Sécuriser WordPress contre le Piratage par Redirection des pages web

Redirection Malveillante sur WordPress: Symptômes et Méthodes de Détection

Redirection malveillante symptomes detection
Redirection malveillante symptomes detection


WordPress, c’est top, non ?

Tu as un site qui carbure, avec une interface sympa, des plugins pour tout et n’importe quoi et une communauté aux petits oignons.

Mais attends, tu sais que comme un super-héros, chaque site WordPress a son talon d’Achille ?

Sécurité WordPress Fortifié : Stratégies de Détection et de Blocage des Redirections Malveillantes


Eh oui, on parle de sécurité de ton site WordPress et plus précisément de piratage par redirection. Ce genre de piratage, c’est la bête noire des webmasters.

Redirection malveillante: symptômes et détection


Imagine que tu te pointes sur ton site et, au lieu de tomber sur tes articles passionnés, paf, tu es envoyé sur un site qui vend des lunettes de soleil contrefaites. C’est le piratage par redirection ça, mon ami. Il détourne tes visiteurs vers des terres inconnues et souvent malveillantes.

Analyse et prévention du code malveillant


Alors, comment tu détectes le problème ? Commence par scruter ton fichier .htaccess, c’est souvent là que le bazar se niche. Tu le trouves à la racine de ton site. C’est un fichier sensible, alors prends des pincettes.

Si tu tombes sur des lignes de code que tu n’as pas ajoutées toi-même, méfie-toi. Parfois, c’est juste du code ajouté par un plugin, mais d’autres fois, c’est un signal d’alarme. Voici un exemple de code que tu pourrais trouver:
# BEGIN WordPress
RewriteEngine On
RewriteCond %{HTTP_REFERER} ^https://(www\.)?mauvais-site\.com
RewriteRule ^(.*)$ https://tonsite.com/$1 [R=301,L]
# END WordPress

# Encodage en Base64 pour masquer des opérations
<Files "index.php">
AddHandler application/x-httpd-php .jpg

# Directive suspecte qui n'a pas sa place
Options +FollowSymLinks

Tu vois, si « mauvais-site.com » ne te dit rien qui vaille, tu as un squatteur. Ce n’est pas tout, dans ma grande majorité des cas, les fichiers core WordPress sont aussi infectés. Voici un exemple de code malveillant que tu pourrais trouver dans ces fichiers :

exemple de code malveillant après piratage par redirection wordpress
exemple de code malveillant après piratage par redirection wordpress


  • loadDirectoriesRecursively($parent, $child) : Cette fonction parcourt récursivement les répertoires à partir d’un chemin donné. Cette fonctionnalité permet de repérer tous les dossiers présents dans un répertoire donné, ce qui peut constituer un premier pas vers des activités malintentionnées telles que l’altération de fichiers.

  • generateRandomString($length = 8) : Cette fonction a été développée pour fabriquer de manière spontanée une suite de caractères sans ordre prédictible. Elle trouve son utilité dans l’élaboration de noms de fichiers ou de codes secrets qui, par leur nature aléatoire, peuvent servir à dissimuler des éléments indésirables ou des accès cachés dans un système.

  • getRealUrl($outputName) : Transforme un chemin de fichier système en une URL utilisable. Cela pourrait être utilisé pour accéder à des fichiers depuis le Web.

  • changeModificationTimestamp($filename) : Modifie le timestamp de modification d’un fichier. Cela pourrait être utilisé pour dissimuler la date et l’heure réelles de l’infection ou de la modification malveillante d’un fichier.


Où mettre ce code? Si quelqu’un veut ajouter ce code à un site WordPress dans un but malveillant, il pourrait le placer dans un plugin personnalisé, un thème ou injecter directement dans le wp-load.php

Pour éviter ça, garde tes thèmes et plugins à jour. Oui, c’est répétitif, mais crois-moi, c’est ta meilleure parade.

Les sites qui reviennent souvent lors d’un piratage par redirection


Quand ton site commence soudainement à jouer les guides touristiques vers des destinations douteuses du web, c’est signe qu’il y a anguille sous roche. On parle ici de ces redirections malveillantes qui envoient tes visiteurs vers des sites qui ne figurent sur aucun plan de voyage recommandable. Voici quelques-uns des domaines connus pour leur implication dans ces redirections :

  • cartoonmines.com

  • shbzek.ltd

  • getmyfreetraffic.com

  • check-this-out-now.online

  • free-templates.online

  • win-a-prize.xyz


Cette liste n’est pas exhaustive et les domaines de phishing et de malwares changent aussi vite que les modes. Ces sites peuvent injecter des publicités non désirées, des logiciels malveillants, ou même tenter de phisher les informations de tes utilisateurs.

https://voone-actu.com/quels-sont-les-enjeux-lies-a-la-cybersecurite-pour-preserver-les-donnees/
Info à lire dans la catégorie  Comment caster amazon prime sur un téléviseur de salon ?

