Sécuriser efficacement son site WordPress

Ajouter des clefs de sécurité secrètes dans le fichier wp-config.php (niv. intermédiaire)

Si vous avez déjà installé par votre propre moyen un site WordPress, vous devriez avoir bien remarqué des codes particulier dans votre fichier wp-config.php (lequel contient les configurations nécessaires pour WordPress fonctionne convenablement). Cette section du fichier de configuration sont des clés d'authentification SALT qui crée un cookie d'identification lequel protège votre installation.

Si ces codes ne sont pas présent dans votre fichier wp-config.php, vous pouvez les régénérer grâce au lien suivant :
https://api.wordpress.org/secret-key/1.1/salt/

Notez que tout changement de ces clefs de salage aura pour effet d’invalider tous les cookies de votre site et forcera donc chaque utilisateur à se reconnecter sur votre blog.

Supprimer le compte ‘admin’ par défaut (niv. intermédiaire)

Par facilité ou par défaut (sur certains hébergeurs comme OVH) l'identifiant admin est souvent créé pour identifier l'espace d'administration. La popularisation de cet identifiant le rend par nature très sensible : le pirate potentiel n'a plus qu'à se concentrer sur votre mot de passe pour percer votre accès.

Si vous disposez d'un tel compte, créer un autre compte alternatif avec les mêmes droits d'administrateur, puis supprimer le compte dont l'identifiant est admin. Cette manœuvre peut se mener même en cours de vie du blog : un système de bascule des anciens articles et pages est automatiquement proposé

Masquer les erreurs de connexion (niv. expert)

Voilà typiquement un comportement de WordPress très 'user-friendly' qui peut s'avérer 'hacker-friendly' lorsqu'il se retourne contre vous. En effet, lors d'une erreur de saisie de votre mot de passe ou de votre login, WordPress vous guide gentiment et indique ce qui ne convient pas. Il s'agit donc de gommer cette fonctionnalité pour ne pas donner d'indice supplémentaire aux méchants pirates qui en veulent à vos données.
Pour cela, nous allons ajouter cette ligne de code à notre fichier function.php de notre thème enfant

add_filter('login_errors',create_function('$a', "return null;"));[/php]

Modifier le nom de votre dossier wp-content (niv. expert)

Ouvrez le fichier wp-config.php (il est sage de faire un archivage préalable de ce fichier si important). Aux alentours de la ligne 88-90 (ou de la dernière ligne de wp-config, vous devriez trouver la séquence :

require_once ABSPATH . ‘wp-settings.php’[/php]
Ajouter immédiatement en dessous le code suivant

/*modification du nom de dossier wp-content*/
define ('WP_CONTENT_FOLDERNAME', 'nouveau-dossier');
define ('WP_CONTENT_DIR', ABSPATH . WP_CONTENT_FOLDERNAME) ;
define ('WP_CONTENT_URL', 'http://nom-de-domaine'. WP_CONTENT_FOLDERNAME);
define ('WP_PLUGIN_DIR', WP_CONTENT_DIR . '/plugins');
define ('WP_PLUGIN_URL', WP_CONTENT_URL . '/plugins');
/*fin de la modification*/[/php]
Remplacer la mention

nouveau-dossier

 par le nouveau nom de dossier de wp-content, et personnaliser la mention

votre-domaine

 avec votre propre URL. Une fois ces manipulations faites et publiées sur wp-config, vous pourrez changer le nom de votre dossier

wp-content

 avec un nom équivalent (sans majuscule, ni accent, ni espace).

Assurez-vous que tout continue à fonctionner sur votre site

, en particulier vos divers plugins. S'il s'avère que vous rencontrez un disfonctionnement, il est probable qu'un de vos plugins fasse mention au dossier wp-content, au lieu de faire appel à une fonction telle que use content_url(). Vous devrez alors corriger à la main cette mention dans les plugins défaillants (un bonheur) ou vous passer tout bonnement de ces plugins.

Il est bien entendu capital d'ajouter dans ce nouveau dossier, les composants habituels de wp-content, soit /languages /plugin /themes /upgrade, avec leur contenu légitime.

Protégez-vous contre le hotlinking

J'ai découvert dans les faits le hotlinking par le vol de mon article Archiver sa base de donnée WordPress qui s'est vu affiché sur un autre site que le mien...sans mon autorisation. Mes images ont été victimes de hotlinking, terme que je ne connaissais mal et qui consiste à "utiliser l'adresse d'un fichier publié sur un site web, le plus souvent une image, pour l'afficher sur un autre site, sur un blog" [définition Wikipédia].

Voici quelques lignes de codes que Jonathan B. propose sur http://www.geekpress.fr. J'ai approfondi le sujet et voici le fruit de mes recherches.

Définition

Traditionnellement (j'illustre ici le principe de fonctionnement de façon très grossière, vous trouverez un schéma plus étayé sur cet autre article) votre visiteur consulte le contenu de votre site grâce au serveur qui héberge vos images, vos textes (sur la base de données).

Dans le cas d'un hotlinking, votre "voleur" aussi maladroit qu'indélicat a copié l'ensemble du code source de votre article et l'a ajouté à une de ses pages.

La personne qui consulte votre article croit être au bon endroit sur le site voleur d'article. L'ensemble des images pointent cependant encore votre serveur, ce qui a terme en réduit sa vélocité.

Remède

Nous allons utiliser une fois le plus le .htaccess pour restreindre et rediriger l'emploi de vos images en hotlinking, en ajoutant le petit bout de code. Cette manipulation sera tout partiellement intéressante pour les photographe ou les graphistes dont la production est parfois indûment pillée.
[php padlinenumbers="true"]RewriteEngine On

# Remplacer mywebsite.com/ par l'adresse de votre site
# la mention NC rend insensible à la casse (majuscule/minuscule)
RewriteCond %{HTTP_REFERER} !^http://(.+.)?votredomaine.com/ [NC]
RewriteCond %{HTTP_REFERER} !^$

# Remplacer /images/nohotlink.jpg par le chemin de l'image affichée chez les voleurs
# Propose une image alternative lors de l'emploi abusif de vos images
# il est nécessaire de modifier l'url avec votre propre chemin
RewriteRule .*.(jpe?g|gif|bmp|png)$ /images/nohotlink.jpg [L]
[/php]
On peut bien entendu supprimer toutes lignes commentées avec le signe # avant de le poster sur le .htaccess.

Ne manquez pas de sauvegarder la version précédente de ce fichier ; elle vous sera utile si vous faite une erreur de code et que votre site déploit alors une grosse erreur 500 :)