Vous voulez créer un site avec Wordpress mais vous ne savez pas comment vous y prendre ? Grâce à cette série de tutoriels vous allez apprendre pas à pas de façon complète comment créer un site, avec comme exemple le mien que je vais construire en même temps que vous.
I show in this article how to secure wordpress with the help of. htaccess
Sommaire de la série :
- WordPress #1 : Installation
- WordPress #2 : Premier démarrage
- WordPress #3 : Paramétrage et mises à jour
- WordPress #4 : Les articles
- WordPress #5 : Les thèmes
Aujourd'hui on va parler du .htaccess. Ce tutoriel va permettre de :
- Sécuriser WordPress
- Accélérer WordPress
- Faire des redirections
- Et quelques autres petites choses utiles
Le .htaccess est un fichier qui sert à WordPress, et c'est le fichier de configuration d' Apache. Il contrôle ainsi pas mal de fonctions.
Pour y accéder, nous allons devoir retourner sur notre FTP.
Rendez-vous donc dans Filezilla, on nous trouverons le fichier. Clique-droit sur celui-ci, puis clique sur Afficher / Éditer :
Note : si jamais le fichier n' est pas là (ce qui n 'est pas normal), créez-le.
Le fichier s' ouvrira alors dans votre éditeur de texte. Personnellement, j' utilise Sublime Text 3 qui est excellent.
Vous pourrez alors observer son contenu, presque vide pour le moment :
Le contenu par défaut du .htaccess
Tout d' abord, je vous conseille quand même de faire une copie renommée .htaccess-back au cas-où à l' aide de FileZilla.
Pour cela téléchargez le, renommez le puis renvoyez-le avec le bon nom.
Passons à la suite.
Note pour plus tard : Veuillez ne pas écrire de code entre les commentaires "BEGIN WordPress" et "END WORDPRESS.
Effectuer une modification
Pour effectuer des modifications, suivez la procédure suivante :
Ouvrez le fichier dans l' éditeur
Changez le code
Sauvegardez le fichier (CTRL+S) puis faites Oui dans FileZilla
Actualisez le site pour voir si tout fonctionne correctement (F5)
Si une erreur à lieu, une erreur apparaîtra :
Certains hébergeurs n' acceptent pas certains codes dans le .htaccess, vous pouvez les contacter, mais sinon il faut faire sans.
1] Sécurité
1] Désactiver l' affichage des répertoires
Si vous essayez d' afficher un répertoire et son contenu, vous vous retrouverez face à ça :
Ce n' est pas bon pour la sécurité. Un hacker qui voit vos fichiers peut attaquer plus facilement.
Le code pour désactiver ça :
Options All -Indexes
3] Cacher les informations du serveur
Il est possible chez certains hébergeurs que des informations sur le serveur de votre site soient dans les pages du site. pour éviter tout risque, ajoutez ce code :
ServerSignature Off
4] Protéger les fichiers importants
1] wp-config
Le fichier wp-config est un des plus important de votre site car il comprends les identifiants d' accès à la base de données.Il est donc important de le protéger pour éviter que des pirates n' y aient accès. Pour cela, ajoutez le code suivant :
<files wp-config.php>
order allow,deny
deny from all
</files>
2] .htaccess
Vous imaginerez bien qu'il faut également protéger le .htaccess :
<Files ~ "^.*\.([Hh][Tt][AaPp])">
order allow,deny
deny from all
satisfy all
</Files>
4] Camoufler votre nom d' utilisateur.
Le nom d' utilisateur se doit de ne pas être trop simple, pour rendre plus difficile la tâche des pirates qui pourraient essayer d' accéder à l' interface d' administration de votre site.
Or, il est très facile de l' obtenir :
Allez sur votresite.fr/?author=1
Vous vous retrouverez sur un autre lien : https://zonguin.shost.ca/author/nomutilisateur/
Et voilà comment un enfant de 5 ans peut arriver à trouver votre pseudo.
Pour ce prémunir de cela, ajoutez le code suivant :
<IfModule mod_rewrite.c>
RewriteCond %{QUERY_STRING} ^author=([0-9]*)
RewriteRule .* - [F]
</IfModule>
5] Blocage des utilisateurs
1] Bloquer par adresse IP
Si jamais vous observez certaines IP qui tente de se connecter anormalement à votre site, ou que certaines ne cessent de vous spammer les commentaires, vous pouvez les bannir de votre site avec le code suivant :
order allow,deny
deny from xxx.xxx.xxx.xxx
allow from all
Notez que la personne peut changer d' IP, mais cela reste une solution à garder sous la main.
2] Bloquer les utilisateurs venant d' un site en particulier.
Si vous avez remarqué qu' un lien vers votre site provenant d' un autre site est souvent cliqué et que vous ne voulez plus que cela continue, ajoutez ce code en modifiant bien-sûr l'adresse du site à bloquer :
<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{HTTP_REFERER} monsite1.com [NC,OR]
RewriteCond %{HTTP_REFERER} monsite2.com [NC,OR]
RewriteRule .* - [F]
</ifModule>
3] Le HTTPS
Pour rendre obligatoire le https par les utilisateurs de site, utilisez le code suivant (seulement si vous avez mis en place un certificat SSL) :
RewriteCond %{SERVER_PORT} ^80$
RewriteRule ^(.*)$ https://%{SERVER_NAME}%{REQUEST_URI} [L,R]
4] Bloquer les injections de fichiers
Certains hackers peuvent tenter d' injecter des fichiers dans votre site pour en prendre le contrôle. Pour vous protéger, ajoutez le code suivant :
RewriteCond %{REQUEST_METHOD} GET
RewriteCond %{QUERY_STRING} [a-zA-Z0-9_]=http:// [OR]
RewriteCond %{QUERY_STRING} [a-zA-Z0-9_]=(\.\.//?)+ [OR]
RewriteCond %{QUERY_STRING} [a-zA-Z0-9_]=/([a-z0-9_.]//?)+ [NC]
RewriteRule .* - [F]
5] Sécuriser les scripts
WordPress utilise des scripts pour fonctionner, situés dans wp-includes. Il n' y a néanmoins aucune raison d' y accéder directement. Par mesure de sécurité, ajoutez ce code pour bloquer leur exécution directe :
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
6] Autres protections
Celui là, je l' ai trouvé dans mon ancien .htaccess, sans me souvenir toalement de son utlité ^^. Il me semble qu'il protége des attaques XSS et autres.
<ifModule mod_headers.c>
Header set X-XSS-Protection "1; mode=block"
Header always append X-Frame-Options SAMEORIGIN
Header set X-Content-Type-Options: "nosniff”
</ifModule>
Et voilà, c'est tout pour ce tutoriel ! Dans la partie suivante nous verrons d' autres options, il y en a encore des tonnes ^^.
Si vous avez aimé le tutoriel, n' hésitez pas à upvoter, commenter, resteemer !
A bientôt !