Sécuriser WordPress "“ Les thèmes

Pour faire écho à mes recommandations de la dernière fois sur les plugins, abordons aujourd'hui le sujet des thèmes et de la sécurité.

Vous le savez, les pirates ne manquent pas d'imagination pour prendre le contrôle de votre serveur. Et pour cela, ils ont trouvé un moyen assez simple d'infecter votre site : Les thèmes gratuits.

Bien que ce ne soit pas le cas de tous les thèmes gratuits, il arrive assez fréquemment que certains thèmes WordPress distribués gratuitement via  des sites à petite réputation, contiennent dans leur code des passages codés (en base64, en rot13 ou autre...). Indéchiffrable à l'oeil nu, ces parties encodées contiennent le plus souvent des liens de spam ou du code malicieux.

http://korben.info/wp-content/uploads/2014/11/base64-650x147.jpg

Si vous ne me croyez pas, je vous invite à lire cet article qui passe en revue des sites proposant des thèmes gratuits. Et le résultat est sans appel puisque 80% des sites testés proposent des thèmes contenant des parties chiffrées. Tous ne sont pas dangereux (parfois ce sont juste des copyrights) mais il est difficile pour un débutant de s'y retrouver. N'espérez pas non plus qu'en retirant ces codes, le thème continue de fonctionner. En général, c'est tellement bien fait que ce sont des morceaux entiers (HTML, code PHP...etc.) qui sont codés de cette manière.

Pour savoir si votre thème contient des instructions de décodage base64, ouvrez un terminal et lancez la commande suivante pour rechercher à l'intérieur des fichiers de votre thème l'instruction base64_decode.

Et si vous tombez sur du code base64 que vous souhaitez déchiffre par curiosité, vous pouvez utiliser ce décodeur.

Préférez donc les thèmes mis à disposition sur le site officiel de WordPress, sur des sites connus comme WPTrads, Theme Shaper, WPThemes, ThemeLab, Theme Hybrid ou optez pour un thème payant fait par un professionnel.

http://korben.info/wp-content/uploads/2014/11/themeforest.jpg

Il se peut aussi que dans le thème que vous avez choisi, il y ait un lien visible par tous les internautes, qui pointent vers votre interface d'admin ou vers la page de création de comptes.

http://korben.info/wp-content/uploads/2014/11/connex.jpg

Ces liens vont attirer l'attention du pirate qui passera par là. Pensez donc à les supprimer en éditant les fichiers de votre thème.

Et si cela est possible pour votre thème, pensez à le mettre à jour régulièrement.

À très bientôt pour la suite !

Cet article merveilleux et sans aucun égal intitulé : Sécuriser WordPress "“ Les thèmes ; a été publié sur Korben, le seul site qui t'aime plus fort que tes parents.