Ad
Ad
Ad
Unread

Guide du débutant pour contrer le piratage votre site WordPress

Google+ Pinterest LinkedIn Tumblr

Une triste réalité à propos de la gestion des sites Web est que parfois vous pouvez vous faire pirater. Et nous savons exactement à quel point cela peut être stressant. Sans parler de l’impact que cela a sur votre entreprise et vos utilisateurs. Aujourd’hui, nous allons partager ce guide pour enrailler cette menace sur votre site WordPress.

Résolvez votre site WordPress piraté

Quelques choses à savoir avant de commencer

Tout d’abord, peu importe la plateforme que vous utilisez, que ce soit WordPress, Drupal, ou encore Joomla, n’importe quel site peut être piraté.

Lorsque votre site WordPress est piraté, vous risquez de perdre votre positionnement dans les moteurs de recherche, d’exposer vos visiteurs à des virus, de voir votre réputation ternie par des redirections vers des sites pornographiques ou d’autres sites malveillants ou encore pire, de perdre l’ensemble des données de votre site.

Dans le cas du site web d’une entreprise, alors sa sécurité devrait être votre principale priorité. C’est pourquoi il est essentiel d’avoir un bon hébergeur WordPress. Et si vous pouvez vous le permettre, utilisez absolument l’hébergement WordPress géré. Assurez-vous  également de toujours avoir une bonne solution de sauvegarde comme BackupBuddy. Et probablement le plus important, ayez un bon pare-feu pour les applications Web comme Sucuri.

Toutes les informations ci-dessus sont très bien si vous n’avez pas encore été piraté, mais il est probable que si vous lisiez cet article, il est probablement trop tard pour ajouter certaines des précautions mentionnées ci-dessus.

Voyons donc en quelques étapes comment vous pouvez contrer le piratage de votre site web.

Étape 0 – Demandez à un professionnel de le faire pour vous

La sécurité est une question sérieuse, et si vous ne vous sentez pas à l’aise avec WordPress et la gestion de serveur, il est alors préférable de faire appel à un spécialiste de la maintenance de site internet.

Pourquoi ? Parce que les pirates cachent leurs scripts dans plusieurs endroits, permettant aux hacks de revenir encore et encore.

Bien que nous vous montrions comment les trouver et les supprimer plus tard dans cet article, beaucoup de gens veulent avoir l’esprit tranquille en sachant qu’un expert a correctement nettoyé leur site Web.

Étape 1. Identifiez le Hack

Lorsque vous traitez avec un pirate de site Web, vous êtes très stressé. Essayez de rester calme et écrivez tout ce que vous pouvez sur le hack.

Voici une bonne liste de contrôle à vérifier :

  • Pouvez-vous accéder à votre panneau d’administration WordPress ?
  • Votre site WordPress est-il redirigé vers un autre site Web ?
  • Votre site WordPress contient-il des liens illégitimes ?
  • Est-ce que Google signale que votre site Web est dangereux ?

Notez la liste, car cela vous aidera pendant que vous communiquez avec votre société d’hébergement ou que vous suivez les étapes ci-dessous pour corriger votre site.

En outre, il est fondamental que vous changiez vos mots de passe avant de commencer le nettoyage. Vous devrez également changer vos mots de passe lorsque vous aurez fini de nettoyer le hack.

Étape 2. Vérifiez auprès de votre société d’hébergement

Un bon hébergeur est très utiles dans ce type de situations. Ils ont un personnel expérimenté qui prend soin de ce genre de chose et connaissent leur environnement d’hébergement, ce qui signifie qu’ils peuvent vous guider pour résoudre votre problème. Commencez par contacter votre hébergeur et suivez leurs instructions.

Parfois, le piratage peut avoir influencé beaucoup plus que votre site, surtout si vous êtes sur un hébergement partagé. Votre fournisseur d’hébergement peut également vous fournir plus d’informations sur le piratage comme son origine, où se cache la backdoor, etc. D’après notre expérience, PlanetHoster et o2switch sont tous deux très utiles quand quelque chose comme ça arrive. Vous pourriez même avoir de la chance et l’hébergeur pourrait effacer le piratage pour vous.

Étape 3. Restaurer à partir de la sauvegarde

Si vous avez des sauvegardes pour votre site WordPress, il peut être préférable de restaurer à partir d’un point antérieur lorsque le site n’avait pas été encore piraté. Cependant, si vous avez un blog avec un contenu quotidien, vous risquez de perdre des articles de blog, les nouveaux commentaires, etc. Dans ce cas, évaluez les avantages et les inconvénients avant de faire votre choix.

Dans le pire des cas, si vous n’avez pas de sauvegarde ou si votre site Web a été compromis pendant une longue période et que vous ne voulez pas perdre son contenu, vous pouvez supprimer manuellement le piratage.

