Top 10 des problèmes de sécurité WordPress et comment les résoudre

Notez que les thèmes et plugins inutilisés ou inactifs constituent une menace sérieuse pour le site Web WordPress. Par conséquent, il est de la plus haute importance que tous les plugins et thèmes qui ne sont pas utilisés soient supprimés immédiatement pour s'assurer qu'aucune donnée ne reste dans la base de données WordPress. Voici un guide approprié sur la façon de désinstaller correctement les plugins WordPress.

Par mesure de précaution générale, téléchargez toujours la version la plus récente des thèmes et des plugins à partir d'une ressource de confiance pour vous assurer que le plugin ou le thème n'ouvre pas une nouvelle faille de sécurité sur votre site.

Les pas si basiques

Maintenant que vous avez compris les bases de la sécurité WordPress, il est temps de consulter les conseils avancés suivants pour renforcer la sécurité de vos sites Web.

ASTUCE N°8 : Empêchez les injections SQL et le piratage d'URL

Les injections SQL sont des attaques dans lesquelles les attaquants intègrent des commandes SQL dans diverses zones des sites Web (en particulier la zone de commentaire et les zones de texte). Ces commandes peuvent compromettre la base de données SQL et révéler des informations sensibles stockées dans la base de données.

La modification de l'URL en ajoutant des instructions PHP est une autre menace potentielle pour la sécurité de WordPress dans laquelle les attaquants peuvent déclencher des attaques sur la base de données et d'autres composants du site Web.

La plupart des sites Web WordPress sont hébergés sur un serveur Apache qui possède une astuce astucieuse pour contrer ces attaques. Tous les serveurs Apache ont un fichier .htaccess qui définit les règles d'accès au site Web.

Pour réduire les incidences des injections SQL et du piratage d'URL, ajoutez le code suivant au fichier .htaccess pour établir un ensemble de règles strictes.

 <IfModule mod_rewrite.c>
Moteur de réécriture activé
Base de réécriture /
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]
Règle de réécriture ^(.*)$ - [F,L]
RewriteCond %{QUERY_STRING} \.\.\/ [NC,OR]
RewriteCond %{QUERY_STRING} boot\.ini [NC,OR]
Balise RewriteCond %{QUERY_STRING}\= [NC,OR]
RewriteCond %{QUERY_STRING} ftp\ : [NC,OR]
RewriteCond %{QUERY_STRING} http\ : [NC,OR]
RewriteCond %{QUERY_STRING} https\ : [NC,OR]
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|e|"|;|\?|\*|=$).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(&#x22;|&#x27;|&#x3C;|&#x3E;|&#x5C;|&#x7B;|&#x7C;).* [NC,OR ]
RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare).* [NC]
RewriteCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$
Règle de réécriture ^(.*)$ - [F,L]
</IfModule>

Comme vous pouvez le voir, le code « nettoie » les données qui entrent dans les champs de saisie. De plus, toutes ces entrées sont traitées comme une chaîne au lieu d'une instruction de requête SQL.

ASTUCE N°9 : Refuser l'accès aux fichiers sensibles dans WordPress

Une installation WordPress contient plusieurs fichiers sensibles, tels que les fichiers wp-config.php , install.php et readme.html . Ces fichiers doivent être cachés de tout accès extérieur.

Encore une fois, .htaccess est votre meilleur ami. Vous pouvez ajouter les lignes suivantes au fichier pour éviter que des fichiers importants ne soient dégradés. L'extrait de code suivant empêche également l'accès aux listes de répertoires d'utilisateurs et masque le serveur sensible et les fichiers WordPress des accès non autorisés.

 Options Tout -Index

<fichiers .htaccess>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<fichiers readme.html>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<licence de fichiers.txt>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<fichiers install.php>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<fichiers wp-config.php>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<fichiers error_log>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<fichiers fantastique_liste de fichiers.txt>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

<fichiers fanversion.php>
Ordre autoriser, refuser
Refuser de tout
</fichiers>

Si vous souhaitez approfondir l'utilisation du fichier .htaccess pour optimiser votre WordPress, voici une description détaillée du fichier WordPress .htaccess.

ASTUCE #10 : Changer le préfixe par défaut pour la base de données

Masquer la version WordPress : Par défaut, WordPress ajoute automatiquement le numéro de version actuel à la section principale des thèmes. Un bon conseil de sécurité est de ne JAMAIS afficher publiquement la version de WordPress, simplement à cause du fait que les attaquants peuvent lancer des attaques contre toutes les vulnérabilités connues de la version mentionnée dans l'en-tête.

La simple ligne de code suivante doit être incluse dans le fichier functions.php de votre thème pour masquer les versions de WordPress.

 remove_action( 'wp_head', 'wp_generator' );

Changer le préfixe WordPress par défaut pour la base de données : Toutes les tables d'une base de données WordPress ont des noms qui commencent par le préfixe Bien que cela semble être une excellente fonctionnalité, pour les pirates WordPress, cela simplifie grandement les choses en supprimant certaines des conjectures.

