18 plugins de sécurité WordPress et astuces pour sécuriser votre blog

Sans aucun doute, pour un blog auto-hébergé, WordPress est le meilleur CMS de blog que vous puissiez obtenir. Cependant, étant un logiciel populaire et à code source ouvert, cela signifie également que les pirates informatiques ont un accès complet au code qu’ils peuvent analyser pour trouver tous les exploits qu’ils peuvent utiliser pour pirater un site compatible WordPress..

Du côté positif, l’un des avantages de WordPress est son système de plug-in qui permet à n’importe qui d’installer un plugin ou de créer ses propres plug-ins pour étendre ses fonctionnalités, notamment en améliorant la sécurité..

Ici, j'ai énuméré quelques plugins de sécurité wordpress (et quelques astuces) que vous pouvez utiliser pour sécuriser un blog WordPress.

Tous les plugins et astuces listés ci-dessous sont destinés à WP 2.7 et aux versions ultérieures. Si vous utilisez toujours une ancienne version de WordPress, il est temps de mettre à jour votre blog..

Protéger votre identifiant

1. Connexion sécurisée CHAP

Ce plugin utilise le protocole CHAP pour chiffrer votre mot de passe. Le mot de passe est d'abord traité avec un nombre aléatoire (nonce) généré par la session, suivi de l'algorithme de transformation md5. Ce résultat est ensuite envoyé au serveur où il est décrit et authentifié. Ceci est un plugin de configuration zéro, ce qui signifie que vous pouvez l'utiliser immédiatement après l'avoir activé..

2. Connexion furtive

La connexion furtive obscurcit votre page de connexion en vous permettant de définir une page de connexion personnalisée au lieu du fichier wp-login.php par défaut. En cas de fuite de votre mot de passe, le pirate informatique aura également du mal à trouver la bonne URL de connexion. Une bonne utilisation de ceci est d'empêcher les robots malveillants d'accéder à votre fichier wp-login.php et de tenter une intrusion..

3. Verrouillage de la connexion

Login Lockdown est utile pour empêcher une attaque par force brute. Lors de la connexion, LockDown enregistre l'adresse IP et l'horodatage de chaque tentative de connexion infructueuse. Si plus d'un certain nombre de tentatives sont détectées dans un court laps de temps à partir de la même plage IP, cela verrouille la fonction de connexion et empêche toute personne de cette plage de se connecter..

4. Protection par mot de passe AskApache

Ce plugin ajoute une authentification HTTP supplémentaire pour fournir une deuxième couche de défense à votre blog. Vous pouvez configurer la protection par mot de passe pour votre blog à l'aide de l'authentification HTTP de base ou choisir d'utiliser l'authentification HTTP Digest plus sécurisée..

Notez que ce plugin pourrait ne pas fonctionner en fonction de la capacité de votre serveur. Si votre site ne réussit pas les tests de configuration AskApache (les tests exécutés par le plug-in pour détecter les capacités de votre serveur), contactez votre hôte Web pour voir s'il peut apporter des modifications côté serveur..

5. La connexion semi-sécurisée réinventée

Ce plugin fournit un “semi-sécurisé” environnement de connexion en cryptant votre mot de passe avec la cryptographie RSA

Protéger votre base de données

6. WP-DB-Backup

Peut-être que pour certains d'entre vous, sauvegarder une base de données pourrait être une corvée technique fastidieuse. Avec WP-DB-Backup, il vous suffit de le configurer une fois et de le faire fonctionner automatiquement à intervalles réguliers.

Ce plugin automatise la sauvegarde de votre base de données et l’envoie dans votre boîte de réception. Outre la table par défaut créée par WordPress, vous pouvez également sauvegarder des tables personnalisées créées par des plugins. Si votre compte se bloque, vous pouvez facilement importer et restaurer la base de données avec la sauvegarde..

7. WP-DBManager

Wp-DBManager est comme un phpmyadmin dans votre tableau de bord. Vous pouvez facilement gérer votre base de données directement dans votre tableau de bord. Il existe des fonctionnalités utiles telles que l'optimisation / réparation / sauvegarde / restauration de votre base de données et si vous êtes suffisamment technique, vous pouvez même exécuter votre propre requête SQL à partir de la page d'option.

Le mauvais côté, si des pirates parviennent à se connecter à votre site, ce plugin deviendra une passerelle pour créer des ravages dans votre base de données..

8. Changer le préfixe de la base de données

Le préfixe par défaut utilisé par WordPress est “wp”. Vous pouvez facilement remplacer le préfixe par d'autres termes difficiles à deviner à l'aide de WP-Security-Scan. Plus de détails sur ce plugin ci-dessous.

