Maintenant que le gros du travail est fait et que les sites web sont « presque » aboutis, il est temps pour chacun(e) de prendre les bonnes résolutions concernant la sécurité.
Nous avons franchi un premier pas en passant en https, ce qui crypte les données échangées entre le serveur web et le client qui navigue sur le site.
Mais quid des pirates qui voudraient s’introduire sur le site?
Indépendamment du fait qu’il est très fastidieux de devoir ré-installer son site à partir d’une sauvegarde, des données concernant des visiteurs, voire des listes d’abonnés à des newsletter peuvent avoir été utilisées à des fins frauduleuses.
En premier lieu , le pirate doit « deviner » comment se connecter à l’interface d’administration de wordpress et trouver l’identifiant et le mot de passe de connexion administrateur.
Je propose ici deux précautions simples à implémenter inspirées des excellentes vidéos Youtube du site wpmarmite.com
Priorité 1: perdre les mauvaises habitudes concernant le choix des identifiants login et mot de passe (mauvais ex:handisport35 ! )
On en est tous conscient, mais on ne le fait jamais. C’est l’exemple même du comportement procrastinateur ;-).
On peut trouver pénible de changer le nom d’admin (en fait, WordPress ne le permet pas) car il faut créer un nouvel administrateur et se réapproprier les articles / pages de l’ancien administrateur.
Par contre, il est très simple de modifier son mot de passe.
Priorité no 2: changer l’url d’accès à l’écran de connexion.
En fait, la porte d’entrée https://monsite.org/wp-admin est connue de tous.En effet, supposons qu’on a laissé trainer son mot de passe infaillible et qu’il est tombé entre des mains mal intentionnées!
La procédure pour changer la façon d’accéder à l’écran de connexion est un peu complexe pour le néophyte (que nous ne sommes plus;-), mais on ne le fait qu’une fois. Et si d’aventure, on désire revenir à la situation précédente, c’est élémentaire.
Comment faire ?
L’extension à installer / puis à activer s’appelle Move Login
Ses « Réglages » sont accessibles dans le menu « extensions installées » .
Sélectionner l’extension dont le nom est SF Move Login (SF s’est ajouté!). On peut changer plusieurs paramètres dont la façon d’accéder à l’écran de connexion. Par défaut, il est paramétré en https://monsite.org/login (pour des raisons pédagogiques).
C’est donc https://monsite.org/login qu’il faudrait taper dans la barre de navigation au lieu de https://monsite.org/wp-admin.
Il est évident qu’il ne faut pas laisser login ,si facile à trouver, et le remplacer par une chaine facile à retenir pour nous mais complexe à trouver pour le pirate. Par exemple, saperlipopette_laisser_moi_rentrer_sur_le_site_du_handisport
Les plus pessimistes (ou les plus prudents) ne manqueront pas de noter la parade préconisée par l’auteur de l’extension si jamais la procédure ne marchait pas ou si l’on a oublié la formule magique! En effet, dans ce cas on ne pourrait plus accéder au site.
Je confirme, car ayant fait mon premier test sur ce site, je suis « tombé dans le panneau » et au premier essai ça ne marchait pas.
Procédure de parade:
Il faut éditer manuellement le fichier wp-config.php qui se trouve à la racine du répertoire du site web .
rappel: On y accède via ftp (filezilla sur son PC ou avec FTP explorer une fois connecté sur ovh)
Ajouter la ligne define … invalide l’extension Move Login quand elle est activée.
/* MV pour by passer l’extension Move Login en attendant de la faire marcher */
define (‘SFML_ALLOW_LOGIN_ACCESS’,true);
Ajouter /* en début de ligne avant define puis */ en fin de ligne quand on a trouvé comment la faire marcher (d’après l’auteur, il peut y avoir conflit avec d’autres extensions)
/* define (‘SFML_ALLOW_LOGIN_ACCESS’,true); */
Retour au sommaire
