15 bonnes pratiques de sécurité pour WordPress

Cet article afin de vous donner les trucs & astuces essentiels afin de vous prémunir de différentes infiltrations (VIRUS, SPAM, Phishing,…) dans votre CMS préféré à savoir WordPress. Ces procédures sont faites pour WordPress mais je suis certain que vous trouverez l’équivalent pour d’autres plateformes. Commençons donc par énumérer notre liste de points principaux: Auditez de manière récurrente votre sécurité générale Généralement lorsqu’on met en place un site WEB pour son client; on fait généralement attentions à un certain nombre d’éléments (SEO, sécurité, performance…). Cependant force est de constater que les problèmes arrivent très souvent avec le temps du au fait qu’on ne fait pas attention pendant plusieurs mois/année à l’instance et là c’est le drame. Une petite astuce à avoir est d’ajouter dans vos Marques-pages tous les tableaux de bord WordPress en gestion et de planifier une fois par mois les vérifications nécessaires. Mettre à jour les Thèmes, Extensions, (Core et traductions) Le premier vrai conseil d’ordre technique est assez simple, mais c’est généralement la cause de plus 80 %  des problèmes; IL FAUT METTRE A JOUR VOTRE CMS! La grande force de WordPress vient principalement du fait que celui-ci est gratuit et open-source. Cela veut dire que toutes modifications sont disponibles à tout le monde qui le souhaite et qu’entre chaque version il est possible de voir rapidement les modifications apportées au code; en cas de correction de problème de sécurité la correction étant disponible il est aussi possible d’en déduire le problème initial. Activez les mises à jour automatiques Par défaut depuis les dernières versions de WordPress, le noyau se met automatiquement à jour. Il est cependant possible d’activer cela via le fichier functions.php du thème en rajoutant ces lignes: add_filter( 'auto_update_plugin', '__return_true' ); add_filter( 'auto_update_theme', '__return_true' ); add_filter( 'auto_update_translation', '__return_false' ); Supprimez les Plugins et Thème non utilisés Très souvent une des mauvaises habitudes prises vient du fait qu’on va tester un grand nombre de modules/thèmes, nous allons penser à les désactiver, mais pas forcément les supprimer! Au niveau des thèmes par exemple, il faut bien comprendre que vous ne pouvez avoir qu’une seule et unique apparence activé, il est donc plus que recommandé de supprimer TOUS les thèmes même ceux officiel à savoir Twenty Thirteen, Twenty Ten, Twenty Eleven, Twenty Twelve, Twenty Thirteen … N’utilisez pas de modules/thème qui ne viennent pas de sources fiables. Concernant les modules/thèmes, il est souvent très tentant d’utiliser des versions Nulled/pirates pour faire vos tests et vérifier que ceux-ci répondent à vos exigences. Dans la très grande majorité de cas, ces Free scripts intègrent volontairement des bout de codes malveillants/vulnérabilités/backdoor afin d’utiliser l’hébergement à des fins malveillant ! Méfiez-vous de ces « versions gratuites » qui n’incluent en plus aucun support/mise à jour… Ne pas utiliser le préfixe de table par défaut Généralement les hackeurs qui tentent de dérober des données, vont tenté d’exécuter des commandes SQL via des failles. Ceux-ci vont générer/envoyer des requêtes utilisant le nom de préfix de table par défaut qui est utilisée dans 75 % des instances WordPress. Il faut donc renommer le le préfix inscrit dans la base de données pour avoir quelque chose d’unique comme « wphblog_ ». Un article très intéressant est disponible ici: https://wpchannel.com/wordpress/tutoriels-wordpress/modifier-prefixe-base-donnees-wordpress-apres-installation/ Renouvelez vos clés secrètes présentent dans le fichier de configuration Restons dans le fichier wp-config.php qui est lui aussi utilisé pour l’authentification, WordPress se base sur un système de chiffrement qui permet que le cookies généré ne soit pas facilement réutilisable. Par expérience j’ai déjà pu constater que certaines instances n’ont pas de valeurs définies ici, il est donc recommandé de modifier une fois par an les clés de sécurité en utilisant ce générateur en ligne: https://api.wordpress.org/secret-key/1.1/salt/ Utilisez des mots de passe sécuritaires et veillez à les changer fréquemment Au niveau de l’authentification encore, il ne faut au grand jamais utiliser des identifiants par défaut tels que « admin », « test », « webmaster » ! Ceux-ci sont de plus très souvent couplés à des mots de passe ayant un niveau de sécurité très faible. Combien de fois au support nous n’avons pas reçu des identifiants tels que test/test ? Pensez aussi à utilise des mots de passe différents pour chaque service: FTP, MySQL, Messagerie, cPanel/World, … Veuillez à utiliser un générateur de mot de …