WordPress est l'un des systèmes de gestion de contenu les plus populaires et les plus connus au monde. Par conséquent, WordPress est une cible fréquente des attaques de sécurité, telles que les attaques par force brute, l'injection SQL, les logiciels malveillants, les scripts intersites et les attaques DDoS. En fait, récemment, une nouvelle variété de logiciels malveillants appelés Clipsa lance des attaques par force brute sur des sites WordPress, volant des crypto-monnaies via le détournement de presse-papiers.
WordPress est aussi sécurisé que la quantité d'efforts que vous consacrez à l'amélioration de la sécurité de votre site. En tant que propriétaire de site Web, il est de votre responsabilité de rester vigilant et de mettre en œuvre une stratégie de sécurité proactive pour prévenir les attaques malveillantes. L'utilisation de mots de passe et de noms d'utilisateur faibles, le manque de mise à jour du noyau et des plugins WordPress et l'hébergement de faible qualité sont parmi les erreurs de sécurité les plus courantes commises par les propriétaires de sites Web, offrant un accès facile à pirates malveillants.
WordPress est un CMS hautement sécurisé à sa manière. Cependant, pour protéger votre site WordPress contre les cybercriminels, vous devez améliorer votre sécurité et votre crédibilité en ligne. Des étapes simples comme la mise à jour du cœur de WordPress, le choix d'un fournisseur d'hébergement WordPress sécurisé, l'attention portée à la sécurité des noms de domaine et l'utilisation d'un mot de passe fort peuvent aider à bloquer les bots et les attaquants malveillants.
Dans cet article, nous nous concentrerons sur les sels et les clés de sécurité WordPress et leur rôle pour vous assurer de ne pas avoir à faire face aux conséquences des attaques de logiciels malveillants.
Quels sont les clés de sécurité et les sels de WordPress?
Lorsqu'un utilisateur se connecte au site WordPress, une série de cookies sont créés sur l'ordinateur. Ils sont utilisés pour vérifier l'identité des utilisateurs connectés. Si un pirate informatique entre dans votre base de données ou trouve vos cookies, il peut être en mesure de lire votre mot de passe, ce qui rend votre site vulnérable aux attaques.
WordPress utilise des clés de sécurité et des sels pour vous fournir une sortie cryptique stockée dans la base de données ou le cookie, ajoutant une couche de sécurité à votre site Web.
Deux de ces cookies sont:
- WordPress_ (hachage) utilisé uniquement sur la page d'administration ou le tableau de bord WordPress.
- WordPress_logged_in_ (hachage) utilisé dans WordPress pour déterminer si vous êtes connecté ou non à WordPress.
Les détails d'authentification stockés dans ces cookies par WordPress sont des hachages (valeurs assignées cryptiques) utilisant les modèles aléatoires spécifiés dans les clés de sécurité WordPress.
Clé de sécurité WordPress C'est un mot de passe qui contient un ensemble de variables longues, compliquées et aléatoires qui améliorent le cryptage, ce qui rend presque impossible de casser votre mot de passe. La dernière version de WordPress utilise quatre clés de sécurité, chacune avec un sel correspondant qui peut augmenter la sécurité de votre site Web avec WordPress.
Ceux-ci sont:
- CLÉ D'AUTHENTIFICATION peut être utilisé pour apporter des modifications au site. Il vous aide à signer le cookie d'autorisation pour non-SSL.
- SECURE_AUTH_KEY Il est utilisé pour signer le cookie d'autorisation pour l'administrateur SSL et est utilisé pour effectuer des modifications sur le site Web.
- LOGGED_IN_KEY Il est utilisé pour créer un cookie pour un utilisateur connecté. Il ne peut pas être utilisé pour apporter des modifications au site.
- NONCE_KEY il est utilisé pour signer la clé nonce. Cette clé protège les nonces contre la génération, protégeant ainsi votre site contre les attaques.
Vous trouverez ces clés et sels d'authentification dans le fichier wp-config.php, situé dans le dossier racine de WordPress.
Vous quittez WordPress ce sont des chaînes de données aléatoires qui contrôlent les clés de sécurité et ajoutent une couche de protection supplémentaire au site et à ses informations d'identification.
Comme vous pouvez le voir sur cette image, chaque clé de sécurité a un sel correspondant, à savoir AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT et NONCE_SALT.
Pourquoi utiliser les clés de sécurité et les sels de WordPress?
WordPress utilise des cookies pour suivre l'identité des utilisateurs connectés à son site Web. Ces cookies sont stockés dans le compte panel de votre site, c'est-à -dire côté client. Pour un meilleur cryptage, les détails d'authentification (nom d'utilisateur et mot de passe) sont combinés à l'aide d'un ensemble de valeurs aléatoires spécifiées dans les clés de sécurité WordPress.
