Vous avez pensé aux Hackeurs ?

Cette semaine, j’ai réalisé que je ne m’étais jamais posé cette question pourtant incontournable lorsqu’on édite un site web. Je ne me suis pas posé cette question par hasard, c’est en découvrant que l’excellent (et tout nouveau) blog d’Arnaud Legendre s’était fait hacker que j’ai remis en question la sécurité de mon blog.

Avant tout, je tiens à souligner qu’il est très rare de se faire hacker son blog. Sauf si vous êtes mondialement connu (ce qui concerne 0.1% des blogs francophones ). Par conséquent si votre blog est piraté, cherchez le responsable dans votre entourage. Il est aussi possible de se faire hacker par des Turcs sortis de derrière les fagots. Si si je vous assure, c’est arrivé au blog Wordpress-Tuto.

Arnaud n’ayant pas fait de Backup comptait sur l’hébergeur (1and1) pour lui en fournir un. Comme la plupart des hébergeurs, les hébergements mutualisés premier prix (Pack perso initial) ne comprennent pas les Backups … Pensez donc à faire régulièrement des Backups ou prenez un hébergeur qui offre se service. Il existe un excellent Plugin Wordpress pour faire des Backups automatiques de votre base de données. Notez également qu’il ne suffit pas de sauvegarder la base de données, pensez à avoir une copie du dossier wp-content (pour wordpress).

Comment se protéger des hackeurs ?

La plupart d’entre vous néglige la sécurité de leur blog: CHMOD délaissés, des plugins peu sécurisés et mot de passe trop simples sont les principales faiblesses qu’utilisent les pirates.

La première chose à faire est donc de bien configurer les droits d’accès à vos dossiers. Evitez au maximum de donner les droits d’écriture à un dossier (uniquement le propriétaire a le besoin du droit d’écriture la plupart du temps), privilégiez la valeur 755 pour le CHMOD de vos dossiers.

La seconde chose que vous pouvez surveiller pour sécuriser votre blog, c’est la vulnérabilité de vos plugins. Pour cela, il existe un excellent service : Wordpress Scanner. Il vous permettra d’une part de checker la vulnérabilité des plugins (mais aussi du template qui peut comporter des failles) que vous utilisez et d’autre part de suivre les failles découvertes sur les différents plugins Wordpress.

La dernière chose qui vous assurera une bonne sécurité est de rajouter un mot de passe aux dossiers importants de votre blog, wp-admin par exemple. Pour cela vous pouvez utiliser un fichier .htaccess qui limitera l’accès à une adresse ip ou réclamera un mot de passe (au choix). exemple : http://www.curiousromain.com/wp-admin
Il existe des générateurs de .htaccess ou de nombreux tutoriels pour vous aider à en réaliser un. Certains hébergeurs permettent d’en créer un depuis le panneau de configuration de votre hébergement.

Il est également recommandé de mettre régulièrement à jour votre Wordpress.

Lire la suite…