Sécuriser efficacement son site WordPress

Ajouter des clefs de sécurité secrètes dans le fichier wp-config.php (niv. intermédiaire)

Si vous avez déjà installé par vos propres moyens un site WordPress, vous devriez avoir remarqué des codes particuliers dans votre fichier wp-config.php (lequel contient les configurations nécessaires pour que WordPress fonctionne convenablement). Cette section du fichier de configuration regroupe les clés d’authentification SALT qui créent un cookie d’identification protégeant votre installation.

Si ces codes ne sont pas présents dans votre fichier wp-config.php, vous pouvez les régénérer grâce au lien suivant :
https://api.wordpress.org/secret-key/1.1/salt/

Notez que tout changement de ces clefs de salage aura pour effet d’invalider tous les cookies de votre site et forcera donc chaque utilisateur à se reconnecter sur votre blog.

Supprimer le compte ‘admin’ par défaut (niv. intermédiaire)

Par facilité ou par défaut (sur certains hébergeurs comme OVH), l’identifiant admin est souvent créé pour identifier l’espace d’administration. La popularisation de cet identifiant le rend par nature très sensible : le pirate potentiel n’a plus qu’à se concentrer sur votre mot de passe pour percer votre accès.

Si vous disposez d’un tel compte, créez un autre compte alternatif avec les mêmes droits d’administrateur, puis supprimez le compte dont l’identifiant est admin. Cette manœuvre peut se mener même en cours de vie du blog : un système de bascule des anciens articles et pages est automatiquement proposé.

Masquer les erreurs de connexion (niv. expert)

Voilà typiquement un comportement de WordPress très ‘user-friendly’ qui peut s’avérer ‘hacker-friendly’ lorsqu’il se retourne contre vous. En effet, lors d’une erreur de saisie de votre mot de passe ou de votre login, WordPress vous guide gentiment et indique ce qui ne convient pas. Il s’agit donc de gommer cette fonctionnalité pour ne pas donner d’indice supplémentaire aux pirates qui en veulent à vos données.

Pour cela, ajoutez cette ligne de code à votre fichier functions.php (de votre thème enfant) :

add_filter('login_errors', function() {
return '';
});

Note : l’ancienne syntaxe utilisant create_function() n’est plus compatible avec PHP 8 et provoquera une erreur fatale. La fonction anonyme ci-dessus est l’équivalent moderne.

Modifier le nom de votre dossier wp-content (niv. expert)

⚠️ Technique avancée à utiliser avec précaution. Cette opération relève du « security through obscurity » : son bénéfice réel en sécurité est marginal, et elle peut casser de nombreux plugins qui référencent en dur le dossier wp-content. À envisager uniquement sur une nouvelle installation et après mise en recette.

Ouvrez le fichier wp-config.php (il est sage de faire une archive préalable de ce fichier si important). Aux alentours de la ligne 88-90 (ou de la dernière ligne de wp-config), vous devriez trouver la séquence :

require_once ABSPATH . 'wp-settings.php';

Ajoutez immédiatement au-dessus le code suivant :

/* modification du nom de dossier wp-content */
define('WP_CONTENT_FOLDERNAME', 'nouveau-dossier');
define('WP_CONTENT_DIR', ABSPATH . WP_CONTENT_FOLDERNAME);
define('WP_CONTENT_URL', 'https://votre-domaine.com/' . WP_CONTENT_FOLDERNAME);
define('WP_PLUGIN_DIR', WP_CONTENT_DIR . '/plugins');
define('WP_PLUGIN_URL', WP_CONTENT_URL . '/plugins');
/* fin de la modification */

Remplacez la mention nouveau-dossier par le nouveau nom de dossier de wp-content, et personnalisez votre-domaine.com avec votre propre URL. Une fois ces manipulations faites et publiées sur wp-config, vous pourrez changer le nom de votre dossier wp-content avec un nom équivalent (sans majuscule, ni accent, ni espace).

Assurez-vous que tout continue à fonctionner sur votre site, en particulier vos divers plugins. S’il s’avère que vous rencontrez un dysfonctionnement, il est probable qu’un de vos plugins fasse mention au dossier wp-content au lieu de faire appel à une fonction telle que content_url(). Vous devrez alors corriger à la main cette mention dans les plugins défaillants (un bonheur) ou vous passer tout bonnement de ces plugins.

Il est bien entendu capital d’ajouter dans ce nouveau dossier les composants habituels de wp-content, soit /languages /plugins /themes /upgrade, avec leur contenu légitime.

Protégez-vous contre le hotlinking

J’ai découvert dans les faits le hotlinking par le vol de mon article Archiver sa base de données WordPress qui s’est vu affiché sur un autre site que le mien, sans mon autorisation. Mes images ont été victimes de hotlinking, terme que je connaissais mal et qui consiste à « utiliser l’adresse d’un fichier publié sur un site web, le plus souvent une image, pour l’afficher sur un autre site, sur un blog » [définition Wikipédia].

Définition

Traditionnellement (j’illustre ici le principe de fonctionnement de façon très grossière, vous trouverez un schéma plus étayé sur cet autre article), votre visiteur consulte le contenu de votre site grâce au serveur qui héberge vos images et vos textes (sur la base de données).

Dans le cas d’un hotlinking, votre « voleur » aussi maladroit qu’indélicat a copié l’ensemble du code source de votre article et l’a ajouté à une de ses pages.

La personne qui consulte votre article croit être au bon endroit sur le site voleur. L’ensemble des images pointent cependant encore vers votre serveur, ce qui à terme en réduit sa vélocité.

Remède

Nous allons utiliser une fois de plus le .htaccess pour restreindre et rediriger l’emploi de vos images en hotlinking. Cette manipulation est particulièrement intéressante pour les photographes ou les graphistes dont la production est parfois indûment pillée.

RewriteEngine On

# Remplacer votredomaine.com par l'adresse de votre site
# la mention NC rend insensible à la casse (majuscule/minuscule)
RewriteCond %{HTTP_REFERER} !^https?://(.+\.)?votredomaine\.com/ [NC]
RewriteCond %{HTTP_REFERER} !^$

# Remplacer /images/nohotlink.jpg par le chemin de l'image affichée chez les voleurs
# Propose une image alternative lors de l'emploi abusif de vos images
RewriteRule \.(jpe?g|gif|bmp|png|webp)$ /images/nohotlink.jpg [L]

On peut bien entendu supprimer toutes les lignes commentées avec le signe # avant de le poster sur le .htaccess.

Note : cette technique fonctionne sur serveur Apache. Si votre hébergement utilise Nginx ou LiteSpeed, l’approche est différente. Une alternative moderne et universelle consiste à activer la protection anti-hotlinking native dans Cloudflare (gratuit).

Ne manquez pas de sauvegarder la version précédente de ce fichier ; elle vous sera utile si vous faites une erreur de code et que votre site déploie alors une grosse erreur 500 :)