SlideShare une entreprise Scribd logo
Sécuriser un site
WordPress
WordPressAlgérieLa Semaine Du Web - 2013
SLIMANI Nour El Houda
k.nourslimani@gmail.com
WordPressAlgérieLa Semaine Du Web - 2013
Sommaire
• Introduction
• Raisons pour pirater un site
• Les risques les plus connus
• Techniques de base pour sécuriser un site WordPress
– Lors de l’installation
– Après l’installation
– Plugins requis
• Conclusion
Introduction
• Saviez-vous que WordPress est le CMS open source le plus
utilisé au monde ?
• Environ 15% des sites internet dans le monde s’en servent.
• Qui dit succès, dit revers de la médaille! Il est donc nécessaire de
se protéger le mieux possible.
• WordPress est un logiciel de gestion de contenu très sécuritaire
mais qu’aucun système même très protégé n’est infaillible.
• La sécurité 100 % n’existe pas sur Internet ni d’ailleurs dans
n’importe quel domaine.
WordPressAlgérieLa Semaine Du Web - 2013
Le problème du hacking est
sans fin !
WordPressAlgérieLa Semaine Du Web - 2013
The web site whose URL is written in this
note shall be hacked !
WordPressAlgérieLa Semaine Du Web - 2013
WordPressAlgérieLa Semaine Du Web - 2013
Si mon site se fait pirater, je le saurai assez
rapidement ??
WordPressAlgérieLa Semaine Du Web - 2013
Les causes les plus fréquentes de la vulnérabilité des
blogs Wordpress
• Version Wordpress obsolète
• Installation de thèmes et plugins douteux.
• Le niveau de sécurité faible du mot de passe.
• Accès FTP volés.
• Problèmes de sécurité avec l’hébergeur
WordPressAlgérieLa Semaine Du Web - 2013
Raisons pour pirater un site
• La redirection du trafic vers d’autres sites.
• L’utilisation du site pour voler les informations critiques.
• L’insertion de liens de spams dans le contenu du site en
question (articles et commentaires) pour améliorer le
référencement de leurs sites.
• Tant que vous avez un site wordpress, il y aura toujours des
raisons de vous faire pirater.
• Just for the fun :p
Sécuriser votre site
WordPress n’est pas
une affaire de
spécialiste !
SÉCURISERWORDPRESS:
COMMENT FAIRE?
Tout le monde n'a pas forcément les
compétences techniques pour trouver
les failles de son site ni savoir les
combler afin de dormir sur ses 2 oreilles.
WordPressAlgérieLa Semaine Du Web - 2013
Sécuriser Wordpress:
Quelques clefspour améliorer la protection de
votre plate-forme Web.
Niveau=0;
Niveau Facile
WordPressAlgérieLa Semaine Du Web - 2013
Sécuriser Wordpress:
Dès l’installation: il faut se préparer au pire !
Mieux vaut prévenir que guérir !
Compte Admin :
Eliminer le maillon faible!
WordPressAlgérieLa Semaine Du Web - 2013
Virezmoi ce
« Admin »
Compte Admin
• Admin est le maillon faible des utilisateurs de Wordpress.
• Choisissez autre chose que le traditionnel “admin”, le but du jeu est de mettre
des bâtons dans les roues à ceux qui veulent vous nuire !
• Si vous manquez d'inspiration : Le plugin Wordpress Google Authenticator ;)
WordPressAlgérieLa Semaine Du Web - 2013
I.2 Mot de passe
• Disposer d’un mot de passe d’au moins 8 caractères incluant :
– Majuscules & Miniscules
– Des chiffres ;
– Des symboles spéciaux ;
• Blindez le mot de passe dans le genre
« jesuis_*_sur=que@tu&nele|trouveras$pas»
• Laissez faire votre imagination ou un générateur de mot de passe!
• Évitez toute donnée faisant référence à votre vie personnelle
• Plugin Limit Login Attempts : limiter le nombre de tentatives dans
un temps donné (ex : 3 tentatives toutes les 10minutes.
WordPressAlgérieLa Semaine Du Web - 2013
WordPressAlgérieLa Semaine Du Web - 2013
I.3 Préfixes de tables : Protéger sa base de données
• Modifiez vos préfixes de tables à l’installation, au lieu de wp_
préférez un truc du genre : « commenttuvasgalerer_ »
• Renforcer la sécurité de votre BDD d’injections SQL qui
peuvent transformer votre blog en ferme de lien.
• Plugin WP Security Scan permet de renommer le préfixe.
Once the installation process is complete
there is still quite a bit of work to be done
securing WordPress.
WordPressAlgérieLa Semaine Du Web - 2013
Archivez, Archivez, Archivez !
WordPressAlgérieLa Semaine Du Web - 2013
Archivage et sauvegarde
• Même si on a beau bien se protéger, notre vie peut prendre
