Les sites web, sont souvent victimes d’actions de piratage, causant des fois la perte totale des données qu’elles soient importantes ou non. C’est le cas aussi des blogs construits autour d’une plateforme telle que Wordpress, DotClear ou MovableType.

Bien sûr, une protection à 100% et sans failles n’existe pas, et personne n’est à l’abri contre des attaques de sécurité bien menées ! Cependant, il est possible par le biais de quelques techniques et de règles d’utilisation, d’en contourner un bon nombre ou d’en minimiser les dégâts.

Sécuriser son blog Wordpress

Dans ce qui suit, j’essaie de dresser quelques astuces et conseils (trouvés sur Bloganything), pour assurer une sécurité minimale pour les gens qui ont un blog tournant sous Wordpress.

1- Mettre à jour sa version de Wordpress

Surtout quand il s’agit de la sortie d’une nouvelle version qui corrige un ensemble de bugs et de failles. La mise à jour d’un blog sous Wordpress est simple, et il suffit généralement de suivre les instructions fournies dans la documentation de leur site officiel.

2- Ne pas renseigner sur la version Wordpress du blog

La plupart des thèmes sur le Net, contiennent une instruction qui renseigne sur la version de Wordpress que vous utilisez. Pour la supprimer rien de plus simple :

  • Dans l’interface d’administration de votre blog, allez dans “Presentation“, puis “Editeur de thèmes“.
  • Choisissez le fichier “header.php” pour pouvoir l’éditer.
  • Cherchez l’instruction bloginfo(’version’) et supprimez la. Sauvegardez le fichier.

Cacher la version de la plateforme que l’on utilise, va rendre la tâche des pirates un peu plus difficile.

Avancé : Pour un résultat plus poussé, vous pouvez aussi enlever le numéro de version de vos flux RSS ou Atom. Pour cela, il va falloir supprimer toute information de version contenue dans les fichiers qui s’occupent de la génération de vos flux (feed-rss2.php, feed-atom.php …) et qui sont placés dans le répertoire “wp-includes”.

3- Mettre un fichier “index.html” vide dans le répertoire des plugins

Cela a pour effet de masquer la liste des plugins que vous utilisez.

  • Ouvrez votre éditeur de texte favori, et créez un nouveau fichier vide.
  • Enregistrez-le sous le nom “index.html”.
  • Chargez-le dans le dossier plugins de votre installation Wordpress.

N’oubliez pas également de mettre à jour un plugin quand une nouvelle version de celui-ci est disponible.

4- Placer une copie du fichier “.htaccess” dans le dossier “wp-admin”

On peut limiter l’accès au dossier “wp-admin” par adresse IP, pour éviter qu’une personne malintentionnée y accède.

  • Ouvrez votre client FTP , et placez vous dans la racine de votre installation Wordpress.
  • Téléchargez le fichier “.htaccess” sur votre bureau.
  • Entrez dans le répertoire “wp-admin”.
  • Chargez-y le fichier “.htaccess” que vos venez de télécharger.

5- Bloquer les robots d’accèder aux répertoires “wp-admin” et “wp-includes”

Il est possible de spécifier aux moteurs de recherche, de ne pas indexer les répertoires internes de votre blog. Pour cela, il faut éditer votre fichier “robots.txt” ou d’en créer un si vous ne l’avez pas encore fait.

  • Ouvrez le fichier “robots.txt”, et ajoute-y les lignes de codes suivantes :

# On spécifie que la règle est à appliquer à tous les moteurs de recherche
User-agent: *

# On bloque l’accès aux répertoires et les fichiers qui y sont inclus
Disallow: /wp-admin/
Disallow: /wp-includes/

  • Enregistrez et placez-le (toujours via votre client FTP) dans la racine de votre blog Wordpress.

6- Faire des backups périodiquement

Comme il n’existe pas de sécurité parfaite, la meilleure façon de se protéger reste le backup périodique de votre base de données, et des fichiers de votre blog. Si vous ne souhaitez pas effectuer une sauvegarde manuelle de vos données, sachez qu’il existe pas mal de plugins sous Wordpress pour automatiser cette tâche; le plus connu étant Wordpress Database Backup.

Il existe un document complet sur la sécurisation d’un blog, que je n’ai pas eu le temps de finir, et que vous pouvez télécharger sur cette adresse : WordPress Security Whitepaper

Voilà, cet article touche à sa fin. La liste d’astuces présentées n’est surement pas exhaustive donc, si vous en avez d’autres n’hésitez surtout pas à partager ;-)