Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Sécuriser WordPress – Attention au fichier wp-config.php

Ce travail sur WordPress a été rendu possible grâce au soutien d'Ikoula.

Le fichier wp-config.php contient toutes les informations confidentielles dont WordPress a besoin pour accéder à votre base de données et chiffrer les cookies. Il est donc primordial de correctement protéger ce fichier.

Changer les clés WordPress

WordPress chiffre les informations stockées dans vos cookies grâce à des clés de sécurité conservées dans le fichier wp-config.php. Ces clés sont très importantes et c’est pourquoi vous devez les changer.

lol

Pour cela, vous pouvez au choix inventer vos propres clés ou les générer de manière aléatoire grâce à l’outil suivant.

Remonter le wp-config.php d’un niveau

Par défaut, le fichier wp-config.php se trouve à la racine de l’installation WordPress. Mais sachez qu’il est possible de le placer au niveau du répertoire supérieur sans rien changer d’autre. Cela permet se sortir ce fichier de la racine du serveur web et d’éviter en cas de souci qu’un pirate ne puisse le lire.

Ça peut vous paraitre inutile, car par défaut, ce genre de fichier n’est pas lisible et accessible uniquement par PHP mais si par erreur, vous désactivez PHP, n’importe qui pourra lire les fichiers PHP comme si c’était de vulgaires fichiers texte. Vous l’aurez compris, votre wp-config.php livrerait alors les mots de passe à la base de données et les clés pour les cookies, ce qui serait une très mauvaise nouvelle pour vous.

Une autre technique consiste à placer ce fichier sur votre serveur à l’endroit de votre choix (vraiment n’importe où, par exemple dans le répertoire /var/www/conf/) puis de créer un nouveau fichier wp-config.php vierge à la racine de WordPress (ou au niveau supérieur) et d’y ajouter un appel au fichier wp-config d’origine comme ceci :

<?php if ( !defined(‘ABSPATH’) ) define(‘ABSPATH’, dirname(__FILE__) . ‘/’); require_once(‘/var/www/conf/wp-config.php’); ?>

Le code contenu dans wp-config.php sera alors hors de portée des attaquants potentiels.

Bloquer l’accès au wp-config.php

Grâce à cela, il est très simple et rapide d’empêcher quiconque d’accéder au fichier wp-config.php. Pour ce faire, éditez (ou créez) le fichier .htaccess qui se trouve à la racine du répertoire de WordPress et ajoutez-y les lignes suivantes :

<Files wp-config.php> order allow,deny deny from all </Files>

Cela aura pour effet d’interdire la lecture de ce fichier via Apache.

Changer les droits d’accès

Une fois toutes ces modifications faites, vous pouvez changer les droits sur les fichiers wp-config et .htaccess. Ce que je vous recommande, c’est de leur mettre à tous les 2 des permissions en 644 avec la commande :

chmod 644 wp-config.php

chmod 644 .htaccess

644 signifie que l’utilisateur a accès en lecture écriture, et le groupe + le reste du monde a accès en lecture seulement.

Si vous avez d’autres astuces concernant le fichier wp-config.php, je serai heureux de les lire. Merci d’avance à tous !

Dans la série, Sécuriser WordPress:


SQLI recrute un Directeur de Projets Informatique Senior

Nous favorisons la mobilité au sein du Groupe afin de répondre au mieux aux souhaits de chacun

Nous recrutons des férus de technologies, des talents créatifs, de jeunes consultants ainsi des jeunes diplômés, issus d’écoles d’ingénieurs, de commerce ou d’universités, en développement, consulting, UX/UI, mais aussi des experts en agilité, architecture et management de projet.

Sous la responsabilité du Delivery Manager, vous aurez en charge le pilotage de grands projets et/ou de projets stratégiques en nouvelles technologies, d’équipes multi-compétences et de partenaires.

Vous aurez pour principale mission :

Assurer le pilotage de ces projets et mobiliser les énergies pour en garantir l’aboutissement dans le respect des engagements et des enjeux stratégiques
Assumer la responsabilité globale du projet et la coordination des différents acteurs (au sein de SQLI mais aussi différents départements chez le client, éditeurs, sous-traitants)
Conseiller et assurer le soutien aux Chefs de projet

Et bien d’autres fonctions qui vous assurerons des responsabilités riches et variées, bref l’ennui est impossible.

Découvrir le job



Démarrer la discussion sur Korben Communauté