une tournure différente ! Backup, Backup, Backup !
• Faut toujours avoir un plan de sauvegarde et de restauration.
• Avant toute intervention, faites des backup régulièrement de
votre site WordPress
– Votre base de données MySQL ;
– Votre compte FTP ;
WordPressAlgérieLa Semaine Du Web - 2013
Archivage et sauvegarde : WP-DB-Backup
• Sauvegarder la base de données WordPress
• Choisir les tables à sauvegarder,
• Recevoir les tables par eMail,
• La base de données pourra être réinjectée à distance elle
aussi.
WordPressAlgérieLa Semaine Du Web - 2013
More ?
Si seulement …
• Sauvegarder Wordpress dans son intégralité (Base de données+ fichiers),
• L’envoyer par mail
• Sur FTP ( dans un dossier de sauvegarde)
• Soit dans un autre FTP (plus malin je trouve ^^)
• Vers DropBox: Recevoir chaque {mois|semaine|jour|heure} une
sauvegarde du FTP sur mon bureau dans le dossier DropBox de mon
Ordi donc même si le pirate met le feu chez moi, OSEF :p je pourrai tjrs
récupérer ma sauvegarde.
• Et pourquoi pas d’autres options en plus :p ? Juste pour la beauté de mes
yeux , hein ?? J’ai le droit de rêver au final :p
• Avant que j’oublie … Faut qu’il soit gratuit comme on les aime ;)
WordPressAlgérieLa Semaine Du Web - 2013
Tout est désormais possible
Don’t worry ! :p
BackWPup
• Plugin de sauvegarde le plus complet
• Sauvegarde de la Base de données
• Export articles et pages en XML
• Optimisation et réparation de la Base de données
• Sauvegarde des fichiers et répertoires
• Backup aux formats zip, tar, tar.gz, tar.bz2
• Sauvegarde envoyée sur votre serveur FTP, Amazon S3, Google
Storage, Microsoft Azure, RackSpaceCloud, Dropbox, SugarSync...
• Envoi des logs et backups sur votre email
WordPressAlgérieLa Semaine Du Web - 2013
What else ?
WordPressAlgérieLa Semaine Du Web - 2013
Installation des extensions & plugins
• N’installez pas n’importe quoi sur votre site :
• Préférez les extensions proposées par le site officiel de WordPress
• Favoriser ceux qui ont des mises à jours régulière et faites les ces
mises à jour,
• Choisissez les extensions qui ont un nombre de vote (et de votant)
très bon
• Un plugin qui n’est pas souvent mis à jour peut contenir des
failles de sécurité.
• Informez-vous sur les rapports de bug et failles de sécurité desdits
plugins.
WordPressAlgérieLa Semaine Du Web - 2013
Mise à jour extensions et versionWordpress
La mise à jour de son blog peut donner quelques sueurs froides
mais le piratage de votre blog pourrait vous donner un mal de
tête bien plus conséquent !!!
• Tenir à jour votre architecture WordPress et vos extensions,
• Tenez vous également au courant des mises à jour de votre
thème…Et appliquez les ;)
WordPressAlgérieLa Semaine Du Web - 2013
• Avoir un mot de passe digne de ce nom.
• Sachez convenablement organiser votre thème
• Protéger repertoires sensibles
– Regle générale : 755 pour les folders & 644 pour les files,
– .htaccess : Options All –Indexes
• Améliorer encore la sécurité avec le plugin «Ask Apache ».
– Protéger le dossier wp-admin par une authentification au niveau du
serveur.
– Désactiver les liens malveillants et l’accès direct aux répertoires wp-
content et wp-includes
WordPressAlgérieLa Semaine Du Web - 2013
Protéger les accès à Wordpress et ses répertoires
Niveau ++;
Niveau Intermédiaire
WordPressAlgérieLa Semaine Du Web - 2013
Niveau intermédiaire
• Prendre toutes les précautions nécessaire à la protection de
votre site, c’est bien.
Mais
• Ne pas exposer vos données sensibles aux grand soleil, c’est
encore mieux.
WordPressAlgérieLa Semaine Du Web - 2013
Suppression du fichier readme.html
• Placé à la racine de votre site, ce fichier contient la version
WordPress de votre site,
(testez avec www.votresite.com/readme.html).
Chouchoutez vos fichiers sensibles !
• “wp-config.php”
• “.htaccess”
WordPressAlgérieLa Semaine Du Web - 2013
Protéger wp-config.php
• Erreurs PHP qui offrent l’accès au fichier wp-config.php
• Le fichier wp-config.php peut-être protégé par des clés de sécurité alors
pourquoi s’en priver ?
• Générer et y insérez les grâce au lien :https://api.wordpress.org/secret-key/1.1/salt/