Nettoyage et solutions suite à un piratage par redirection


Tu t’es fait avoir ? Pas de panique. On va nettoyer ça. Change tous tes mots de passe, et pas juste celui de WordPress. Ta base de données, ton FTP, tout doit être nickel.
Diagnostic et Défense : Lutte Contre les Redirections Malicieuses sur WordPress

Pense aussi à une solution de nettoyage de malware, il y en a qui font ça très bien. Des plugins de sécurité peuvent scanner ton site et mettre les intrus à la porte.

Sécurité renforcée


Tu veux que ça ne se reproduise plus ? Jette un œil aux plugins de sécurité. Ils sont comme des gardes du corps pour ton site. Ils surveillent les tentatives de connexion, verrouillent les fichiers sensibles et scannent ton site à la recherche de malwares.

Wordfence ou Sucuri, ça te parle ? Ce sont des noms à retenir. Ils te proposeront une protection en temps réel et des pare-feu qui ne rigolent pas.

Bonnes pratiques


Et pour terminer, je te laisse avec une liste de bonnes pratiques. Prends-en de la graine :

  • Utilise des mots de passe costauds

  • Mets à jour, toujours et encore

  • Fais des sauvegardes régulières

  • Limite les tentatives de connexion

  • Utilise un service de détection et de nettoyage de malware

  • Adapte les permissions d’écritures / lectures de tes fichiers sensibles


Tu as là de quoi faire pour que ton site WordPress reste ton petit coin de paradis numérique sans mauvaises surprises. Prends ces conseils au sérieux, et tu verras, ton site te remerciera ! Et si tu n’es pas fan de code, de manipulation de fichiers, n’hésites pas à contacter un pro de la désinfection de sites WordPress.

 

Exemple de chmods d’une installation « normale » de WordPress








































Fichier/DossierPermission recommandéeDescription
Fichiers WordPress (.php, .html, etc.)644Cela permet de lire et d’écrire par le propriétaire, et de lire par les utilisateurs du groupe et les autres.
Dossiers WordPress755Le propriétaire peut lire, écrire et exécuter. Les utilisateurs du groupe et les autres peuvent lire et exécuter.
wp-config.php600Seul le propriétaire peut lire et écrire, aucun autre utilisateur ne peut y accéder.
.htaccess644Si tu utilises des règles personnalisées qui nécessitent des écritures via l’administration de WordPress, tu pourrais avoir besoin de 664.
wp-content755Important pour que les thèmes et les plugins puissent fonctionner correctement. Certains hôtes peuvent nécessiter 775.
wp-includes755Identique aux dossiers WordPress, permet l’exécution de scripts.

 

Exemple de chmods qui sécurisent un peu plus vos fichiers sensibles








































Fichier/DossierPermission recommandéeDescription
Fichiers WordPress (.php, .html, etc.)444Lecture seule pour tout le monde. Cela empêche la modification des fichiers, même par le propriétaire. À utiliser uniquement si aucun changement n’est prévu, car cela empêchera les mises à jour normales des fichiers.
Dossiers WordPress555Lecture et exécution pour tout le monde. Le propriétaire ne peut pas écrire. Cela sécurise le dossier contre les modifications non autorisées.
wp-config.php400Seul le propriétaire peut lire, aucune autre permission n’est accordée. Cela renforce la sécurité en limitant l’accès à ce fichier critique.
.htaccess444Lecture seule pour tout le monde. Assure-toi que les règles ne seront pas modifiées sans autorisation explicite.
wp-content555Les fichiers peuvent être lus et exécutés, mais pas écrits, même par le propriétaire. Cela peut empêcher l’installation ou la mise à jour de thèmes et de plugins via l’interface d’administration.
wp-includes555Identique aux dossiers WordPress, lecture et exécution pour tout le monde, pas d’écriture.

Ce tableau reflète une approche très restrictive. Par contre, il faut garder en tête que des permissions aussi serrées peuvent compliquer la vie avec ton WordPress, surtout pour les updates et les changements de contenu. Utilise ces réglages seulement si t’es sûr de pas devoir toucher à ces fichiers ou si t’as un plan béton pour les updates manuels.
Info à lire dans la catégorie  Pourquoi faire appel à une agence de communication audiovisuelle ?

Stratégies de sauvegarde


On sait tous que t’aimerais passer ton temps à faire des choses plus fun que de t’occuper de sauvegardes. Mais crois-moi, le jour où ton site fait la tête, tu seras content d’avoir une petite capsule temporelle à restaurer.

