Protéger WordPress sur o2switch : la section Sécurité du cPanel

La sécu­ri­té d’un site Word­Press repose autant sur la qua­li­té du code que sur la robus­tesse de l’hébergement. Dans le cPa­nel d’o2switch, la sec­tion Sécu­ri­té ras­semble les outils per­met­tant de pro­té­ger vos accès, vos don­nées et les inter­ac­tions entre votre site et ses visi­teurs. Elle couvre aus­si bien la ges­tion des cer­ti­fi­cats SSL que la pro­tec­tion contre les attaques web, la sur­veillance des fichiers infec­tés ou la res­tric­tion d’accès au ser­veur. Com­prendre cha­cun de ces modules est essen­tiel pour main­te­nir un envi­ron­ne­ment fiable, conforme et résis­tant aux menaces cou­rantes. Je vous pré­sente aujourd’­hui les fonc­tion­na­li­tés dis­po­nibles et leur rôle dans la pro­tec­tion de votre site.

L’accès SSH : l’outil pour administrer WordPress en profondeur

SSH signi­fie Secure Shell. Secure pour connexion chif­frée. C’est un pro­to­cole de com­mu­ni­ca­tion sécu­ri­sé qui per­met de se connec­ter à dis­tance à un ser­veur et d’exécuter des com­mandes comme si l’on était phy­si­que­ment devant lui.

Ain­si, l’accès SSH per­met d’ouvrir une connexion sécu­ri­sée au ser­veur et d’interagir direc­te­ment avec votre héber­ge­ment via une ligne de com­mande. Avant de pou­voir l’utiliser, il est indis­pen­sable d’activer l’accès SSH dans le cPa­nel, car cette fonc­tion­na­li­té n’est pas dis­po­nible par défaut. Une fois acti­vée, vous pou­vez vous connec­ter à l’aide d’une clé SSH ou, selon la confi­gu­ra­tion choi­sie, d’un mot de passe.
Pour Word­Press, SSH devient un outil extrê­me­ment pré­cieux. Grâce à WP-CLI, l’interface en ligne de com­mande dédiée à Word­Press, il est pos­sible d’intervenir même lorsque le tableau de bord est inac­ces­sible. En quelques com­mandes, vous pou­vez désac­ti­ver des exten­sions qui pro­voquent une erreur cri­tique, mettre à jour Word­Press et ses exten­sions, régé­né­rer les minia­tures, répa­rer ou opti­mi­ser la base de don­nées, ou encore rem­pla­cer toutes les URLs du site après une migra­tion.
SSH est éga­le­ment indis­pen­sable pour diag­nos­ti­quer rapi­de­ment une panne. Enfin, SSH offre la pos­si­bi­li­té d’automatiser des tâches régu­lières comme vider le cache, exé­cu­ter de scripts, sans jamais sol­li­ci­ter l’interface WordPress.

Le bloqueur d’adresses IP : efficace contre les attaques sur wp-login et wp-admin

Word­Press est par­ti­cu­liè­re­ment ciblé par les attaques sur les pages /wp-login.php et /wp-admin/. Le blo­queur d’adresses IP du cPa­nel per­met de stop­per ces ten­ta­tives avant même que Word­Press n’entre en action. Lorsqu’une adresse IP effec­tue des cen­taines de ten­ta­tives de connexion en quelques secondes, explore des URLs sen­sibles ou cherche à for­cer l’accès à l’administration, il suf­fit de la blo­quer pour qu’elle ne puisse même plus atteindre votre site.
Cette méthode est très effi­cace puisque le blo­cage inter­vient au niveau du ser­veur web.
Le blo­queur d’IP per­met d’obtenir un niveau de sécu­ri­té éle­vé tout en sou­la­geant Word­Press des requêtes indésirables.

Pour repé­rer quelles IP génèrent des ten­ta­tives d’attaque. Plu­sieurs méthodes per­mettent d’identifier rapi­de­ment ces adresses suspectes.

Par exemple en consul­tant les jour­naux d’er­reurs (error_log) via SSH. Pour cela, vous devez uti­li­ser le Ter­mi­nal que vous trou­ve­rez dans la sec­tion Avan­cé du cPa­nel. En allant dans ce module, vous trou­ve­rez un aver­tis­se­ment disant que cet outil est réser­vé aux uti­li­sa­teurs avan­cés. En vali­dant, vous confir­mez que vous comprenez. 

Une fois dans le ter­mi­nal, vous pour­rez taper la commande :

tail -f error_log

tail -f error_log

Si une IP appa­raît toutes les quelques secondes, en par­ti­cu­lier sur des URLs sen­sibles (wp-login.php, xmlrpc.php, wp-admin), il s’agit très pro­ba­ble­ment d’un robot malveillant.

(La bonne pra­tique veut qu’on modi­fie l’ac­cès au for­mu­laire d’ac­cès au tableau de bord de votre site WordPress)

SSL/TLS et Let’s Encrypt : sécuriser WordPress en HTTPS

Le chif­fre­ment HTTPS est essen­tiel pour tout site web, tant pour la sécu­ri­té des uti­li­sa­teurs que pour le SEO. Depuis le cPa­nel d’o2switch, Let’s Encrypt per­met d’installer en quelques secondes un cer­ti­fi­cat SSL gra­tuit. Une fois acti­vé, il garan­tit que toutes les com­mu­ni­ca­tions entre les visi­teurs et votre site sont chif­frées.

Cepen­dant, l’activation du SSL ne suf­fit pas tou­jours. Lors de migra­tions ou de chan­ge­ment d’URL, Word­Press conti­nue par­fois d’appeler des res­sources en HTTP, pro­vo­quant des erreurs de “conte­nu mixte”. Ce pro­blème peut être réso­lu rapi­de­ment grâce à WP-CLI, par exemple en rem­pla­çant toutes les occur­rences de l’ancienne URL par leur ver­sion HTTPS. 