• Reconnecter sur vos bloc après cette manipulation
WordPressAlgérieLa Semaine Du Web - 2013
Exemple de clefsd’authentification et salage
WordPressAlgérieLa Semaine Du Web - 2013
WordPressAlgérieLa Semaine Du Web - 2013
Protéger .htaccess
• Restreindre les droits d’accès au seul propriétaire
– A partir d’un navigateur FTP ( ex: Filezilla)« Droit d’accès au fichier » =>
644
– Grâce à WP Security Scan
• Protégez votre fichier .htaccess
WordPressAlgérie
Masquez votre version!!
Mais pourquoi ?
Masquezvotre version
• Editer le fichier functions.php : présent dans votre thème
(dans /wp-content/themes/VotreTheme) et ajouter:
• Editer le fichier header.php en supprimant la ligne :
• Autre alternative : l’extension Better security WP.
• Jouer avec vos assaillants en leur mentant sur la version que
vous utilisez avec le plugin Replace WP-Version;)
WordPressAlgérieLa Semaine Du Web - 2013
Empêcher les attaques par Brute Forcing :
• Bloquer les tentatives multiples de connexions au panneau
d’administration
• Remédier à cela en utilisant le plugin LoginLockDown.
WordPressAlgérieLa Semaine Du Web - 2013
Limiter le nombre de tentatives deconnexions
• Blocagepar adresseIP ne sera pas efficace
• Une meilleure alternative consiste à activer une
authentification en 2 temps (2-factor authentication) :
• Plugin pour le mettre en place rapidement sur votre site :
GoogleAuthenticator.
WordPressAlgérieLa Semaine Du Web - 2013
Désactiver Windows LiveWriter ) :
• WordPress vous offres la possibilité de publier vos articles via
Windows Live Writer.
• Supprimer les lignes indésirables
• Editer le fichier functions.php:
WordPressAlgérieLa Semaine Du Web - 2013
Unelignede
codesuspecte
se cacheici !
Attention à faillesTimThumb
• Script TimThumb .
• Ré-écrire le fichier .htaccess
• Le plugin TimThumbVulnerability
WordPressAlgérieLa Semaine Du Web - 2013
WordPressAlgérieLa Semaine Du Web - 2013
Quelques précautions supplémentaires
• Ne laisser aucune donnée sensible dans wp-content !
– Ex: L’archive de base de données que certains plugins comme WP-
backup le stockent dans wp-content.
• Supprimer tous les utilisateurs inactifs à fort pouvoir
(administrateur).
WordPressAlgérieLa Semaine Du Web - 2013
Des plugins à votre secours !
• Better WP Security
• WP-Scurity Scan
• TAC (Theme Authenticity Checker)
Niveau ++;
Niveau Expert
Masquer les erreurs de connexion
• Renforcer la sécurité en masquant les erreurs de connexion
affichés lors de tentative infructueuse.
=> Eviter de divulguer les messages aux yeux de tous
• Editer le fichier functions.php de votre thème et d’y ajouter:
• Recommencer cette manipulation Si vous changiez de thème.
WordPressAlgérieLa Semaine Du Web - 2013
Autres plugins
Antivirus pour Wordpress: Wordfence
• Gratuit & Puissant
• Analyse en profondeur un site Wordpress
• Accès au fichier incriminé pour rapidement faire le ménage
• Visualiseur géolocalisé et en direct du trafic de votre site
WordPressAlgérieLa Semaine Du Web - 2013
Anti-Malware (Get Off Malicious Scripts)
• Anti-Malware/Anti-virus Plugin
• Solution prometteuse !
WordPressAlgérieLa Semaine Du Web - 2013
Theme check
• Utilitaire simple et efficace pour analyser votre thème
• Un très bon outil
WordPressAlgérieLa Semaine Du Web - 2013
WordPress Firewall 2
• Bloquer les directory traversals
• Bloquer les requêtes d’injection SQL
• Bloquer les termes spécifiques ( wp_, user_login, etc.)
• Bloquer l’upload de fichier .exe, .php
• Avertir par mail en cas de tentatives d’attaques
• Rediriger les attaques vers une page 404 ou la page d’accueil
• Et bien d’autres fonctionnalités que je vous laisse découvrir….
WordPressAlgérieLa Semaine Du Web - 2013
WordPressAlgérieLa Semaine Du Web - 2013
C’est la vie !
• En dépit de toutes précautions le risque ne sera jamais nul !
le risque zéro n'existe pas...
• Pour prévenir toute mauvaise surprise, il convient de faire
des backups régulièrement.
• Le plugin WP-Database Backup est une bonne solution !
WordPress AlgérieLa Semaine Du Web - 2013
SLIMANI NourEL Houda
 PhD Student at Laboratory
of Research in Artificial
Intelligence LRIA, USTHB.
 Wordpress Member
 Web developper
 Just Me ;)
WordPress