Un utilisateur peut limiter cette prévisibilité en modifiant le préfixe WordPress par défaut des tables de base de données utilisateur lors de l'installation de WordPress. Cela peut également être fait pour les sites Web déjà actifs en manipulant les bases de données des utilisateurs à plusieurs endroits. Je recommande d'utiliser l'un des meilleurs plugins de sécurité WordPress qui implémentent une gamme de défenses pour le site Web WordPress.

Cloudways aide à sécuriser les sites WordPress

Après ce guide détaillé sur la sécurisation des sites Web WordPress, il convient de mentionner que WordPress ne peut pas être sécurisé de manière isolée. Les utilisateurs de WordPress doivent également opter pour un environnement d'hébergement sécurisé qui offre un environnement sécurisé pour le site Web.

Voici comment Cloudways fournit un environnement d'hébergement WordPress sécurisé.

• Infrastructure cloud de première classe : Cloudways s'est associé à des fournisseurs d'infrastructure cloud de premier ordre dont la sécurité est leur préoccupation numéro UN. Héberger un site WordPress sur le cloud assure un haut niveau de sécurité.
• Pare - feu : Tous les serveurs lancés via Cloudways sont livrés avec un pare-feu préinstallé qui agit comme la première ligne de défense du site Web.
• Surveillance du serveur : La surveillance d'un serveur aide à identifier les pics de trafic élevés inattendus qui peuvent faire tomber le site Web.
• Protection contre les bots : la protection contre les bots vise à identifier et à bloquer le trafic malveillant, à protéger contre les attaques telles que les attaques par dictionnaire, le grattage Web et les attaques par force brute. Cela permet également de réduire l'utilisation des ressources du serveur pour les applications WordPress. Ces attaques sont ciblées pour obtenir un accès non autorisé à votre site Web ou le submerger, mais Bot Protection surveille toutes ces activités et bloque de manière proactive lors de la détection.
• Accès SSH & SFTP : De nombreux hébergeurs utilisent encore FTP pour accéder aux fichiers. Cependant, avec Cloudways SFTP (Secure File Transfer Protocol) votre connexion est cryptée et sécurisée. Si plusieurs équipes travaillent sur un projet hébergé sur un serveur, elles peuvent se voir attribuer l'accès à une application particulière au lieu de l'ensemble du serveur.
• OS et applications mis à jour : les experts de Cloudways gardent un œil sur les dernières versions et s'assurent de leur disponibilité après des tests de stabilité et de compatibilité.
• Generated de vérification des pouvoirs au hasard: Toutes les applications lancées via Cloudways ont un défaut des titres de compétence générés de façon aléatoire qui sont difficiles à deviner.
• Sauvegarde : En cas de sinistre, la sauvegarde du site est votre meilleur pari pour une reprise après sinistre plus rapide. Vous pouvez définir la fréquence de sauvegarde aussi bas qu'une heure.
• Certificat SSL gratuit : Cloudways fournit une installation de certificat SSL en un clic avec une fonction de renouvellement automatique.
• Environnement de mise en scène gratuit : Cloudways propose un environnement de mise en scène WordPress gratuit pour s'assurer que tout continue de fonctionner comme prévu.
• Assistance par chat en direct 24h/24 et 7j/7 : Vous vous inquiétez toujours de la sécurité et des performances du serveur ? Le support Cloudways est toujours là 24 heures sur 24.
• Assistance téléphonique : il s'agit de l'extension d'assistance premium si vous avez besoin d'aide, vous pouvez également contacter et notre ingénieur senior vous répondra directement à tout moment.

Posez fréquemment des questions

Q : Comment réparer WordPress non sécurisé ?

A: Suivez ce guide et voyez tous les points que j'ai mentionnés, j'espère que cela vous aidera beaucoup.

Q : Dois-je utiliser un certificat SSL pour sécuriser mon site WordPress ?

R : Oui, vous devriez le faire, la plupart des sociétés d'hébergement proposent un certificat SSL gratuit en un clic.

Q : WordPress a-t-il des problèmes de sécurité ?

R : WordPress est le système de gestion de contenu (CMS) le plus utilisé aujourd'hui. À l'aide de nombreux thèmes et plug-ins, on peut facilement personnaliser son site Web selon ses goûts et ses préférences. Cependant, la sécurité de WordPress est l'un des problèmes majeurs qui préoccupe beaucoup.

Conclusion

Les conseils de sécurité WordPress garantissent un site Web efficace et sécurisé. Cependant, beaucoup de gens oublient que la défense d'un site WordPress est un processus continu qui nécessite une attention continue face aux nouveaux outils et astuces émergents dans le cyberespace.

Je suggère fortement aux utilisateurs de WordPress de garder un journal de ce qui s'est passé sur WordPress en utilisant un plugin d'audit de sécurité et d'utiliser le plugin de sécurité WordPress préféré qui renforce l'environnement WordPress contre les menaces de sécurité.

N'hésitez pas à ajouter si vous pensez que j'ai raté quelque chose. Je l'ajouterai à la liste dès que possible. Si vous avez des questions, veuillez les poster dans les commentaires ci-dessous.