- Parce qu’on se sent bien en sécurité
- 1 – Changer le login « admin » et choisissez un mot de passe complexe
- 2 – Modifier le préfixe wp_ des tables de la BDD WordPress
- 3 – Protéger WordPress avec un fichier .htaccess
- 4 – Optimiser le fichier robots.txt de votre WordPress
- 5 – Mettre à jour WordPress et faire régulièrement un Backup
Parce qu’on se sent bien en sécurité
Malheureusement personne n’est à l’abri contre les attaques de pirates / hackers malintentionnés. J’imagine qu’il existe 2 styles d’hacking :
- Le hack réfléchit dans un but précis (négative SEO, vengeance personnelle, …),
- Le hack pour se faire la main (s’entrainer, se tester, s’amuser, …).
La 2ème option me concerne surement étant donné le peu d’intérêt d’avoir pollué un de mes blogs pauvre en contenu, tout jeune et non référencé.
Ayant donc été victime d’une injection SQL, je vous propose une liste ToDo de conseils à mettre en place lors de la création d’un nouveau blog sous WordPress pour le sécuriser un minimum.
1 – Changer le login « admin » et choisissez un mot de passe complexe
WordPress 3.0 (désormais disponible et avec un nouveau theme wordpress par défaut) permet de choisir dès l’installation un login personnalisé.
Le plugin WP Security Scan permet de scanner votre installation WordPress afin de trouver les éventuelles vulnérabilités de sécurité et vous propose en conséquence les actions correctives à mettre en place. Ce plugin possède également un générateur de password, plutôt utile pour vous aider à choisir un mot de passe digne de ce nom.
Installation et configuration WordPress 3.0
2 – Modifier le préfixe wp_ des tables de la BDD WordPress
Dans sa configuration de base, WordPress ajoute le préfixe wp_ devant le nom de chaque table. Une personnalisation à ce niveau peut être utile lors de l’installation de votre blog WordPress.
A noter que wordpress table rename est un plugin qui permet de modifier ce préfixe sur une base de données WordPress déjà existante. Il va dupliquer vos tables avec le nouveau préfixe et il vous suffira de supprimer manuellement les anciennes tables avec le wp_ !
3 – Protéger WordPress avec un fichier .htaccess
- Interdire la consultation des fichiers : Afin d’éviter que les internautes puissent consulter vos fichiers, ajouter la ligne suivante au fichier .htaccess situé à la racine du site.
- Sécuriser le répertoire wp-admin et le fichier wp-config.php : Afin de restreindre l’accès à ce répertoire, ajouter les lignes ci-dessous seulement si vous avez une IP fixe sinon mettez en place un accès par mot de passe.
# Interdire la consultation des fichiers
Options -Indexes
order deny,allow
deny from all
# 1ere IP autorisée
allow from XXX.XXX.XXX.XXX
# 2nde IP autorisée
allow from XXX.XXX.XXX.XXX
4 – Optimiser le fichier robots.txt de votre WordPress
Empêcher les robots d’indexer les fichiers sensibles de WordPress, dans tous les cas il ne sert strictement à rien de surcharger l’index de Goolge avec ces contenus inutiles pour l’internaute !
Sitemap: http://www.nomdedomaine.tld/sitemap.xml
User-agent: *
Disallow: /wp-content/
Disallow: /wp-admin/
Disallow: /wp-includes/
Disallow: /wp-
Disallow: /feed
Disallow: /comments/feed
Disallow: /feed/$
Disallow: /*/feed/$
Disallow: /*/feed/rss/$
Disallow: /*/trackback/$
Disallow: /*/*/feed/$
Disallow: /*/*/feed/rss/$
Disallow: /*/*/trackback/$
Disallow: /*/*/*/feed/$
Disallow: /*/*/*/feed/rss/$
Disallow: /*/*/*/trackback/$
Disallow: /trackback/
Disallow: /cgi-bin/
Allow: /wp-sitemap.phpUser-agent: Googlebot
Disallow: /*.php$
Disallow: /*.js$
Disallow: /*.cgi$
Disallow: /*.xhtml$
Disallow: /*.php*
Disallow: */trackback*
Disallow: /*?*
Disallow: /wp-*
Disallow: /*.inc$
Disallow: /*.css$
Disallow: /*.txt$
Allow: /images/
Allow: /wp-sitemap.php
5 – Mettre à jour WordPress et faire régulièrement un Backup
Une fois ces recommandations effectuées lors de la création, restez vigilant !