Contenu connexe

Tendances

Les 10 Erreurs des Debutants avec WordPress
Les 10 Erreurs des Debutants avec WordPressLes 10 Erreurs des Debutants avec WordPress
Les 10 Erreurs des Debutants avec WordPress
Nicolas Richer
 
64 conneries que font les référenceurs avec WordPress
64 conneries que font les référenceurs avec WordPress64 conneries que font les référenceurs avec WordPress
64 conneries que font les référenceurs avec WordPress
Aurélien Denis
 
Optimiser réellement le référencement naturel de WordPress
Optimiser réellement le référencement naturel de WordPressOptimiser réellement le référencement naturel de WordPress
Optimiser réellement le référencement naturel de WordPress
Daniel Roch - SeoMix
 
Bien débuter dans la conception d'un thème WordPress
Bien débuter dans la conception d'un thème WordPressBien débuter dans la conception d'un thème WordPress
Bien débuter dans la conception d'un thème WordPress
Aurélien Denis
 
Wordpress et SEO - Campus Made in Blog 2014 Montréal
Wordpress et SEO - Campus Made in Blog 2014 MontréalWordpress et SEO - Campus Made in Blog 2014 Montréal
Wordpress et SEO - Campus Made in Blog 2014 Montréal
Made in
 
Nice meetup
Nice meetupNice meetup
Nice meetup
Valérie Galassi
 
10 conseils pour booster les performances de votre site sous WordPress
10 conseils pour booster les performances de votre site sous WordPress10 conseils pour booster les performances de votre site sous WordPress
10 conseils pour booster les performances de votre site sous WordPress
Aurélien Denis
 
Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016
Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016
Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016
Daniel Roch - SeoMix
 
Découverte d'aeSecure, sécurisation et optimisation sites Apache
Découverte d'aeSecure, sécurisation et optimisation sites ApacheDécouverte d'aeSecure, sécurisation et optimisation sites Apache
Découverte d'aeSecure, sécurisation et optimisation sites Apache
Christophe Avonture
 
Accroître la sécurité de son site internet et de Joomla! plus spécifiquement
Accroître la sécurité de son site internet et de Joomla! plus spécifiquementAccroître la sécurité de son site internet et de Joomla! plus spécifiquement
Accroître la sécurité de son site internet et de Joomla! plus spécifiquement
Christophe Avonture
 
Optimiser wordpress
Optimiser wordpressOptimiser wordpress
Optimiser wordpress
Jean-François Vial
 
Optimiser WordPress
Optimiser WordPressOptimiser WordPress
Optimiser WordPress
Chi Nacim
 
WordPress + HTTPS
WordPress + HTTPSWordPress + HTTPS
WordPress + HTTPS
Brice Capobianco
 
Optimiser les performances dans Wordpress
Optimiser les performances dans WordpressOptimiser les performances dans Wordpress
Optimiser les performances dans Wordpress
Nicolas Juen
 
Audit de site WordPress
Audit de site WordPressAudit de site WordPress
Audit de site WordPress
Daniel Roch - SeoMix
 
Protéger son site web des cyber-attaques
Protéger son site web des cyber-attaquesProtéger son site web des cyber-attaques
Protéger son site web des cyber-attaques
Kiwi Backup
 

Tendances (17)

Les 10 Erreurs des Debutants avec WordPress
Les 10 Erreurs des Debutants avec WordPressLes 10 Erreurs des Debutants avec WordPress
Les 10 Erreurs des Debutants avec WordPress
 
64 conneries que font les référenceurs avec WordPress
64 conneries que font les référenceurs avec WordPress64 conneries que font les référenceurs avec WordPress
64 conneries que font les référenceurs avec WordPress
 
Optimiser réellement le référencement naturel de WordPress
Optimiser réellement le référencement naturel de WordPressOptimiser réellement le référencement naturel de WordPress
Optimiser réellement le référencement naturel de WordPress
 
Bien débuter dans la conception d'un thème WordPress
Bien débuter dans la conception d'un thème WordPressBien débuter dans la conception d'un thème WordPress
Bien débuter dans la conception d'un thème WordPress
 
Wordpress et SEO - Campus Made in Blog 2014 Montréal
Wordpress et SEO - Campus Made in Blog 2014 MontréalWordpress et SEO - Campus Made in Blog 2014 Montréal
Wordpress et SEO - Campus Made in Blog 2014 Montréal
 
Nice meetup
Nice meetupNice meetup
Nice meetup
 
10 conseils pour booster les performances de votre site sous WordPress
10 conseils pour booster les performances de votre site sous WordPress10 conseils pour booster les performances de votre site sous WordPress
10 conseils pour booster les performances de votre site sous WordPress
 
Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016
Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016
Les clés pour réussir son site WordPress - SeoMix au WordCamp Paris 2016
 
Découverte d'aeSecure, sécurisation et optimisation sites Apache
Découverte d'aeSecure, sécurisation et optimisation sites ApacheDécouverte d'aeSecure, sécurisation et optimisation sites Apache
Découverte d'aeSecure, sécurisation et optimisation sites Apache
 
Accroître la sécurité de son site internet et de Joomla! plus spécifiquement
Accroître la sécurité de son site internet et de Joomla! plus spécifiquementAccroître la sécurité de son site internet et de Joomla! plus spécifiquement
Accroître la sécurité de son site internet et de Joomla! plus spécifiquement
 
Optimiser wordpress
Optimiser wordpressOptimiser wordpress
Optimiser wordpress
 
Optimiser WordPress
Optimiser WordPressOptimiser WordPress
Optimiser WordPress
 
WordPress + HTTPS
WordPress + HTTPSWordPress + HTTPS
WordPress + HTTPS
 
Optimiser les performances dans Wordpress
Optimiser les performances dans WordpressOptimiser les performances dans Wordpress
Optimiser les performances dans Wordpress
 
Word Press Intro
Word Press IntroWord Press Intro
Word Press Intro
 
Audit de site WordPress
Audit de site WordPressAudit de site WordPress
Audit de site WordPress
 
Protéger son site web des cyber-attaques
Protéger son site web des cyber-attaquesProtéger son site web des cyber-attaques
Protéger son site web des cyber-attaques
 

Similaire à Sécuriser un site WordPress - Semaine du web

Sécuriser un site WordPress - Semaine du web
Sécuriser un site WordPress - Semaine du webSécuriser un site WordPress - Semaine du web
Sécuriser un site WordPress - Semaine du web
Nour El Houda
 