Par conséquent, un mot de passe chiffré généré de manière aléatoire comme "65a3ds2873ba27us36sd89s0fc" est extrêmement difficile à déchiffrer par rapport à un mot de passe non chiffré. Par conséquent, les propriétaires de sites Web doivent utiliser les clés de sécurité WordPress pour protéger les cookies sur leur site et empêcher les pirates malveillants d'accéder au site.
Comment modifier manuellement les clés et les sels de WordPRess
Vous pouvez configurer les clés secrètes et vous déconnecter manuellement ou en utilisant un plugin de sécurité WordPress. Si vous avez un site WordPress auto-hébergé, vous devrez ajouter les clés de sécurité vous-même.
Remarque: nous vous recommandons de ne modifier manuellement les fichiers WordPress que si vous êtes développeur ou si vous êtes à l'aise avec le code à un niveau intermédiaire ou supérieur. Si vous êtes un débutant, passez aux plugins recommandés ci-dessous.
Tout d'abord, utilisez le générateur aléatoire WordPress pour obtenir une clé secrète unique.
Générer des clés
Connectez-vous ensuite au gestionnaire de fichiers du panneau de contrôle ou via FTP. À partir d'ici, recherchez le fichier wp-config.php pour le modifier.
Ouvrez le fichier et faites défiler jusqu'à la section "Clés d'authentification et sels uniques". C'est ici que vous pouvez ajouter vos clés secrètes générées précédemment.
Une fois le fichier enregistré, vous devrez vous reconnecter.
Utilisez un plugin pour mettre à jour les clés et les sels
Comme la plupart des choses dans WordPress, vous n'avez pas à le faire manuellement. Divers plugins WordPress peuvent être utilisés pour automatiser le processus en votre nom. Ils sont un moyen rapide et facile de modifier vos clés et sorties WordPress. Voici deux que nous recommandons.
iThemes Security
La version actuelle d'iThemes Security (Free v4.6 + ou iThemes Security Pro v1.14 +) est livrée avec une fonction de sécurité rapide qui met à jour facilement vos clés de sécurité WordPress et vos sels. Il propose un rappel de mise à jour tous les mois et évite de générer manuellement un nouveau jeu de clés ou de modifier votre fichier wp-config.php.
Pour mettre à jour les clés et les sels, rendez-vous dans la section "Ventes WordPress" de l'onglet "Avancé", cliquez sur la case "Changer les sels WordPress" et enfin cliquez sur la "Changer les sels de WordPress ".
IThemes Security Pro offre des fonctionnalités supplémentaires telles que l'authentification à deux facteurs, l'analyse programmée des logiciels malveillants et reCAPTCHA pour détecter les logiciels malveillants et ajouter une couche de sécurité supplémentaire à vos pages de connexion WordPress.
Salière
De même, Salt Shaker offre des fonctionnalités et des paramètres impressionnants comme les clés de sécurité WP manuelles et immédiates et le changement de sel pour améliorer votre sécurité WordPress.
De plus, après avoir installé le plugin Salt Shaker, vous pouvez configurer le travail planifié pour le changement automatique de sel. Il vous suffit de cocher la case et de choisir les paramètres quotidiens, hebdomadaires ou mensuels.
Dans les deux cas, le plugin est programmé pour envoyer des rappels automatiques pour mettre à jour les touches WordPress. En conséquence, cela oblige également tous les utilisateurs enregistrés à recommencer le processus de connexion. Toutes ces fonctionnalités aident à protéger un site Web contre les attaques par force brute et autres tentatives de piratage.
Lorsqu'il s'agit de sécuriser votre site WordPress, la prévention est la voie à suivre. La combinaison percutante de clés de sécurité et de sels WordPress rend difficile pour les pirates de déchiffrer les mots de passe des sites Web. C'est ainsi que WordPress offre une sécurité renforcée pour les sessions utilisateur et sécurise les données.
En résumé, voici quelques éléments à garder à l'esprit lors de la mise à jour des clés de sécurité et des sels de WordPress.
- Après avoir démarré votre site WordPress, modifiez les clés de sécurité et quittez-les.
- Utilisez toujours le générateur de clés salées WordPress pour créer des clés de sécurité. Ne le fais pas toi-même Alternativement, vous pouvez ou automatiser le processus en utilisant un plugin WordPress.
- La mise à jour des clés de sécurité et des sels de WordPress invalidera tous les cookies existants, obligeant tous les utilisateurs à se déconnecter instantanément. Donc, lorsque vous les modifiez, sachez que certains utilisateurs peuvent être en ligne.
- Si vous voyez des signes d'attaque sur votre site, mettez à jour les clés de sécurité WordPress et encouragez vos utilisateurs à changer leur mot de passe.
Avez-vous des questions sur les sels et les clés de sécurité? Ou des conseils que vous ajouteriez? Faites-le nous savoir dans les commentaires!
