiers de donn\u00e9es doit \u00eatre d\u00e9finie sur 644.\n<\/p>\n
      \n  La valeur CHMOD pour tous les dossiers et sous-dossiers doit \u00eatre d\u00e9finie sur 755.\n<\/p>\n
      \n  La valeur CHMOD pour le fichier de configuration WordPress (wp-config.php) doit \u00eatre d\u00e9finie sur 640.\n<\/p>\n
      \n  8 Limiter les tentatives de connexion des utilisateurs :
      \n<\/h4>\n
      \"\"<\/a><\/p>\n
      \n  Selon toute probabilit\u00e9, un pirate devrait utiliser diff\u00e9rentes combinaisons de nom d’utilisateur et de mot de passe pour p\u00e9n\u00e9trer dans votre panneau d’administration WordPress. \u00c0 moins qu’il n’y ait une limite au nombre de tentatives de connexion infructueuses, un pirate peut continuer aussi longtemps qu’il le faudra pour trouver la bonne combinaison nom d’utilisateur-mot de passe.\n<\/p>\n
      \n  Comment limiter les tentatives de connexion ?<\/strong>\n<\/p>\n
      \n  Le moyen le plus simple de limiter les tentatives de connexion des utilisateurs consiste \u00e0 utiliser un plugin open source, Limit Login Attempts. Il peut \u00eatre t\u00e9l\u00e9charg\u00e9 gratuitement \u00e0 partir du r\u00e9f\u00e9rentiel WordPress Plugins. Apr\u00e8s avoir install\u00e9 et activ\u00e9 le plug-in, vous pouvez sp\u00e9cifier le nombre d’\u00e9checs de connexion qu’un utilisateur est autoris\u00e9 \u00e0 tenter pendant une certaine p\u00e9riode.\n<\/p>\n
      \n  9 Utiliser le mode SSL pour les sessions de connexion
      \n<\/h4>\n
      \n  Forcer votre site Web WordPress en mode SSL pour la connexion garantit un transfert de donn\u00e9es s\u00e9curis\u00e9 entre le navigateur Web de l’utilisateur et votre serveur. Le navigateur Web crypte le nom d’utilisateur et le mot de passe avant de les envoyer \u00e0 votre syst\u00e8me serveur via un canal s\u00e9curis\u00e9 lorsque SSL est utilis\u00e9.\n<\/p>\n
      \n  Comment utiliser le mode SSL pour toutes les connexions ?<\/strong>\n<\/p>\n
      \n  Tout d’abord, vous devez avoir un certificat SSL valide install\u00e9 sur votre serveur Web. Afin de forcer le mode SSL pour toutes les connexions utilisateur, vous devez d\u00e9finir les pr\u00e9f\u00e9rences de connexion SSL sur votre fichier de configuration WordPress (wp-config.php). Vous pouvez soit forcer le mode SSL uniquement pour l’utilisateur administrateur, soit activer cette fonctionnalit\u00e9 pour toutes les connexions. Acc\u00e9dez \u00e0 votre r\u00e9pertoire racine et ouvrez le fichier wp-config.php. Ajoutez ensuite l’un des extraits de code ci-dessous en fonction de vos besoins.\n<\/p>\n
      \n  Uniquement pour les sessions de connexion administrateur :\n<\/p>\n
      define('FORCE_SSL_ADMIN', true);<\/code><\/pre>\n
      \n  Pour toutes les sessions de connexion utilisateur :\n<\/p>\n
      define('FORCE_SSL_LOGIN', true);<\/code><\/pre>\n
      \n  10 D\u00e9sactiver l’acc\u00e8s au dossier ‘wp-content’
      \n<\/h4>\n
      \"\"<\/a><\/p>\n
      \n  Toutes les images et tous les fichiers multim\u00e9dias que vous t\u00e9l\u00e9chargez sur votre site Web WordPress sont stock\u00e9s dans le dossier ‘wp-content’. Il contient \u00e9galement tous les fichiers du plugin. Les pirates peuvent l’utiliser comme point d’entr\u00e9e pour injecter des \u00e9l\u00e9ments nuisibles sur votre site Web. Une autre activit\u00e9 contraire \u00e0 l’\u00e9thique qui peut \u00eatre effectu\u00e9e via le m\u00eame canal est le vol de bande passante. Il est donc fortement recommand\u00e9 de bloquer l’acc\u00e8s public \u00e0 ce r\u00e9pertoire.\n<\/p>\n
      \n  Comment d\u00e9sactiver l’acc\u00e8s aux fichiers multim\u00e9dias et aux plugins ?<\/strong>\n<\/p>\n
      \n  Vous pouvez ajouter une r\u00e8gle \u00e0 votre .htaccess<\/code>fichier pour emp\u00eacher l’acc\u00e8s \u00e0 tous les types de fichiers disponibles dans le dossier ‘wp-content’. Gardez \u00e0 l’esprit que les fichiers CSS et JavaScript, ainsi que les images (jpg, png, gif), sont les plus susceptibles d’\u00eatre exploit\u00e9s par les pirates.\n<\/p>\n
      Order Allow,Deny\nDeny from all\n\nAllow from all<\/code><\/pre>\n
      \n  Conclusion:\n<\/p>\n
      \n  Chaque jour qui passe, les pirates inventent de nouvelles techniques pour prendre le contr\u00f4le de votre site Web et de votre entreprise. Cela ne sert \u00e0 rien de s’en tenir \u00e0 ce que les \u00abautres\u00bb font depuis des lustres. Pour \u00e9liminer la possibilit\u00e9 de faire pirater votre site Web WordPress, vous devez rester un cran au-dessus et \u00eatre plus intelligent que votre ennemi jur\u00e9.\n<\/p>\n<\/p>\n
      \n  Source d’enregistrement: instantshift.com<\/a>\n<\/div>\n","protected":false},"excerpt":{"rendered":"
      Que vous poss\u00e9diez un blog personnel ou un site Web critique pour l’entreprise contenant des donn\u00e9es sensibles, vous devez mettre l’accent sur sa s\u00e9curisation dans toute la mesure du possible. Pour emp\u00eacher un visiteur malveillant d’acc\u00e9der \u00e0 votre site Web, il est essentiel de pr\u00e9parer une liste de contr\u00f4le de s\u00e9curit\u00e9 et d’effectuer des audits de s\u00e9curit\u00e9 p\u00e9riodiques. Cela dit, un syst\u00e8me s\u00e9curis\u00e9 \u00e0 cent pour cent est pratiquement impossible \u00e0 configurer car il y a toujours la probabilit\u00e9 que de nouvelles \u00abmenaces\u00bb \u00e9mergent \u00e0 l’improviste. Bien qu’il ne soit peut-\u00eatre pas possible d’\u00e9radiquer compl\u00e8tement le risque de failles de s\u00e9curit\u00e9, en suivant un ensemble de meilleures\u2026<\/p>\n","protected":false},"author":1,"featured_media":143442,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_wp_rev_ctl_limit":""},"categories":[106,145,54],"tags":[],"class_list":["post-251829","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-securite-internet","category-trucs-et-astuces-web","category-web-et-wordpress"],"_links":{"self":[{"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/posts\/251829","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/comments?post=251829"}],"version-history":[{"count":0,"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/posts\/251829\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/media\/143442"}],"wp:attachment":[{"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/media?parent=251829"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/categories?post=251829"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/inform.click\/fr\/wp-json\/wp\/v2\/tags?post=251829"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}