Sécuriser son site wordpress
Sécuriser son site wordpressSécuriser son site wordpress
Sécuriser son site wordpress
Prénom Nom de famille
 
Wordpress et la sécurité des plugins
Wordpress et la sécurité des pluginsWordpress et la sécurité des plugins
Wordpress et la sécurité des plugins
Boiteaweb
 
Optimiser WordPress – Checklist après installation
Optimiser WordPress – Checklist après installationOptimiser WordPress – Checklist après installation
Optimiser WordPress – Checklist après installation
Fabrice Ducarme
 
Webinar - Maintenance d'un site WordPress en agence.pdf
Webinar - Maintenance d'un site WordPress en agence.pdfWebinar - Maintenance d'un site WordPress en agence.pdf
Webinar - Maintenance d'un site WordPress en agence.pdf
Julien Dereumaux
 
WordPress
WordPressWordPress
WordPress
Chris Gaillard
 
Alphorm.com Formation WordPress 4
Alphorm.com Formation WordPress 4 Alphorm.com Formation WordPress 4
Alphorm.com Formation WordPress 4
Alphorm
 
Formation Wordpress 3
Formation Wordpress 3Formation Wordpress 3
Formation Wordpress 3robinparisi
 
Un site web en 5 minutes avec le CMS Wordpress- SFD Douala 2014
Un site web en 5 minutes avec le CMS Wordpress-  SFD Douala 2014Un site web en 5 minutes avec le CMS Wordpress-  SFD Douala 2014
Un site web en 5 minutes avec le CMS Wordpress- SFD Douala 2014
Mak YIMEN
 
Mieux Filtrer ses listes WordPress avec Ajax et WP_Query
Mieux Filtrer ses listes WordPress avec Ajax et WP_QueryMieux Filtrer ses listes WordPress avec Ajax et WP_Query
Mieux Filtrer ses listes WordPress avec Ajax et WP_Query
Symetris
 
agoraCMS - WordPress, thèmes et plugins : mode d'emploi
agoraCMS - WordPress, thèmes et plugins : mode d'emploiagoraCMS - WordPress, thèmes et plugins : mode d'emploi
agoraCMS - WordPress, thèmes et plugins : mode d'emploiLionel Pointet
 
Secubasejoomla
SecubasejoomlaSecubasejoomla
Secubasejoomla
Bacely YoroBi
 
Prévention et traitement du hack de serveurs
Prévention et traitement du hack de serveursPrévention et traitement du hack de serveurs
Prévention et traitement du hack de serveurs
Amen.fr
 
Création de themes WordPress
Création de themes WordPressCréation de themes WordPress
Création de themes WordPressChi Nacim
 
Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013
Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013
Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013
Ghilas BELHADJ
 
WordPress en tant que CMS
WordPress en tant que CMSWordPress en tant que CMS
WordPress en tant que CMSChi Nacim
 
Bien qu'en ligne votre site web n'est probablement pas en production
Bien qu'en ligne votre site web n'est probablement pas en productionBien qu'en ligne votre site web n'est probablement pas en production
Bien qu'en ligne votre site web n'est probablement pas en production
Marc Boivin
 
Sécurité wordpress
Sécurité wordpressSécurité wordpress
Sécurité wordpress
AyoubSIAHMED
 

Similaire à Sécuriser un site WordPress - Semaine du web (20)

Sécuriser un site WordPress - Semaine du web
Sécuriser un site WordPress - Semaine du webSécuriser un site WordPress - Semaine du web
Sécuriser un site WordPress - Semaine du web
 
Sécuriser un site Wordpress
Sécuriser un site WordpressSécuriser un site Wordpress
Sécuriser un site Wordpress
 
Sécuriser son site wordpress
Sécuriser son site wordpressSécuriser son site wordpress
Sécuriser son site wordpress
 
Tp1 wp etud
Tp1 wp etudTp1 wp etud
Tp1 wp etud
 
Wordpress et la sécurité des plugins
Wordpress et la sécurité des pluginsWordpress et la sécurité des plugins
Wordpress et la sécurité des plugins
 
Optimiser WordPress – Checklist après installation
Optimiser WordPress – Checklist après installationOptimiser WordPress – Checklist après installation
Optimiser WordPress – Checklist après installation
 
Webinar - Maintenance d'un site WordPress en agence.pdf
Webinar - Maintenance d'un site WordPress en agence.pdfWebinar - Maintenance d'un site WordPress en agence.pdf
Webinar - Maintenance d'un site WordPress en agence.pdf
 
WordPress
WordPressWordPress
WordPress
 
Alphorm.com Formation WordPress 4
Alphorm.com Formation WordPress 4 Alphorm.com Formation WordPress 4
Alphorm.com Formation WordPress 4
 
Formation Wordpress 3
Formation Wordpress 3Formation Wordpress 3
Formation Wordpress 3
 
Un site web en 5 minutes avec le CMS Wordpress- SFD Douala 2014
Un site web en 5 minutes avec le CMS Wordpress-  SFD Douala 2014Un site web en 5 minutes avec le CMS Wordpress-  SFD Douala 2014
Un site web en 5 minutes avec le CMS Wordpress- SFD Douala 2014
 
