{"id":6531,"date":"2020-04-08T16:09:15","date_gmt":"2020-04-08T16:09:15","guid":{"rendered":"https:\/\/blogging-techies.com\/fr\/les-meilleurs-extraits-htaccess-pour-ameliorer-la-securite-wordpress\/"},"modified":"2020-04-08T16:09:15","modified_gmt":"2020-04-08T16:09:15","slug":"les-meilleurs-extraits-htaccess-pour-ameliorer-la-securite-wordpress","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/fr\/les-meilleurs-extraits-htaccess-pour-ameliorer-la-securite-wordpress\/","title":{"rendered":"Les meilleurs extraits .htaccess pour am\u00e9liorer la s\u00e9curit\u00e9 WordPress"},"content":{"rendered":"

\n<\/p>\n

La s\u00e9curit\u00e9 WordPress est l'un des facteurs les plus affaiblis parmi les blogueurs d\u00e9butants. Dans une installation WordPress non supervis\u00e9e, il existe un certain nombre de vuln\u00e9rabilit\u00e9s potentielles qui sont laiss\u00e9es sans surveillance. La plupart des didacticiels d'installation de WordPress expliquent un moyen rapide et facile d'impl\u00e9menter WordPress en quelques minutes. Mais certains facteurs de s\u00e9curit\u00e9 importants sont perdus. Par exemple, la navigation dans les r\u00e9pertoires et l'utilisation du nom d'utilisateur "admin" sont consid\u00e9r\u00e9es comme de s\u00e9rieuses failles de s\u00e9curit\u00e9. Aujourd'hui, nous allons jeter un coup d'\u0153il \u00e0 10 extraits de code secret qui aideront \u00e0 am\u00e9liorer la s\u00e9curit\u00e9 de votre blog WordPress. Avant de commencer, jetons un coup d'\u0153il \u00e0 ce qu'est le fichier htaccess.<\/p>\n

<\/span>Qu'est-ce que le fichier .htaccess?<\/span><\/h2>\n

Un fichier htaccess est un fichier de configuration facultatif que le serveur Web Apache doit interpr\u00e9ter, pour chaque r\u00e9pertoire. Vous pouvez stocker divers param\u00e8tres dans ce fichier, tels que: prot\u00e9ger par mot de passe un r\u00e9pertoire, bloquer les adresses IP, bloquer un fichier ou un dossier d'acc\u00e8s public, etc. Traditionnellement, le fichier .htaccess est pr\u00e9sent dans le r\u00e9pertoire d'installation de base de WordPress. Stocke la structure de permalien par d\u00e9faut.<\/p>\n

CONSEIL: <\/strong>Avant de commencer le didacticiel, assurez-vous de sauvegarder le fichier .htaccess actuel (le cas \u00e9ch\u00e9ant) sur un service de stockage cloud comme Dropbox. Il s'agit de revenir au dernier fichier .htaccess fonctionnel, si un certain morceau de code casse votre site. Nous allons commencer.<\/p>\n

<\/span>1. Bloquer les Bad Bots<\/span><\/h2>\n

\"mauvais<\/p>\n

L'une des meilleures utilisations du fichier .htaccess est sa capacit\u00e9 \u00e0 refuser l'acc\u00e8s \u00e0 votre site \u00e0 plusieurs adresses IP. Ceci est utile lors du blocage des spammeurs connus et d'autres sources d'acc\u00e8s suspects ou malveillants. Le code est:<\/p>\n