9. Protégez votre fichier wp-config.php

Votre fichier wp-config.php contient toutes les informations d'identification de connexion à votre base de données. Il doit être masqué de la vue publique en toutes circonstances. Dans votre fichier htaccess, mettez dans cette ligne:

 ordre permettre, nier refuser de tous 

empêcher quiconque de voir le fichier wp-config.php.

Protéger votre page d'administration

10. Admin SSL

Ce plugin force SSL sur toutes les pages où les mots de passe peuvent être entrés afin que toutes les informations transmises soient cryptées..

Une chose cependant, vous devez posséder un certificat SSL avant de pouvoir le faire. Si vous ne souhaitez pas débourser plus d'argent pour acheter un certificat SSL privé, vous pouvez demander à votre hébergeur Web de partager le protocole SSL. La plupart des hébergeurs Web fournissent le protocole SSL partagé à tous leurs clients, facile à configurer..

11. Changer le nom d'utilisateur de connexion

En utilisant “admin” comme votre identifiant est la dernière chose que vous voulez faire. Lorsque vous avez installé WordPress pour la première fois, vous devez immédiatement créer un autre compte administrateur avec votre nom d'utilisateur et votre mot de passe, puis supprimer le “admin” Compte.

Empêcher les autres de voir la structure de votre fichier interne

12. Masquer la version de WP

Dans la plupart des thèmes WordPress de la section, il y a toujours une ligne de code indiquant la version de WordPress que vous utilisez. Donner votre numéro de version WordPress, c'est dire au pirate quel exploit utiliser pour pirater votre site.

Depuis WP2.6.5, WordPress a rendu encore plus difficile la suppression de la version wp car elle intègre ces informations dans la wp_header étiquette. WP-Security-Scan est un plugin que vous pouvez utiliser pour supprimer ces informations..

13. Masquer le contenu WP

Le dossier WP-content est l'endroit où vous avez stocké tous vos plugins et fichiers de thèmes. C'est l'endroit où vous souhaitez empêcher d'autres personnes de regarder. Vous pouvez soit télécharger une vierge index.html fichier dans le dossier wp-content ou créez un fichier .htaccess dans le dossier wp-content et ajoutez cette ligne:

Options Tous -Indexes
 
14. Bloquez le dossier wp de l'indexation par les moteurs de recherche
 
Alors que vous voulez que les moteurs de recherche indexent votre blog et génèrent beaucoup de trafic, la dernière chose que vous voulez voir est de laisser les moteurs de recherche exposer votre structure de fichiers interne au public. Ce que vous pouvez faire est d'empêcher l'indexation de tout votre dossier wp par le moteur de recherche en ajoutant les entrées suivantes au fichier robot.txt:
 
Interdit: / wp- * 
 
Entretien
 
15. Scan de sécurité WP
 
J'ai mentionné ce plugin à plusieurs reprises, il est donc temps pour moi d'expliquer ce qu'il fait. WP-Security-Scan vérifie votre WordPress à la recherche de vulnérabilités en matière de sécurité et suggère / fournit des actions correctives. Les actions correctives incluent la modification du préfixe de votre base de données, le masquage du numéro de version de WordPress dans l'en-tête et vous permet de tester la force de votre mot de passe..
 
De temps en temps, c'est une bonne idée d'exécuter le scanner de sécurité intégré et de vérifier votre blog pour des invulnérabilités de sécurité..
 
16. Changer le mot de passe régulièrement
 
Non seulement devez-vous changer votre mot de passe régulièrement, vous devez également vous assurer qu'il est fort. Si vous rencontrez des difficultés pour en créer un, trouvez-en un qui vous permettra de créer des mots de passe forts que vous vous souviendrez facilement. Comment créer des mots de passe forts, dont vous vous souviendrez facilement Comment créer des mots de passe forts, dont vous vous souviendrez facilement    .
 
17. Mettez à jour WordPress et tous les plugins à la dernière version.
 
Inutile de dire que la meilleure façon de vous protéger est de passer à la dernière version de WordPress et de ses plugins..
 
Protéger votre connexion
 
18. SFTP
 
Le transfert de fichiers sur votre compte en ligne est une chose courante à faire. Cependant, au lieu d'utiliser le FTP non sécurisé, vous devez utiliser SFTP (Secure FTP). Cela créera une connexion SSH et enverra tous vos fichiers chiffrés au serveur. Si vous avez besoin d’aide pour créer une connexion SFTP, voici le guide.
 
Les informations ci-dessus devraient vous suffire pour créer un blog WordPress sécurisé. Si vous n'avez mis en œuvre aucune de ces solutions, je vous exhorte à le faire maintenant..
 
Quelles autres méthodes utilisez-vous pour sécuriser votre blog WordPress??