Mieux Filtrer ses listes WordPress avec Ajax et WP_Query
Mieux Filtrer ses listes WordPress avec Ajax et WP_QueryMieux Filtrer ses listes WordPress avec Ajax et WP_Query
Mieux Filtrer ses listes WordPress avec Ajax et WP_Query
 
agoraCMS - WordPress, thèmes et plugins : mode d'emploi
agoraCMS - WordPress, thèmes et plugins : mode d'emploiagoraCMS - WordPress, thèmes et plugins : mode d'emploi
agoraCMS - WordPress, thèmes et plugins : mode d'emploi
 
Secubasejoomla
SecubasejoomlaSecubasejoomla
Secubasejoomla
 
Prévention et traitement du hack de serveurs
Prévention et traitement du hack de serveursPrévention et traitement du hack de serveurs
Prévention et traitement du hack de serveurs
 
Création de themes WordPress
Création de themes WordPressCréation de themes WordPress
Création de themes WordPress
 
Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013
Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013
Création de Thème WordPress - Ghilas BELHADJ - Semaine du Web 2013
 
WordPress en tant que CMS
WordPress en tant que CMSWordPress en tant que CMS
WordPress en tant que CMS
 
Bien qu'en ligne votre site web n'est probablement pas en production
Bien qu'en ligne votre site web n'est probablement pas en productionBien qu'en ligne votre site web n'est probablement pas en production
Bien qu'en ligne votre site web n'est probablement pas en production
 
