Comment rendre plus difficile pour quelqu’un de pirater votre site WordPress

Si vous avez un site WordPress, il y a de fortes chances que votre site soit constamment attaqué par des pirates informatiques.

Ils sont constamment à la recherche de faiblesses qui les laisseront entrer, qu’il s’agisse d’un plugin ou d’un thème obsolète ou d’un mot de passe facile à comprendre. Une fois qu’ils y sont, ils peuvent évidemment faire des ravages.

Juste pour prouver de quoi je parle, voici ce que dit mon tableau de bord WordPress en ce moment.

C’est pourquoi votre site WordPress doit être absolument à l’épreuve des balles. Voici les meilleures façons de procéder en fonction de mes conversations de conseil avec les entreprises.

Obtenez le meilleur nom d’utilisateur et mot de passe possible

Si je l’ai vu une fois, je l’ai vu mille fois. Les gens créent des sites Web WordPress avec le nom d’utilisateur et le mot de passe définis sur «admin», puis se demandent pourquoi ils ont été piratés.

Votre page de connexion est essentiellement la porte d’entrée de votre site Web. Il est donc logique de rendre l’entrée aussi difficile que possible pour un intrus. Vous ne laisseriez pas la porte d’entrée de votre maison ouverte, n’est-ce pas?

De nombreux hébergeurs automatiseront la configuration de WordPress pour vous et quand ils le feront, vous devez spécifier un nom d’utilisateur différent de celui de «admin». Si vous utilisez «admin», vous rendez le travail d’un hacker trop facile pour eux.

Obtenez un nom d’utilisateur impossible à deviner par quelqu’un d’autre. N’utilisez pas un nom d’utilisateur que vous utilisez ailleurs sur Internet. Quelqu’un n’a qu’à vous rechercher sur Google pour trouver ces noms d’utilisateur.

Quant au mot de passe, faites vous-même une énorme faveur et obtenez un gestionnaire de mots de passe. Un logiciel open source gratuit que je recommande vivement est KeyPass. Ensuite, faites de votre mot de passe WordPress un minimum de 30 caractères avec des caractères spéciaux ajoutés au mélange. Oui c’est vrai. 30 caractères.

Installer un plug-in Anti-Brute-Force

Pour renforcer cette métaphore de la porte, il est également logique d’ajouter des verrous de sécurité. Pour WordPress, dans mon esprit, vous avez quatre options – Google Authenticator, Authy, Verrouillage de la connexion ou reCAPTCHA.

Pour être clair, Google Authenticator et Authy font la même chose. Vous obtenez un code sur votre smartphone et vous le saisissez sur la page de connexion. Sans cela, l’entrée vous est refusée.

Login Lockdown est un plugin qui limite le nombre de mauvaises tentatives de connexion avant que l’adresse IP de la personne ne soit bloquée pendant une certaine période que vous spécifiez. Vous pouvez même l’installer avec Authenticator pour une sécurité super-duper.

reCAPTCHA n’est pas mon préféré mais c’est mieux que rien. Ce n’est pas non plus infaillible car il a déjà été fissuré. Mais comme je l’ai dit, mieux que rien. reCAPTCHA oblige l’utilisateur à taper une séquence de mots ou à cliquer sur certaines images.

Assurez-vous que tous les thèmes et plugins sont mis à jour

La prochaine étape consiste à vous assurer que tous vos thèmes et plugins sont mis à jour régulièrement. Encore une fois, toutes les vulnérabilités – connues et inconnues – peuvent être utilisées par un pirate informatique pour exploiter un accès à un site.

Vous devriez garder un œil sur la page «Mises à jour» où toutes les mises à jour disponibles sont répertoriées. Cela devrait être fait quotidiennement. Vous pouvez trouver la page Mises à jour sous forme de sous-onglet sous l’onglet Tableau de bord.

