Sécurisez votre blog Wordpress !
L’installation par défaut de Wordpress pose quelques gênants problèmes de sécurité. Nous allons nous employer à les corriger.
Cachez le contenu des répertoires internes
Par défaut, Wordpress ne bloque pas l’accès à tous les répertoires nécessaires à son fonctionnement que le public ne devrait pas pouvoir consulter. C’est le cas du très sensible répertoire wp-content/plugins. Les plugins que vous installez peuvent avoir étaient développés par des programmeurs novices ou ne pas avoir été correctement audités et contenir des failles de sécurité. Par défaut, Wordpress permet à n’importe qui de lister les plugins que vous avez installé. Pour y remédier, entrez la ligne suivante dans votre fichier .htaccess, à la racine de votre répertoire :
Options -Indexes
Désormais, si un curieux tente d’accéder à des répertoires sensibles, il ne verra qu’une erreur 403.
Supprimez le numéro de version des meta-tags
De nombreux thèmes Wordpress dont celui par défaut affichent un vilain meta-tag :
<meta name="generator" content="WordPress 2.3.3" /> <!-- leave this for stats please -->
Le petit commentaire associé ni changera rien, ce meta-tag est une très mauvaise idée ! Il permet aux pirates de connaitre instantanément quelle version du logiciel vous utilisez et quelles sont les failles de sécurité qui la touchent. Il pourrait même permettre à un robot d’attaquer massivement les sites utilisant des Wordpress non mis-à-jour.
La aussi, la correction est simple, ouvrez le fichier header.php de votre thème (dans le répertoire wp-content/themes/default/ pour le thème par défaut) et cherchez :
<meta name="generator" content="WordPress <?php bloginfo('version'); ?>" /> <!-- leave this for stats -->
Si vous êtes sans états d’âmes pour les statistiques de Wordpress supprimez simplement la ligne, sinon remplacez-la par :
<meta name="generator" content="WordPress" /> <!-- leave this for stats -->
Espérons que Wordpress 2.5 corrigera ces problèmes.
Pour finir, quelques conseils en vrac
- Bien-entendu, veillez à toujours tenir à jour votre Wordpress et tous ses plugins.
- Désactivez et supprimez les plugins que vous n’utilisez pas.
- N’hésitez pas à renforcer la protection du dossier wp-admin/ par un fichier .htaccess.
- Masquez également la version d’Apache et de PHP utilisée en mettant ServerTokens à Prod.
Comments
-
-
Présentation
Kévin Dunglas, développeur freelance sur Lille et étudiant en master à l'
USTL . Pour un internet libre et autogéré
License
Lapin Blanc by Kévin Dunglas est mis à disposition selon les termes de la licence Creative Commons Paternité-Pas d'Utilisation Commerciale-Partage des Conditions Initiales à l'Identique 2.0 France.
Les autorisations au-delà du champ de cette licence peuvent être obtenues à http://lapin-blanc.net.
