Si vous demandez \u00e0 un propri\u00e9taire de site WordPress ce que signifie la maintenance, il \u00e9voquera g\u00e9n\u00e9ralement les mises \u00e0 jour. Cliquer sur le bouton de mise \u00e0 jour des extensions, cliquer sur le bouton de mise \u00e0 jour du c\u0153ur de WordPress, termin\u00e9. Cela en fait partie, mais une maintenance bien faite est plus large et plus discr\u00e8te que cela. C’est un ensemble de petites v\u00e9rifications qui maintiennent les petits probl\u00e8mes petits, et quelques-unes d’entre elles sont presque universellement n\u00e9glig\u00e9es. Voici les cinq que nous voyons d\u00e9laiss\u00e9es le plus souvent, et ce qu’elles font pour vous lorsqu’elles ne le sont pas.<\/p>\n\n\n\n
La plupart des sites WordPress ont des sauvegardes configur\u00e9es quelque part. Bien moins de sites ont des sauvegardes qui fonctionnent r\u00e9ellement. La diff\u00e9rence ne devient visible que le jour o\u00f9 vous en avez besoin, c’est-\u00e0-dire le pire moment possible pour d\u00e9couvrir le probl\u00e8me.<\/p>\n\n\n\n
Les d\u00e9faillances courantes sont famili\u00e8res. L’extension de sauvegarde a cess\u00e9 de fonctionner en silence il y a trois mois apr\u00e8s une mise \u00e0 jour. La destination hors site est tomb\u00e9e \u00e0 court de stockage et a discr\u00e8tement rejet\u00e9 les nouveaux envois. Les sauvegardes sont des sauvegardes compl\u00e8tes des fichiers mais excluent la base de donn\u00e9es. Les sauvegardes sont des sauvegardes de la base de donn\u00e9es mais excluent le dossier des envois. Les sauvegardes existent mais elles sont chiffr\u00e9es et personne n’a test\u00e9 la cl\u00e9 de d\u00e9chiffrement.<\/p>\n\n\n\n
Le rem\u00e8de est de restaurer pour de vrai. Choisissez une sauvegarde r\u00e9cente, montez un site de pr\u00e9production temporaire et restaurez-la. Si cela fonctionne, vous le savez. Sinon, vous avez le temps de corriger le processus pendant que le site en production est encore en bonne sant\u00e9. Nous recommandons de le faire au moins une fois par trimestre pour tout site critique.<\/p>\n\n\n\n
Les listes d’utilisateurs WordPress s’accumulent. Sur deux ou trois ans, un seul site r\u00e9colte un freelance qui a cr\u00e9\u00e9 le formulaire de contact, un d\u00e9veloppeur qui a fait une int\u00e9gration ponctuelle, un prestataire marketing qui devait publier un article, le designer d’origine qui a configur\u00e9 les couleurs de la marque, et quelques extensions qui ont discr\u00e8tement cr\u00e9\u00e9 leurs propres comptes utilisateur. La plupart ne sont jamais supprim\u00e9s.<\/p>\n\n\n\n
Chacun de ces comptes est une voie d’acc\u00e8s \u00e0 votre site. Si l’un d’eux a re\u00e7u un acc\u00e8s de niveau administrateur, il peut tout faire, y compris importer involontairement une compromission depuis son propre ordinateur portable. Si le mot de passe d’un freelance se retrouve des ann\u00e9es plus tard dans une fuite quelque part sur internet, votre identifiant administrateur est sur la liste.<\/p>\n\n\n\n
Ouvrez la page des utilisateurs une fois par trimestre. Quiconque n’a pas besoin d’acc\u00e8s aujourd’hui est supprim\u00e9. Quiconque a seulement besoin de publier du contenu n’a pas besoin du r\u00f4le administrateur ; il lui faut au plus le r\u00f4le \u00e9diteur. Appliquez le moindre privil\u00e8ge par d\u00e9faut et vous supprimez beaucoup de risque pour tr\u00e8s peu d’effort.<\/p>\n\n\n\n
La base de donn\u00e9es WordPress grossit discr\u00e8tement avec le temps. Les r\u00e9visions d’articles s’accumulent sans limite si vous ne configurez pas WordPress pour les plafonner. Les brouillons automatiques s’empilent. Les transients jamais nettoy\u00e9s remplissent la table des options. Les extensions laissent leurs propres donn\u00e9es lorsqu’on les supprime. Les commentaires ind\u00e9sirables, si vous n’avez pas un bon filtrage, peuvent gonfler la table des commentaires. Les journaux d’Action Scheduler de diverses extensions peuvent atteindre des centaines de milliers de lignes.<\/p>\n\n\n\n