Pense à programmer des sauvegardes automatiques. Tu peux opter pour des plugins ou des solutions d’hébergement qui proposent des snapshots réguliers. Si t’es un peu geek sur les bords, tu peux même te lancer dans des scripts CRON qui font le boulot pour toi.

Sélection de plugins sécuritaires


Tu vas me dire, « Des plugins pour sécuriser des plugins, c’est sérieux ? ». Eh bien, oui. Choisis bien tes compagnons de route. Certains plugins sont connus pour être des passoires. Avant de cliquer sur « installer », vérifie ton futur plugin : est-il mis à jour fréquemment ? Les avis sont-ils positifs ? Si c’est oui, tu es sur la bonne voie.

Accès et permissions


Tu ne donnerais pas les clés de chez toi à n’importe qui, n’est-ce pas ? Pour ton site, c’est pareil. Sois pointilleux sur qui a accès à quoi. Les permissions doivent être réglées finement : les éditeurs éditent, les administrateurs administrent, et ainsi de suite.

Voici un bout de code pour sécuriser ton fichier wp-config.php, qui est le cœur battant de ton WordPress :
order allow,deny
deny from all

Ajoute ça à ton .htaccess et tu créeras un bouclier supplémentaire contre les curieux.

Surveillance constante


Maintenant, on entre dans la partie Big Brother de la chose. Tu dois garder un œil sur ce qui se passe sur ton site. Des outils comme Google Analytics te permettent de voir si tu as une hausse soudaine du trafic (souvent mauvais signe).

C’est pas tout, tu devrais aussi penser à utiliser des outils de monitoring de site web gratuits qui peuvent te notifier si ton site est down. Des trucs comme Uptime Robot ou Pingdom offrent des plans de base gratuits qui peuvent t’envoyer des alertes dès que ton site n’est plus en ligne, ce qui pourrait arriver après une attaque par exemple, te laissant avec une belle erreur 500 à gérer. C’est une bonne manière de réagir vite avant que tes visiteurs ne se tapent une page d’erreur.

Et si tu veux monter d’un cran, il y a des services qui vont surveiller l’intégrité de ton site en permanence. Si une page change sans ton consentement, tu seras le premier informé. Combiner la surveillance du trafic, la vérification de la disponibilité du site, et l’alerte en cas de modification non autorisée, ça te construit une forteresse numérique pas mal solide.

Mises à jour du cœur de WordPress


Garde le cœur de WordPress à jour, tout le temps. Ces mises à jour ne sont pas là pour décorer. Elles colmatent les brèches par lesquelles les malandrins pourraient s’engouffrer.

Responsabilité des utilisateurs


Dernier point, et pas des moindres, éduque tes utilisateurs. S’ils utilisent des mots de passe comme « 12345 » ou « password », tu es mal barré. Organise des petites sessions de sensibilisation, partage des articles, fais-leur comprendre qu’ils sont le premier maillon de la chaîne de sécurité.

Tu as maintenant une panoplie de méthodes pour blindar ton site WordPress. Applique-les, et tu dormiras sur tes deux oreilles.

Reste vigilant, même si t’as blindé ton site comme Fort Knox, la vigilance est ton meilleur allié. Le monde du web est un peu comme une partie de chat et de souris, et crois-moi, tu veux être le chat.
Boris Rabilaud
Dernieres Actualités
AdvertismentExpert Référencement Google
Articles connexes
Advertismentspot_img
Acutalités

SkyView : identifiez étoiles, constellations et satellites en pointant votre téléphone vers le ciel

Les amateurs d'astronomie peuvent passer des heures à contempler le ciel nocturne et à s'émerveiller des innombrables étoiles, planètes et autres objets célestes. Pour...

Lumosity : entraînez votre cerveau avec des jeux scientifiquement conçus

Les technologies numériques ont révolutionné notre quotidien, en offrant un accès facilité à l'information et en connectant les individus entre eux. Ces nouveaux outils...

The Room : séries de puzzles mystérieux dans une ambiance unique

S'il existe un genre de jeu qui fait appel à notre logique et notre esprit d'analyse, c'est bien celui des séries de puzzles. Une...

Angry Birds 2 : le retour des oiseaux dans une aventure encore plus déjantée

Après le succès phénoménal du premier opus, il est temps de faire place à la suite très attendue des aventures de nos oiseaux préférés...

Clash Royale : duel en temps réel dans l’univers de Clash

Les amateurs de jeux mobiles connaissent sans doute déjà le célèbre univers de Clash, rendu populaire grâce à Clash of Clans. Cependant, il existe...
AdvertismentE reputation Entreprise