# Block one or more IP address.\r\n# Replace IP_ADDRESS_* with the IP you want to block\r\n\r\n\r\norder allow,deny\r\ndeny from IP_ADDRESS_1\r\ndeny from IP_ADDRESS_2\r\nallow from all\r\n<\/pre>\n
O\u00f9 IP_ADDRESS_1 est la premi\u00e8re IP que vous souhaitez emp\u00eacher d'acc\u00e9der \u00e0 votre site. Vous pouvez ajouter autant d'adresses IP que vous le souhaitez. Quels que soient les agents utilisateurs (navigateurs) qui utilisent ces adresses IP, ils ne pourront pas acc\u00e9der \u00e0 un seul fichier depuis votre serveur. Le serveur Web refusera automatiquement tout acc\u00e8s.<\/p>\n
<\/span>2. D\u00e9sactiver la navigation dans les r\u00e9pertoires<\/span><\/h2>\n
\"wordpress<\/p>\n
C'est l'une des failles de s\u00e9curit\u00e9 les plus compromises d'un site WordPress. Par d\u00e9faut, le serveur Web Apache active la navigation dans les r\u00e9pertoires. Cela signifie que tous les fichiers et dossiers du r\u00e9pertoire racine (parfois appel\u00e9 r\u00e9pertoire personnel) du serveur Web peuvent \u00eatre r\u00e9pertori\u00e9s et accessibles par un visiteur. Vous ne voulez pas cela parce que vous ne voulez pas que les gens parcourent vos t\u00e9l\u00e9chargements multim\u00e9dias ou vos th\u00e8mes ou fichiers de plug-in.<\/p>\n
Si je choisis au hasard 10 sites Web personnels ou commerciaux ex\u00e9cutant WordPress, la navigation dans les r\u00e9pertoires ne sera pas d\u00e9sactiv\u00e9e pour 6 \u00e0 8 d'entre eux. Cela permet \u00e0 quiconque de sentir facilement wp-content \/ uploads<\/strong> dossier ou tout autre r\u00e9pertoire qui n'a pas la valeur par d\u00e9faut index.php<\/strong> archiver. En fait, la capture d'\u00e9cran que vous voyez provient d'un des sites de mon client, avant de recommander la solution. Extrait de code pour d\u00e9sactiver la navigation dans les r\u00e9pertoires:<\/p>\n
# Disable directory browsing\r\nOptions All -Indexes<\/pre>\n
<\/span>3. Autoriser uniquement les fichiers s\u00e9lectionn\u00e9s \u00e0 partir de wp-content<\/span><\/h2>\n
\"shutterstock_108312266\"<\/p>\n
Comment connaissez-vous contenu wp<\/strong> Le dossier contient la plupart de ses th\u00e8mes, plugins et toutes les charges multim\u00e9dias. Vous ne voulez certainement pas que les gens y acc\u00e8dent sans restrictions. En plus de d\u00e9sactiver la navigation dans les r\u00e9pertoires, vous pouvez \u00e9galement refuser l'acc\u00e8s \u00e0 tous les types de fichiers, \u00e0 l'exception de certains. En substance, vous pouvez d\u00e9verrouiller s\u00e9lectivement des fichiers comme JPG, PDF, DOCX, CSS, JS etc. et les nier du reste. Pour ce faire, collez cet extrait de code dans votre fichier .htaccess:<\/p>\n
# Disable access to all file types except the following\r\nOrder deny,allow\r\nDeny from all\r\n\r\nAllow from all\r\n<\/pre>\n
Vous devez cr\u00e9er un nouveau fichier .htaccess avec le code et le coller dans le contenu wp<\/strong> dossier. Ne placez pas cela dans le r\u00e9pertoire d'installation de base; sinon cela ne fonctionnera pas. Vous pouvez \u00e9galement ajouter n'importe quel type de fichier \u00e0 la liste en ajoutant un "| apr\u00e8s" rar ". La liste ci-dessus contient les fichiers n\u00e9cessaires: XML, CSS et JavaScript, les images et formats de document courants et enfin les formats de fichier les plus utilis\u00e9s .<\/p>\n
<\/span>4. Restreindre tout acc\u00e8s \u00e0 wp-includes<\/span><\/h2>\n
\"shutterstock_135573032\"<\/p>\n
Les dossier wp-include<\/strong> Il ne contient que les fichiers strictement n\u00e9cessaires \u00e0 l'ex\u00e9cution de la version principale de WordPress, l'un sans plugins ni th\u00e8mes. N'oubliez pas que le th\u00e8me par d\u00e9faut r\u00e9side toujours dans le contenu \/ th\u00e8me wp<\/strong> r\u00e9pertoire. Par cons\u00e9quent, aucun visiteur (y compris vous) ne devrait avoir besoin d'acc\u00e9der au contenu du wp-include<\/strong> dossier. Vous pouvez d\u00e9sactiver l'acc\u00e8s avec cet extrait de code suivant:<\/p>\n
# Block wp-includes folder and files\r\n\r\nRewriteEngine On\r\nRewriteBase \/\r\nRewriteRule ^wp-admin\/includes\/ - (F,L)\r\nRewriteRule !^wp-includes\/ - (S=3)\r\nRewriteRule ^wp-includes\/(^\/)+.php$ - (F,L)\r\nRewriteRule ^wp-includes\/js\/tinymce\/langs\/.+.php - (F,L)\r\nRewriteRule ^wp-includes\/theme-compat\/ - (F,L)\r\n<\/pre>\n
<\/span>5. Autoriser uniquement les adresses IP s\u00e9lectionn\u00e9es \u00e0 acc\u00e9der \u00e0 wp-admin<\/span><\/h2>\n
\"shutterstock_140373169\"<\/p>\n
Les wp-admin<\/strong> Le dossier contient les fichiers n\u00e9cessaires \u00e0 l'ex\u00e9cution du tableau de bord WordPress. Dans la plupart des cas, vos visiteurs n'ont pas besoin d'acc\u00e9der au tableau de bord WordPress, sauf s'ils souhaitent cr\u00e9er un compte. Une bonne mesure de s\u00e9curit\u00e9 consiste \u00e0 n'autoriser que quelques adresses IP s\u00e9lectionn\u00e9es \u00e0 acc\u00e9der wp-admin<\/strong> dossier. Vous pouvez autoriser les adresses IP des personnes qui ont besoin d'acc\u00e9der au tableau de bord WordPress: \u00e9diteurs, contributeurs et autres administrateurs. Cet extrait de code permet uniquement aux adresses IP fixes d'acc\u00e9der wp-admin<\/strong> dossier et refuse l'acc\u00e8s au reste du monde.<\/p>\n
# Limit logins and admin by IP\r\n\r\norder deny,allow\r\ndeny from all\r\nallow from 302.143.54.102\r\nallow from IP_ADDRESS_2\r\n<\/pre>\n
Assurez-vous de cr\u00e9er un nouveau fichier .htaccess et de le coller dans le dossier wp-admin et non dans le r\u00e9pertoire d'installation de base. Si c'est ce dernier, personne d'autre que vous ne pourra naviguer sur votre site, pas m\u00eame les moteurs de recherche! Vous ne voulez certainement pas cela. Certains inconv\u00e9nients de cette mesure sont les suivants:<\/p>\n