Sécurité wordpress
Sécurité wordpressSécurité wordpress
Sécurité wordpress
 

Sécuriser un site WordPress - Semaine du web

  • 1. Sécuriser un site WordPress WordPressAlgérieLa Semaine Du Web - 2013 SLIMANI Nour El Houda k.nourslimani@gmail.com
  • 2. WordPressAlgérieLa Semaine Du Web - 2013 Sommaire • Introduction • Raisons pour pirater un site • Les risques les plus connus • Techniques de base pour sécuriser un site WordPress – Lors de l’installation – Après l’installation – Plugins requis • Conclusion
  • 3. Introduction • Saviez-vous que WordPress est le CMS open source le plus utilisé au monde ? • Environ 15% des sites internet dans le monde s’en servent. • Qui dit succès, dit revers de la médaille! Il est donc nécessaire de se protéger le mieux possible. • WordPress est un logiciel de gestion de contenu très sécuritaire mais qu’aucun système même très protégé n’est infaillible. • La sécurité 100 % n’existe pas sur Internet ni d’ailleurs dans n’importe quel domaine. WordPressAlgérieLa Semaine Du Web - 2013
  • 4. Le problème du hacking est sans fin ! WordPressAlgérieLa Semaine Du Web - 2013
  • 5. The web site whose URL is written in this note shall be hacked ! WordPressAlgérieLa Semaine Du Web - 2013
  • 6.
  • 7. WordPressAlgérieLa Semaine Du Web - 2013 Si mon site se fait pirater, je le saurai assez rapidement ??
  • 8. WordPressAlgérieLa Semaine Du Web - 2013 Les causes les plus fréquentes de la vulnérabilité des blogs Wordpress • Version Wordpress obsolète • Installation de thèmes et plugins douteux. • Le niveau de sécurité faible du mot de passe. • Accès FTP volés. • Problèmes de sécurité avec l’hébergeur
  • 9. WordPressAlgérieLa Semaine Du Web - 2013 Raisons pour pirater un site • La redirection du trafic vers d’autres sites. • L’utilisation du site pour voler les informations critiques. • L’insertion de liens de spams dans le contenu du site en question (articles et commentaires) pour améliorer le référencement de leurs sites. • Tant que vous avez un site wordpress, il y aura toujours des raisons de vous faire pirater. • Just for the fun :p
  • 10. Sécuriser votre site WordPress n’est pas une affaire de spécialiste !
  • 11. SÉCURISERWORDPRESS: COMMENT FAIRE? Tout le monde n'a pas forcément les compétences techniques pour trouver les failles de son site ni savoir les combler afin de dormir sur ses 2 oreilles.
  • 12. WordPressAlgérieLa Semaine Du Web - 2013 Sécuriser Wordpress: Quelques clefspour améliorer la protection de votre plate-forme Web.
  • 14. WordPressAlgérieLa Semaine Du Web - 2013 Sécuriser Wordpress: Dès l’installation: il faut se préparer au pire ! Mieux vaut prévenir que guérir !
  • 15. Compte Admin : Eliminer le maillon faible! WordPressAlgérieLa Semaine Du Web - 2013 Virezmoi ce « Admin »
  • 16. Compte Admin • Admin est le maillon faible des utilisateurs de Wordpress. • Choisissez autre chose que le traditionnel “admin”, le but du jeu est de mettre des bâtons dans les roues à ceux qui veulent vous nuire ! • Si vous manquez d'inspiration : Le plugin Wordpress Google Authenticator ;) WordPressAlgérieLa Semaine Du Web - 2013
  • 17. I.2 Mot de passe • Disposer d’un mot de passe d’au moins 8 caractères incluant : – Majuscules & Miniscules – Des chiffres ; – Des symboles spéciaux ; • Blindez le mot de passe dans le genre « jesuis_*_sur=que@tu&nele|trouveras$pas» • Laissez faire votre imagination ou un générateur de mot de passe! • Évitez toute donnée faisant référence à votre vie personnelle • Plugin Limit Login Attempts : limiter le nombre de tentatives dans un temps donné (ex : 3 tentatives toutes les 10minutes. WordPressAlgérieLa Semaine Du Web - 2013
  • 18. WordPressAlgérieLa Semaine Du Web - 2013 I.3 Préfixes de tables : Protéger sa base de données • Modifiez vos préfixes de tables à l’installation, au lieu de wp_ préférez un truc du genre : « commenttuvasgalerer_ » • Renforcer la sécurité de votre BDD d’injections SQL qui peuvent transformer votre blog en ferme de lien. • Plugin WP Security Scan permet de renommer le préfixe.
  • 19. Once the installation process is complete there is still quite a bit of work to be done securing WordPress. WordPressAlgérieLa Semaine Du Web - 2013
  • 20. Archivez, Archivez, Archivez ! WordPressAlgérieLa Semaine Du Web - 2013
  • 21. Archivage et sauvegarde • Même si on a beau bien se protéger, notre vie peut prendre une tournure différente ! Backup, Backup, Backup ! • Faut toujours avoir un plan de sauvegarde et de restauration. • Avant toute intervention, faites des backup régulièrement de votre site WordPress – Votre base de données MySQL ; – Votre compte FTP ; WordPressAlgérieLa Semaine Du Web - 2013
  • 22. Archivage et sauvegarde : WP-DB-Backup • Sauvegarder la base de données WordPress • Choisir les tables à sauvegarder, • Recevoir les tables par eMail, • La base de données pourra être réinjectée à distance elle aussi. WordPressAlgérieLa Semaine Du Web - 2013
  • 24. Si seulement … • Sauvegarder Wordpress dans son intégralité (Base de données+ fichiers), • L’envoyer par mail • Sur FTP ( dans un dossier de sauvegarde) • Soit dans un autre FTP (plus malin je trouve ^^) • Vers DropBox: Recevoir chaque {mois|semaine|jour|heure} une sauvegarde du FTP sur mon bureau dans le dossier DropBox de mon Ordi donc même si le pirate met le feu chez moi, OSEF :p je pourrai tjrs récupérer ma sauvegarde. • Et pourquoi pas d’autres options en plus :p ? Juste pour la beauté de mes yeux , hein ?? J’ai le droit de rêver au final :p • Avant que j’oublie … Faut qu’il soit gratuit comme on les aime ;) WordPressAlgérieLa Semaine Du Web - 2013
  • 25. Tout est désormais possible Don’t worry ! :p
  • 26. BackWPup • Plugin de sauvegarde le plus complet • Sauvegarde de la Base de données • Export articles et pages en XML • Optimisation et réparation de la Base de données • Sauvegarde des fichiers et répertoires • Backup aux formats zip, tar, tar.gz, tar.bz2 • Sauvegarde envoyée sur votre serveur FTP, Amazon S3, Google Storage, Microsoft Azure, RackSpaceCloud, Dropbox, SugarSync... • Envoi des logs et backups sur votre email WordPressAlgérieLa Semaine Du Web - 2013