Désactivez tous les thèmes et plugins inutiles

Tout comme vous devez garder tous les thèmes et plugins à jour, vous devez également désactiver ceux dont vous n’avez pas besoin.

Il n’y a aucune raison de garder les thèmes et plugins inutilisés actifs, et cela ne fait qu’augmenter le risque de découverte d’une vulnérabilité suffisamment grande pour laisser entrer un attaquant. Supprimez donc tous les thèmes que vous n’utilisez pas. Ils peuvent toujours être réinstallés ultérieurement.

En ce qui concerne les plugins, supprimez-les entièrement, ou à tout le moins désactivez-les.

Ne pas autoriser quiconque à créer des comptes utilisateur

Si le site WordPress est utilisé par une entreprise ou une équipe quelconque, des comptes d’utilisateurs seront évidemment nécessaires. Mais si vous êtes un seul utilisateur du site, n’autorisez personne à créer des comptes utilisateurs. Surtout les gens que vous ne connaissez pas.

Vous pouvez empêcher les gens de faire cela en accédant à Paramètres–> Général. Faites défiler jusqu’à “Adhésion“Et décochez”tout le monde peut s’inscrire».

Rétrograder tous les autres utilisateurs autorisés

Si vous avez besoin de donner des comptes d’utilisateurs à des personnes, assurez-vous qu’elles disposent du rôle d’accès approprié.

Par exemple, la personne qui possède le site doit être l’administrateur. Mais si quelqu’un blogue pour vous, il suffit qu’il soit répertorié en tant qu’auteur. Ne donnez pas à quelqu’un de privilèges élevés s’il n’en a pas besoin.

Allez simplement à Utilisateurs–> Tous les utilisateurs et choisissez la personne pour laquelle vous souhaitez modifier le rôle. Ensuite, choisissez dans la liste déroulante.

Arrêter tous les accès aux répertoires avec un fichier Index.HTML

Vous ne le savez peut-être pas, mais si vous créez un nouveau répertoire sur votre site Web, ajoutez-y des fichiers et n’ajoutez pas de index.html dans celui-ci, tout le contenu de ce répertoire est visible publiquement.

Pour empêcher cela, créez un fichier texte vide et appelez-le index.html. Ensuite, téléchargez-le dans le nouveau répertoire. Toute tentative d’afficher le répertoire renvoie désormais la personne à la page d’index vierge.

Obtenez un certificat SSL

L’une des meilleures choses que vous puissiez faire pour votre site Web est de lui obtenir un certificat SSL. Google donne désormais aux sites SSL une priorité plus élevée dans les résultats de recherche et bien sûr, il sécurise également votre site.

SSL sécurise tout simplement la connexion entre le navigateur de l’utilisateur et le serveur Web sur lequel réside le site Web. Il est donc extrêmement difficile pour les pirates de pénétrer dans la connexion et de voler des données.

Il existe deux façons d’obtenir un certificat SSL. Vous pouvez en acheter un, mais vous pouvez également en obtenir un gratuitement à partir de Crypterons. De nombreux hébergeurs proposent désormais Let’s Encrypt en tant que service automatisé gratuit.

Sauvegardez votre site Web WordPress TOUS LES JOURS

Enfin, si le pire arrive au pire et que vous êtes piraté, vous avez besoin d’un moyen de remettre votre site en marche le plus rapidement possible. C’est pourquoi vous avez besoin d’une sauvegarde quotidienne de tous les fichiers d’installation.

La solution de loin la plus simple pour cela est Jetpack, qui est géré par les mêmes personnes qui ont créé WordPress. À seulement 3,50 $ par mois pour un site, c’est certainement le plus rentable.

Conclusion

Il existe de nombreuses autres façons de verrouiller votre site, mais beaucoup d’entre elles impliquent un codage complexe ou l’installation de plugins avec des options complexes. Si vous débutez tout juste sur ce sujet, il est préférable de couvrir d’abord les bases, ce que j’ai tenté de couvrir ici aujourd’hui.