Rien de tout cela ne casse le site imm\u00e9diatement. Cela rend simplement tout l\u00e9g\u00e8rement plus lent. Les chargements de page passent plus de temps \u00e0 attendre les requ\u00eates \u00e0 la base de donn\u00e9es. Les pages d’administration mettent plus de temps \u00e0 s’afficher. Les sauvegardes grossissent et prennent plus de temps \u00e0 s’ex\u00e9cuter. Sur deux ou trois ans, un petit site peut se retrouver avec une base de donn\u00e9es plusieurs fois plus grande que son contenu r\u00e9el.<\/p>\n\n\n\n
Un nettoyage trimestriel de la base de donn\u00e9es, id\u00e9alement avec de bons outils plut\u00f4t qu’avec des extensions agressives de suppression automatique, garde le site l\u00e9ger. Configurez des limites de r\u00e9visions d’articles dans wp-config.php. Videz les corbeilles. Supprimez les cl\u00e9s d’options inutilis\u00e9es laiss\u00e9es par des extensions d\u00e9sinstall\u00e9es. R\u00e9indexez les tables lentes. Puis faites une nouvelle sauvegarde.<\/p>\n\n\n\n
C’est l’une des v\u00e9rifications les plus n\u00e9glig\u00e9es, et c’est celle qui a signal\u00e9 une compromission r\u00e9cente d’une agence de Sydney que nous avons audit\u00e9e. L’attaquant avait d\u00e9pos\u00e9 quinze fichiers malveillants dans des dossiers qui imitaient les noms de pages WordPress du site. Personne n’avait regard\u00e9 la racine du document depuis des mois. Si on l’avait fait, les fichiers auraient \u00e9t\u00e9 rep\u00e9r\u00e9s en quelques minutes.<\/p>\n\n\n\n
La racine du document d’un site WordPress devrait contenir les fichiers du c\u0153ur de WordPress et tr\u00e8s peu d’autre chose. Si vous trouvez des dossiers que vous ne reconnaissez pas, des fichiers .php en dehors de wp-admin, wp-content et wp-includes, des archives de sauvegarde, des dumps .sql, ou des copies de d\u00e9veloppement de fichiers nomm\u00e9s par exemple wp-config.bak, quelque chose ne va pas. Examinez chaque fichier inexpliqu\u00e9.<\/p>\n\n\n\n
Un coup d’\u0153il mensuel \u00e0 la racine du document, soit via SFTP, soit via le gestionnaire de fichiers de votre h\u00e9bergeur, est une t\u00e2che de quinze minutes qui d\u00e9tecte une cat\u00e9gorie d’attaque que la plupart des outils de surveillance manquent.<\/p>\n\n\n\n
WordPress utilise un ensemble de cl\u00e9s secr\u00e8tes cryptographiques et de salts, d\u00e9finis dans wp-config.php, pour signer les cookies et prot\u00e9ger les donn\u00e9es de session. Ils sont g\u00e9n\u00e9r\u00e9s lors de l’installation de WordPress et presque personne ne les change jamais ensuite. S’ils ont fuit\u00e9 \u00e0 un moment donn\u00e9, chaque jeton de session \u00e9mis depuis est techniquement encore valide, et un attaquant qui en aurait captur\u00e9 un un jour pourrait encore l’utiliser.<\/p>\n\n\n\n
Les renouveler une ou deux fois par an invalide toutes les sessions existantes, force tout le monde \u00e0 se reconnecter et vous offre une remise \u00e0 z\u00e9ro propre. La m\u00eame logique s’applique aux mots de passe d’application utilis\u00e9s par les extensions et int\u00e9grations, aux cl\u00e9s d’API des services qui se connectent \u00e0 votre site, et \u00e0 tout jeton ponctuel que vous auriez \u00e9mis pour des migrations ou des tests.<\/p>\n\n\n\n
Chaque fois qu’un employ\u00e9 ou un prestataire s’en va, ou chaque fois que vous soup\u00e7onnez qu’un identifiant a pu \u00eatre expos\u00e9, le renouvellement est essentiel. Les cinq minutes que cela prend constituent l’am\u00e9lioration de s\u00e9curit\u00e9 la moins ch\u00e8re que vous ferez jamais.<\/p>\n\n\n\n
Le point commun entre ces cinq t\u00e2ches est qu’aucune ne produit de r\u00e9sultats visibles. Restaurer une sauvegarde de test, supprimer l’ancien compte administrateur d’un prestataire, nettoyer les r\u00e9visions d’articles, analyser la racine du document, renouveler les cl\u00e9s cryptographiques. Le site est identique avant et apr\u00e8s. Le travail est invisible jusqu’au jour o\u00f9 il fait la diff\u00e9rence entre se remettre d’un probl\u00e8me en une heure ou reconstruire le site de z\u00e9ro.<\/p>\n\n\n\n
C’est pr\u00e9cis\u00e9ment pour cela qu’on les saute. La r\u00e9compense de les accomplir est l’absence d’un probl\u00e8me, et les humains valorisent mal les absences. Une bonne routine de support les int\u00e8gre comme une habitude, de sorte que la question de savoir si elles valent la peine d’\u00eatre faites aujourd’hui ne se pose jamais.<\/p>\n\n\n\n