  • 28. WordPressAlgérieLa Semaine Du Web - 2013 Installation des extensions & plugins • N’installez pas n’importe quoi sur votre site : • Préférez les extensions proposées par le site officiel de WordPress • Favoriser ceux qui ont des mises à jours régulière et faites les ces mises à jour, • Choisissez les extensions qui ont un nombre de vote (et de votant) très bon • Un plugin qui n’est pas souvent mis à jour peut contenir des failles de sécurité. • Informez-vous sur les rapports de bug et failles de sécurité desdits plugins.
  • 29. WordPressAlgérieLa Semaine Du Web - 2013 Mise à jour extensions et versionWordpress La mise à jour de son blog peut donner quelques sueurs froides mais le piratage de votre blog pourrait vous donner un mal de tête bien plus conséquent !!! • Tenir à jour votre architecture WordPress et vos extensions, • Tenez vous également au courant des mises à jour de votre thème…Et appliquez les ;)
  • 30. WordPressAlgérieLa Semaine Du Web - 2013 • Avoir un mot de passe digne de ce nom. • Sachez convenablement organiser votre thème • Protéger repertoires sensibles – Regle générale : 755 pour les folders & 644 pour les files, – .htaccess : Options All –Indexes • Améliorer encore la sécurité avec le plugin «Ask Apache ». – Protéger le dossier wp-admin par une authentification au niveau du serveur. – Désactiver les liens malveillants et l’accès direct aux répertoires wp- content et wp-includes WordPressAlgérieLa Semaine Du Web - 2013 Protéger les accès à Wordpress et ses répertoires
  • 32. WordPressAlgérieLa Semaine Du Web - 2013 Niveau intermédiaire • Prendre toutes les précautions nécessaire à la protection de votre site, c’est bien. Mais • Ne pas exposer vos données sensibles aux grand soleil, c’est encore mieux.
  • 33. WordPressAlgérieLa Semaine Du Web - 2013 Suppression du fichier readme.html • Placé à la racine de votre site, ce fichier contient la version WordPress de votre site, (testez avec www.votresite.com/readme.html).
  • 34. Chouchoutez vos fichiers sensibles ! • “wp-config.php” • “.htaccess” WordPressAlgérieLa Semaine Du Web - 2013
  • 35. Protéger wp-config.php • Erreurs PHP qui offrent l’accès au fichier wp-config.php • Le fichier wp-config.php peut-être protégé par des clés de sécurité alors pourquoi s’en priver ? • Générer et y insérez les grâce au lien :https://api.wordpress.org/secret-key/1.1/salt/ • Reconnecter sur vos bloc après cette manipulation WordPressAlgérieLa Semaine Du Web - 2013
  • 36. Exemple de clefsd’authentification et salage WordPressAlgérieLa Semaine Du Web - 2013
  • 37. WordPressAlgérieLa Semaine Du Web - 2013 Protéger .htaccess • Restreindre les droits d’accès au seul propriétaire – A partir d’un navigateur FTP ( ex: Filezilla)« Droit d’accès au fichier » => 644 – Grâce à WP Security Scan • Protégez votre fichier .htaccess
  • 39. Masquezvotre version • Editer le fichier functions.php : présent dans votre thème (dans /wp-content/themes/VotreTheme) et ajouter: • Editer le fichier header.php en supprimant la ligne : • Autre alternative : l’extension Better security WP. • Jouer avec vos assaillants en leur mentant sur la version que vous utilisez avec le plugin Replace WP-Version;) WordPressAlgérieLa Semaine Du Web - 2013
  • 40. Empêcher les attaques par Brute Forcing : • Bloquer les tentatives multiples de connexions au panneau d’administration • Remédier à cela en utilisant le plugin LoginLockDown. WordPressAlgérieLa Semaine Du Web - 2013
  • 41. Limiter le nombre de tentatives deconnexions • Blocagepar adresseIP ne sera pas efficace • Une meilleure alternative consiste à activer une authentification en 2 temps (2-factor authentication) : • Plugin pour le mettre en place rapidement sur votre site : GoogleAuthenticator. WordPressAlgérieLa Semaine Du Web - 2013
  • 42. Désactiver Windows LiveWriter ) : • WordPress vous offres la possibilité de publier vos articles via Windows Live Writer. • Supprimer les lignes indésirables • Editer le fichier functions.php: WordPressAlgérieLa Semaine Du Web - 2013 Unelignede codesuspecte se cacheici !
  • 43. Attention à faillesTimThumb • Script TimThumb . • Ré-écrire le fichier .htaccess • Le plugin TimThumbVulnerability WordPressAlgérieLa Semaine Du Web - 2013
  • 44. WordPressAlgérieLa Semaine Du Web - 2013 Quelques précautions supplémentaires • Ne laisser aucune donnée sensible dans wp-content ! – Ex: L’archive de base de données que certains plugins comme WP- backup le stockent dans wp-content. • Supprimer tous les utilisateurs inactifs à fort pouvoir (administrateur).
  • 45. WordPressAlgérieLa Semaine Du Web - 2013 Des plugins à votre secours ! • Better WP Security • WP-Scurity Scan • TAC (Theme Authenticity Checker)
  • 47. Masquer les erreurs de connexion • Renforcer la sécurité en masquant les erreurs de connexion affichés lors de tentative infructueuse. => Eviter de divulguer les messages aux yeux de tous • Editer le fichier functions.php de votre thème et d’y ajouter: • Recommencer cette manipulation Si vous changiez de thème. WordPressAlgérieLa Semaine Du Web - 2013
  • 49. Antivirus pour Wordpress: Wordfence • Gratuit & Puissant • Analyse en profondeur un site Wordpress • Accès au fichier incriminé pour rapidement faire le ménage • Visualiseur géolocalisé et en direct du trafic de votre site WordPressAlgérieLa Semaine Du Web - 2013
  • 50. Anti-Malware (Get Off Malicious Scripts) • Anti-Malware/Anti-virus Plugin • Solution prometteuse ! WordPressAlgérieLa Semaine Du Web - 2013
  • 51. Theme check • Utilitaire simple et efficace pour analyser votre thème • Un très bon outil WordPressAlgérieLa Semaine Du Web - 2013
  • 52. WordPress Firewall 2 • Bloquer les directory traversals • Bloquer les requêtes d’injection SQL • Bloquer les termes spécifiques ( wp_, user_login, etc.) • Bloquer l’upload de fichier .exe, .php • Avertir par mail en cas de tentatives d’attaques • Rediriger les attaques vers une page 404 ou la page d’accueil • Et bien d’autres fonctionnalités que je vous laisse découvrir…. WordPressAlgérieLa Semaine Du Web - 2013
  • 53. WordPressAlgérieLa Semaine Du Web - 2013 C’est la vie ! • En dépit de toutes précautions le risque ne sera jamais nul ! le risque zéro n'existe pas... • Pour prévenir toute mauvaise surprise, il convient de faire des backups régulièrement. • Le plugin WP-Database Backup est une bonne solution !
  • 54. WordPress AlgérieLa Semaine Du Web - 2013 SLIMANI NourEL Houda  PhD Student at Laboratory of Research in Artificial Intelligence LRIA, USTHB.  Wordpress Member  Web developper  Just Me ;) WordPress