Dans la grande majo­ri­té des cas, vous n’au­rez pas à inter­ve­nir dans le module SSL/TLS.
Un uti­li­sa­teur clas­sique d’un site Word­Press n’a aucune rai­son d’intervenir dans ce module, car o2switch gère auto­ma­ti­que­ment l’essentiel de la confi­gu­ra­tion SSL grâce à Let’s Encrypt.

Cet espace un peu plus tech­nique est des­ti­né à des per­sonnes expé­ri­men­tées qui ont des besoins particuliers.

Manage API Tokens : créer des accès limités pour automatiser sans risque

Le module Manage API Tokens per­met de géné­rer des jetons d’accès qui donnent à un script ou à un pres­ta­taire la pos­si­bi­li­té d’effectuer cer­taines actions dans le cPa­nel, sans jamais leur com­mu­ni­quer votre mot de passe prin­ci­pal. C’est une manière plus sûre de délé­guer une tâche ou d’automatiser un pro­ces­sus, car chaque jeton ne pos­sède que les per­mis­sions que vous avez choi­sies.
Concrè­te­ment, ces jetons servent par exemple à auto­ma­ti­ser la créa­tion d’un sous-domaine à par­tir d’un script ou encore à per­mettre à un pres­ta­taire d’administrer uni­que­ment vos bases de don­nées sans tou­cher au reste de votre hébergement.

ModSecurity : le pare-feu qui bloque les attaques avant qu’elles n’atteignent le site

Mod­Se­cu­ri­ty est un pare-feu appli­ca­tif (WAF) acti­vé par défaut chez o2switch. Il ana­lyse toutes les requêtes envoyées à votre site Word­Press et les com­pare à un grand nombre de règles de sécu­ri­té issues notam­ment de l’OWASP. Lorsqu’une requête res­semble à une attaque, une injec­tion SQL dans une exten­sion ou une ten­ta­tive d’exploitation de xmlrpc.php, Mod­Se­cu­ri­ty ren­voie un code 403 avant même que Word­Press ne soit char­gé, évi­tant ain­si toute exé­cu­tion de code mal­veillant.

Il coupe immé­dia­te­ment la requête. Il pro­tège éga­le­ment contre les attaques mas­sives de brute force sur xmlrpc.php. Il peut cepen­dant arri­ver qu’une requête par­fai­te­ment légi­time soit blo­quée. Dans ces cas rares, il est pos­sible de désac­ti­ver tem­po­rai­re­ment la règle en cause ou d’en deman­der l’ajustement au sup­port technique.

L’authentification à deux facteurs (2FA)

La sécu­ri­té du cPa­nel est direc­te­ment liée à celle de votre site Word­Press. Si un pirate accède au cPa­nel, il peut modi­fier les fichiers du site, accé­der à la base de don­nées, détour­ner vos comptes FTP ou insé­rer un mal­ware dif­fi­cile à détec­ter. L’authentification à deux fac­teurs est donc une pro­tec­tion très utile. Pour mettre en place cette authen­ti­fi­ca­tion, vous devrez ins­tal­ler une appli­ca­tion sur votre smart­phone. Ain­si, même si le mot de passe prin­ci­pal est com­pro­mis, un atta­quant ne pour­ra pas se connec­ter sans le code tem­po­raire géné­ré sur votre télé­phone.
Ce sys­tème est par­ti­cu­liè­re­ment recom­man­dé lorsqu’un site est géré par plu­sieurs inter­ve­nants ou lorsqu’une agence assure l’hébergement pour un client. 

ImunifyAV : détecter les infections WordPress et prévenir les attaques silencieuses

Votre site Word­Press peut par­fois être pira­té de manière dis­crète : par exemple avec l’a­jout d’un script mal­veillant dans le dos­sier uploads, l’in­ser­tion d’une redi­rec­tion dans header.php, etc. Imu­ni­fyAV vous per­met de scan­ner régu­liè­re­ment votre héber­ge­ment et vous signale toute ano­ma­lie. Il sait recon­naître les signa­tures de nom­breuses back­doors cou­rantes, détec­ter les fichiers modi­fiés dans wp-content, ou encore repé­rer des scripts dégui­sés.
Ain­si Imu­ni­fyAV iden­ti­fie ce type de com­por­te­ment et alerte l’utilisateur.

La sec­tion Sécu­ri­té du cPa­nel d’o2switch offre donc un ensemble d’outils com­plets per­met­tant de pro­té­ger Word­Press à tous les niveaux. L’accès SSH et WP-CLI faci­litent les inter­ven­tions cri­tiques ; le blo­queur d’IP crée une pre­mière bar­rière contre les attaques ; Let’s Encrypt assure le chif­fre­ment des com­mu­ni­ca­tions ; Mod­Se­cu­ri­ty bloque les menaces avant même qu’elles n’atteignent Word­Press ; SSL/TLS Sta­tus garan­tit la cohé­rence du HTTPS ; la double authen­ti­fi­ca­tion pro­tège l’accès au cPa­nel ; et Imu­ni­fyAV sur­veille l’intégrité du site.
Ces fonc­tion­na­li­tés, uti­li­sées ensemble, forment une véri­table archi­tec­ture de défense en pro­fon­deur. Elles com­plètent les bonnes pra­tiques web de Word­Press et per­mettent de sécu­ri­ser effi­ca­ce­ment n’importe quel site, qu’il s’agisse d’un blog per­son­nel, d’un site vitrine, d’un por­tail pro­fes­sion­nel ou d’une bou­tique WooCommerce.