SME-101.05B Wordfence

Description générale

Ce document explique l'installation et la configuration de l'extension Wordfence Security pour WordPress. Cette installation s'applique à la version Wordfence-7.1.16 et suivantes.

Traduction française fr_FR

Une traduction française pour l'extension Wordfence Security est disponible à l'URL suivante: https://www.micronator.org/affaires/produit/traduction-francaise-pour-wordfence/.

Wordfence

L'EXTENSION DE SÉCURITÉ POUR WORDPRESS, LA PLUS TÉLÉCHARGÉE.

Sécurisez votre site Web à l'aide de l'extension Wordfence.

Propulsé par RSS Defense Threat et constamment mis à jour, le Pare-feu pour applications Web (WAF) protège votre site contre toutes tentatives de piratage. Wordfence vous alerte rapidement au cas où votre site est compromis. L'écran "Live Traffic" vous offre une visibilité en temps réel du trafic et des tentatives de piratage de votre site Web. Un ensemble d'outils additionnels parachève la solution de sécurité la plus complète disponible pour WordPress.

L'extension Wordfence Security est 100% gratuite et LIBRE. Wordfence Security offre également une clé API Premium qui vous donne: un support Premium, un blocage par pays, des balayages programmés, un audit des mots de passe et elle va même jusqu'à vérifier si l'adresse IP de votre site Web est utilisée pour distribuer des pourriels.

Cliquer ici pour souscrire à Wordfence Premium maintenant ou suivre les étapes de ce document pour simplement installer Wordfence gratuitement et commencer à protéger votre site Web.

Marche à suivre

• Préparation des prérequis.
• Installation de l'extension et son activation.
• Configurations préliminaires.
• Tableau de bord Wordfence.
• Réglages des options.
• Exemples d'utilisation.
• Désinstallation temporaire ou définitive de l'extension.

But final de ce cahier

Utilisant le Serveur SME sme9.micronator-101.com du Cahier-4: Certificat Let’s Encrypt, nous y avons installé la Collection PHP70, ajusté les paramètres de php.ini, installé la Collection MySQL57 et finalement WordPress-4.9.8 en suivant les instructions du Cahier-5A: SME & WordPress.

Pour l'utilisation du Serveur SME sme9.micronator-101.com, voir le chapitre #Utilisation du serveur de développement.

But final du cours SME-101

Après avoir suivi le cours SME-101, l'Étudiant possédera un site de Commerce en ligne fiable et hautement sécuritaire. De plus, il pourra utiliser un clone de son site, sur un Serveur SME virtuel sur sa station de travail, pour tester de nouvelles extensions et applications sans compromettre la sécurité ou l'intégrité de son site en ligne.

Cours SME-101

Le cours SME-101, se voulant une base solide pour la création d'un site de Commerce en ligne, comprend plusieurs cahiers:

• Cahier-00: Les bases de Linux,  https://wiki.contribs.org/SME-101.00_Linux_de_base.
• Cahier-01: Installation et configuration des logiciels prérequis sur le poste de travail de l'Étudiant de même que le téléchargement des fichiers qui seront installés sur le Serveur SME virtuel,  https://wiki.contribs.org/SME-101.01_Logiciels_de_la_station_de_travail.
• Cahier-02: Description du parcours des paquets IP du Serveur SME vers l'Internet, création de la machine virtuelle, installation/configuration du serveur Linux SME et enfin, sauvegarde/restauration de ce dernier,  https://wiki.contribs.org/SME-101.02_Serveur_SME.
• Cahier-03: Abonnement à un FAI, installation et configuration d'un modem ADSL/VDSL, création d'un domaine chez un fournisseur de Service DNS dynamique avec installation d'un script pour sa mise à jour et enfin la marche à suivre pour l'obtention et la configuration d'un domaine FQDN,  https://wiki.contribs.org/SME-101.03_ADSL/VDSL,_DDNS_et_Domaine_FQDN
• Cahier-04: Installation d'un certificat SSL de l'autorité de certification Let's Encrypt et script de mise à jour,  https://wiki.contribs.org/SME-101.04_Certificat_Let%27s_Encrypt.
• Cahier-05A: Installation et configuration de WordPress,  https://wiki.contribs.org/SME-101.05A_WordPress.
• Cahier-05B: Installation et configuration de l'extension de sécurité Wordfence.
• Cahier-06: Installation et configuration de l'extension de vente en ligne WooCommerce, création de comptes chez Stripe et PayPal pour les paiements en ligne.
• Cahier-07: Sauvegarde/restauration ou migration d'un site avec l'extension Duplicator.
• Cahier-08: Serveur mandataire inversé,  https://wiki.contribs.org/Mandataire_invers%C3%A9.
• Cahier-09: Supplément: SME & BackupPC-4.2,  https://wiki.contribs.org/BackupPC-4.2.