Il est nécessaire de veiller à ce que votre version de WordPress soit à jour ainsi que les plugins utilisés, sachant qu’une maj a pour objectif d’améliorer le CMS / Plugin en corrigeant un ensemble de bugs et de failles de sécurité.
Sauvegarder aussi régulièrement votre blog et surtout votre base de données. WP-DB-Backup est un plugin permettant de sauvegarder facilement votre base de données WordPress.
Matt Cutts intervient sur la question « How do you protect your blog from hackers? »
Merci pour ces précieux conseils.
Il faut veiller également à la « réputation » des extensions WordPress. Certaines sont très mal codées…
Article bien pensé !
Un peu de rappel sur la sécurité ne fait pas de mal
@+ @ntoon
Pas mal malgré que ça me semble un peu short 5 conseils de ce genre pour ceux qui débutent avec wordpress 😉
C’est les principaux points à adopter lors d’une installation de son blog WordPress, les mettre en place pour ceux qui débutent est déjà pas mal 🙂
Rien que le fait de changer le nom « admin » aurait suffit à éviter tous les piratages de blog wordpress qui me sont remontés aux oreilles …
Je plussoie 😉
Comme dis au dessus, un petit rappel des bases ne fait pas de mal.
Faite aussi attention aux templates fourni gratuitement par pas mal de sites. Ceux si contiennent souvent des liens caché (par exemple dans des images ou frame de 1px x 1px).
Même si sa ne remet pas en cause directement la sécurité de votre blog wordpress, cela nuira certainement à votre référencement.
Article énorme ! Indispensable même !
J’ai en effet déjà remarqué que les crawl des bots sur les /*/feed pouvaient aller jusqu’à faire swapper un petit serveur.
merci pour toutes ces astuces !
De bonnes pratiques dans cet article, merci pour le partage. Je préconise l’astuce du .htaccess, pour s’assurer d’être le seul à pouvoir aller trifouiller dans WP !
Merci pour les conseils!
De très bons conseils faciles à mettre en place.
Je mettrai un point d’honneur particulièrement sur le fait de faire des backups réguliers, surtout que ça prend 5min à mettre en place et qu’une fois configuré, tout se fera automatiquement.
Ca m’a sauvé la vie à plusieurs reprises en ce qui me concerne.
le point « Optimiser le fichier robots.txt de votre WordPress » est particulièrement intéressant. Il fallait le savoir…
Wow je pensais pas qu’il fallait faire tout ca pour bien sécuriser son blog wordpress.
Déja le .htaccess est une très bonne idée.
Il y a un plugin également à utiliser pour optimiser et faire un backup régulier de ses BDD, c’est WP-DBManager !
Merci pour cette piqure de rappel que je vais m’empresser de mettre en place sur mes sites WP!
Merci pour ces conseils que je vais essayer de mettre en place. Habituellement, je renomme simplement le préfixe des tables à l’installation.
Merci pour tous ces conseils, ton article est complet, je pense qu’en respectant toutes ces règles on est déjà bien sécurisé.
5 très bon conseils ! Bien que le premier soit une évidence, j’ai bien aimé découvrir ce plugin pour changer le nom des tables wp_ !
nous sommes tous exposé aux hacks fait par celui qui veut faire un « exploit » ! Attention à ne pas devenir une victime bien malgré nous !
bons conseils, j’achète :p
Parfait, exactement ce que je cherchais avant d’envoyer mon nouveau site à l’indexation.
Merci pour ces conseils qui nous permettent d’aller plus vite. Tenir un blog c’est être architecte, concepteur, rédacteur, ergonomiste, artiste (un peu), « optimiseur » (je ne sais pas si cela existe mais je le fais quand même), référenceur…Alors les conseils de techniciens sont vraiment appréciés. Merci encore. Pierre