Étape 4. Analyse et suppression des logiciels malveillants

Regardez votre site WordPress et supprimez les thèmes et plugins WordPress inactifs. Souvent, c’est là que les pirates cachent leur backdoor.

Le terme “backdoor” fait référence à une méthode permettant de contourner l’authentification normale et d’obtenir la possibilité d’accéder à distance au serveur sans être détecté. La plupart des hackers intelligents chargent toujours la backdoor en premier. Cela leur permet de retrouver l’accès même après avoir trouvé et supprimé le plugin exploité.

Une fois que vous avez fait cela, scannez votre site Web pour les hacks.

Vous devriez également installer les plug-ins gratuits suivants sur votre site web : Sucuri WordPress Auditing et Theme Authenticity Checker (TAC).

Le scanner Sucuri vous indiquera l’intégrité de tous vos principaux fichiers WordPress. En d’autres termes, il vous montre où le hack se cache. Les endroits les plus courants sont les thèmes et répertoires de plugins, les répertoires de téléchargement, wp-config.php, les répertoires wp-include et les fichiers .htaccess.

Ensuite, exécutez Theme Authenticity Checker et affichez vos résultats comme ceci:

Thème Authentic Checker qui montre les résultats

Si TAC trouve un code suspect ou malveillant dans vos thèmes, il affichera un bouton de détails à côté du thème avec la référence du fichier de thème qui est infecté. Il vous montrera également le code malveillant trouvé. Vous aurez alors deux options pour contrer le hack ici : supprimer manuellement le code ou bien remplacer ce fichier par le fichier d’origine.

La même chose s’applique aux fichiers de thème. Téléchargez une nouvelle copie et remplacez les fichiers endommagés par les nouveaux. N’oubliez pas de le faire uniquement si vous n’avez pas apporté de modifications à vos codes de thème WordPress, sinon vous les perdrez. Répétez également cette étape pour les plugins affectés en vous assurant que le thème et le dossier du plugin correspondent à ceux d’origine. Parfois, les pirates ajoutent des fichiers supplémentaires qui ressemblent au nom de fichier du plugin et sont faciles à ignorer comme: hell0.php, Adm1n.php, etc.

Continuez à répéter cette étape jusqu’à ce que le hack ne soit plus là.

Étape 5. Vérifiez les autorisations d’utilisateur

Recherchez dans la section des utilisateurs de WordPress pour vous assurer que seuls vous et les membres de votre équipe ont accès au site en tant qu’administrateur. Si vous voyez un utilisateur inconnu, supprimez-le.

Étape 6. Modifier vos clés secrètes

À partir de WordPress 3.1, WordPress génère un ensemble de clés de sécurité qui crypte vos mots de passe. Maintenant, si un utilisateur a volé votre mot de passe et qu’il est toujours connecté au site, il restera connecté car ses cookies sont valides. Pour désactiver les cookies, vous devrez créer un nouvel ensemble de clés secrètes. Vous devrez générer cette nouvelle clé de sécurité et l’ajouter à votre fichier wp-config.php.

Étape 7. Modifier À NOUVEAU les mots de passe

Oui, vous avez changé vos mots de passe à l’étape 1. Faites-le à nouveau!

Vous devrez mettre à jour votre mot de passe WordPress, votre mot de passe cPanel / FTP / MySQL, et partout ailleurs où vous avez utilisé ce mot de passe. Nous vous recommandons fortement d’utiliser un mot de passe complexe. S’il y a beaucoup d’utilisateurs sur votre site, vous pourrez également forcer la réinitialisation du mot de passe pour chacun d’entre eux.

Aller de l’avant – Fortifier votre site WordPress

Améliorer la sécurité de WordPress

Il va sans dire qu’il n’y a pas de meilleure sécurité qu’une bonne solution de sauvegarde en place. Si vous n’en avez pas, mettez en une en place pour sauvegarder votre site chaque jour.

Excepté cela, voici d’autres choses que vous pouvez faire pour mieux protéger votre site :

  • Mettre en place un pare-feu de site Web et un système de surveillance – Sucuri est un exemple de fournisseurs que nous conseillons car dans la plupart des cas, il bloque les attaques avant qu’elles n’atteignent votre serveur.
  • Passer à l’hébergement WordPress infogéré : la plupart des sociétés d’hébergements WordPress gérés font tout pour protéger votre site. Nous pouvons vous recommander Pagely ou encore WPEngine.
  • Désactiver les éditeurs de thèmes et de plug-ins
  • Limiter les tentatives de connexion dans WordPress
  • Protégez votre répertoire d’administration avec un mot de passe
  • Désactiver l’exécution de PHP dans certains répertoires

Et quoi que vous fassiez, toujours garder vos fichiers “core”, plugins et thèmes WordPress à jour.

Write A Comment