Sécuriser WordPress "“ Attention au fichier wp-config.php

Le fichier wp-config.php contient toutes les informations confidentielles dont WordPress a besoin pour accéder à votre base de données et chiffrer les cookies. Il est donc primordial de correctement protéger ce fichier.

Changer les clés WordPress

WordPress chiffre les informations stockées dans vos cookies grâce à des clés de sécurité conservées dans le fichier wp-config.php. Ces clés sont très importantes et c'est pourquoi vous devez les changer.

http://korben.info/wp-content/uploads/2014/12/lol-650x106.jpg

Pour cela, vous pouvez au choix inventer vos propres clés ou les générer de manière aléatoire grâce à l'outil suivant.

Remonter le wp-config.php d'un niveau

Par défaut, le fichier wp-config.php se trouve à la racine de l'installation WordPress. Mais sachez qu'il est possible de le placer au niveau du répertoire supérieur sans rien changer d'autre. Cela permet se sortir ce fichier de la racine du serveur web et d'éviter en cas de souci qu'un pirate ne puisse le lire.

Ça peut vous paraitre inutile, car par défaut, ce genre de fichier n'est pas lisible et accessible uniquement par PHP mais si par erreur, vous désactivez PHP, n'importe qui pourra lire les fichiers PHP comme si c'était de vulgaires fichiers texte. Vous l'aurez compris, votre wp-config.php livrerait alors les mots de passe à la base de données et les clés pour les cookies, ce qui serait une très mauvaise nouvelle pour vous.

Une autre technique consiste à placer ce fichier sur votre serveur à l'endroit de votre choix (vraiment n'importe où, par exemple dans le répertoire /var/www/conf/) puis de créer un nouveau fichier wp-config.php vierge à la racine de WordPress (ou au niveau supérieur) et d'y ajouter un appel au fichier wp-config d'origine comme ceci :

Le code contenu dans wp-config.php sera alors hors de portée des attaquants potentiels.

Bloquer l'accès au wp-config.php

Grâce à cela, il est très simple et rapide d'empêcher quiconque d'accéder au fichier wp-config.php. Pour ce faire, éditez (ou créez) le fichier .htaccess qui se trouve à la racine du répertoire de WordPress et ajoutez-y les lignes suivantes :

Cela aura pour effet d'interdire la lecture de ce fichier via Apache.

Changer les droits d'accès

Une fois toutes ces modifications faites, vous pouvez changer les droits sur les fichiers wp-config et .htaccess. Ce que je vous recommande, c'est de leur mettre à tous les 2 des permissions en 644 avec la commande :

644 signifie que l'utilisateur a accès en lecture écriture, et le groupe + le reste du monde a accès en lecture seulement.

Si vous avez d'autres astuces concernant le fichier wp-config.php, je serai heureux de les lire. Merci d'avance à tous !

Cet article merveilleux et sans aucun égal intitulé : Sécuriser WordPress – Attention au fichier wp-config.php ; a été publié sur Korben, le seul site qui t'aime plus fort que tes parents.