Introduction:
Protéger WordPress avec un pare-feu d'application Web
Un WAF WordPress protège le site en surveillant toutes les demandes et réponses faites par les utilisateurs via l’application web. Si une activité malveillante a été détectée, il bloque l’accès à votre site Web ou arrête les cycles de demande/réponse initiés par cet utilisateur jusqu’à ce qu’il soit mis manuellement sur une liste blanche par un administrateur.
Sécurité de la connexion
Utiliser une connexion sécurisée
Utilisez HTTPS
Utilisez un mot de passe différent pour chaque site que vous utilisez, et conservez-le dans un gestionnaire de mots de passe ou utilisez une phrase de passe forte.
Une suite de sécurité pour les sites Web
Une suite de sécurité est un ensemble de plugins qui fonctionnent ensemble pour protéger votre site Web. Un pare-feu bloque les attaques malveillantes et empêche les pirates d’accéder à votre site.
Un antivirus protège contre les virus et les logiciels malveillants, qui peuvent endommager les fichiers de votre site et le rendre inutilisable. Les sauvegardes vous permettent de restaurer les fichiers s’ils sont corrompus ou détruits par des cybercriminels, afin que vous puissiez reprendre vos activités rapidement après une attaque.
Certaines suites de sécurité incluent les trois protections – pare-feu, antivirus et plugin de sauvegarde – dans un même package, mais d’autres sont conçues spécifiquement pour sécuriser les sites WordPress en utilisant ces trois fonctionnalités comme point central.
Voici les principales extensions:
Modifier le préfixe de WordPress
Cela signifie que tous les fichiers multimédia sont stockés dans ce seul répertoire. Si vous voulez changer l’endroit où les utilisateurs peuvent télécharger leurs images, leurs fichiers audio et leurs clips vidéo, vous devez modifier le chemin d’accès au répertoire dans wp-config.php
Maintenir WordPress à jour
L’importance de la mise à jour de WordPress:
La première question que se posent de nombreux nouveaux utilisateurs lorsqu’ils commencent à utiliser WordPress est de savoir à quelle fréquence ils doivent mettre à jour leur site. La réponse dépend de plusieurs facteurs :
Combien de plugins sont installés sur votre site web ?
Quelle version de PHP votre hébergeur utilise-t-il ?
Y a-t-il des exploits ou des vulnérabilités connues dans les versions mises à jour ? (C’est rare, mais cela arrive). En règle générale, vous devez procéder aux mises à jour au moins tous les 15 jours.
Cacher l'URL de connexion
La première chose à faire est de modifier l’URL de connexion de votre site WordPress. Vous pouvez le faire en allant dans Réglages Général dans le tableau de bord et en entrant une URL personnalisée (ou en la laissant vide). Une fois que vous avez fait cela, allez dans Gérer les sites et trouvez votre site Web.
Cliquez dessus, puis cliquez sur Authentification sous Paramètres avancés. Dans cette section, assurez-vous que l’option “Force SSL” est cochée et cliquez sur Enregistrer les modifications.
Cela empêchera les gens de voir votre URL de connexion dans la barre d’adresse de leur navigateur et contribuera également à vous protéger contre les attaques de type cross-site scripting (XSS), car toutes les communications entre les navigateurs et les serveurs sont cryptées via des connexions HTTPS lorsque vous utilisez le mode Force SSL !
Vous pouvez aussi utiliser WPS Hide Login. C’est un plugin très léger qui vous permet de changer facilement et en toute sécurité l’url de la page de formulaire de connexion. Il ne renomme pas littéralement ou ne modifie pas les fichiers dans le noyau, ni n’ajoute des règles de réécriture. Il intercepte simplement les demandes de pages et fonctionne sur n’importe quel site WordPress. Le répertoire wp-admin et la page wp-login.php deviennent inaccessibles, vous devez donc ajouter un signet ou vous souvenir de l’URL. Désactiver ce plugin ramène votre site exactement à l’état dans lequel il était auparavant.
Désactiver l'exécution de PHP dans certains répertoires
Pour protéger le dossier wp-content, vous devez désactiver l’exécution de PHP dans ce dossier.
Pour ce faire, ouvrez votre fichier .htaccess et ajoutez cette ligne :
//AddHandler php5-script .php
Pour faire bonne mesure, vous pouvez également désactiver l’exécution de PHP dans le dossier uploads avec cette ligne :
//SetEnv nocomments 1
Autorisations de fichiers et propriétaire/groupe
`wp-content/uploads`
`wp-content/plugins“.
“wp-content/themes“.
`wp-content/plugins/nom_du_plugin`.
Protection par mot de passe Protection par mot de passe du répertoire wp-admin
Une fois que vous avez sélectionné votre site, cliquez sur l’icône du gestionnaire de fichiers en haut de l’écran. Trouvez un dossier appelé htdocs et cliquez dessus pour ouvrir son contenu. Double-cliquez sur le fichier .htaccess afin de l’ouvrir dans le Bloc-notes ou TextEdit.
Ajoutez le code suivant :
AuthUserFile /home/username/.htpasswd AuthType Basic AuthName “Enter name here” Require valid-user
Remplacer username par votre nom d’utilisateur réel (par exemple : si mon nom d’utilisateur était liza, j’entrerais liza).
* Sauvegardez et fermez Notepad/TextEdit ; puis rafraîchissez votre site web afin que les changements effectués dans le fichier .htaccess prennent effet !
Sécuriser et protéger un CMS comme WordPress n'est pas une tâche facile. Mais avec les bons outils, vous pouvez protéger votre site Web des pirates et vous remettre au travail.
Si vous utilisez le CMS WordPress pour votre site Web, il est important de prendre la sécurité au sérieux. Si un pirate informatique parvient à accéder à votre CMS, il peut causer des dommages importants, comme la mise hors service de l’ensemble de votre site ou le vol de données sensibles sur les utilisateurs.
Cependant, il existe plusieurs mesures que vous pouvez prendre pour protéger et sécuriser votre site Web.
La première étape consiste à choisir les bons outils et à s’assurer qu’ils sont à jour. WordPress en lui-même est un excellent outil open-source pour la création de sites Web ; cependant, il n’est pas exempt de défauts.
Pour garantir la sécurité et la fiabilité de WordPress sur votre serveur, assurez-vous que tous les plugins ont été mis à jour récemment et surveillez les nouvelles mises à jour des fichiers principaux (comme PHP).
Si vous souhaitez externaliser le travail de sécurité et de maintenance pour votre site WordPress, nous vous proposons plusieurs formules d’assistance et de maintenance que nous vous invitons à consulter. Il est temps de passer aux différents aspects de la sécurisation de WordPress…