Tous les logiciels nécessaires sont du domaine public ou LIBRE sous licence GPL; ils ne coûtent pas un sous. Le seul achat nécessaire est l'obtention d'un nom de domaine FQDN au prix initial de $15 CAD et son renouvellement annuel d'environ $30 CAD.

Particularités de ce document

Notes au lecteur

• Les captures d’écrans ne sont que des références.

• Les informations écrites ont préséance sur celles retrouvées dans les captures d’écrans. Se référer aux différents tableaux lorsque ceux-ci sont présents.

Conventions

• Toutes les commandes à entrer à la console du Serveur SME commencent habituellement avec l'invite # pour l'usager root ou $ pour un usager sans privilège particulier.
• L'invite mysql> de la console MySQL est toujours présente.
• La sortie de la commande est séparée de celle-ci par une ligne vide sans couleur de fond.
• L'invite de retour n'est jamais présent pour la plupart des commandes.
• Les affichages à surveiller sont en rouge, bleu, orange ou magenta.

# ping 192.168.1.149

192.168.1.149 is alive

Les liens de référence Internet sont en bleu de même que ceux intra document mais, ces derniers débute par un " # ".

  Manipulation, truc ou ruse pour se tirer d’embarras.

  Une recommandation ou astuce.

  Une note.

  Une étape, note ou procédure à surveiller.

  Danger pour la sécurité du système.

  Indique que la commande est sur une seule ligne. Pour ce document en PDF, il faudra copier la commande entière dans un éditeur de texte ASCII tel que NotePad++ et la mettre sur une seule ligne avant de la copier à la console.

Une chaîne de caractères en magenta indique qu’il faut remplacer cette chaîne par vos propres paramètres.

Commande à exécuter si ce n'est déjà fait.

Commande indiquée à titre d'information seulement.

Prérequis

PHP, MySQL et WordPress-4.9.8

WordPress

Référence: https://fr-ca.wordpress.org/about/requirements/.

WordPress requière la version 5.2.4 minimum pour PHP et recommande la version 7.2.

Wordfence

Référence: https://www.wordfence.com/help/advanced/system-requirements/.

Wordfence requière la version 5.2.6 minimum pour PHP.

Serveur SME actuel

Nous utilisons le même système que celui du cours Micronator-101, Cahier-4: Certificat Let’s Encrypt.

Nous y avons installé WordPress-4.9.8 en suivant le Cahier-5A: SME & WordPress.

  Pour l'utilisation du Serveur SME dev.micronator-101.com, voir le chapitre #Utilisation du serveur de développement.

Vérifications

Collections RedHat

# scl -l

php54
php55
php56
php70
php71
rh-mysql57

PHP

Chemin.

# which php

/opt/remi/php71/root/usr/bin/php

Version.

# php --version

PHP 7.1.22 (cli) (built: Sep 11 2018 17:19:20) ( NTS )
Copyright (c) 1997-2018 The PHP Group
Zend Engine v3.1.0, Copyright (c) 1998-2018 Zend Technologies

Paramètre PHP71 pour les i-bays

# config show php71

php71=configuration
    AllowUrlFopen=Off
    MaxExecutionTime=30
    MaxFileUpload=20
    MaxInputTime=60
    MemoryLimit=256M
    PhpModule=enabled
    PostMaxSize=52M
    UploadMaxFilesize =50M

MySQL

  Il faut toujours utiliser mysql57 ou mysqladmin57 pour toute les manipulations de MySQL.

Chemin et version.

# mysql57 --version

/opt/rh/rh-mysql57/root/usr/bin/mysql  Ver 14.14 Distrib 5.7.16, for Linux (x86_64) using  EditLine wrapper

Paramètres php.ini

Nous avons ajusté ces paramètres comme prérequis pour l'installation de WordPress du Cahier-5A: SME & WordPress.

On vérifie.

# cat /etc/php.ini | grep -i  Memory_Limit

memory_limit                           = 256M

# cat /etc/php.ini | grep -i  post_max_size

post_max_size                          = 52M

# cat /etc/php.ini  |  grep -i upload_max_filesize

upload_max_filesize                    = 50M

  Comme on le voit ci-dessus, les grandeurs maximales sont maintenant de 256M, 52M et 50M. Les relations ont été respectées: memory_limit (256M) > post_max_size (52M) > upload_max_filesize (50M).

Usager récepteur des alertes Wordfence

Wordfence envoie ses alertes par courriel et quelques fois, le nombre d'alertes peut être assez grand. Dans le gestionnaire Server-Manager, sur notre serveur principal de courrier sme-9.micronator-101.com à l'adresse 192.168.1.1, on crée un usager pour recevoir exclusivement ces alertes.

On se logue avec "admin" dans le gestionnaire du Serveur SME: https://IP_du_serveur/server-manager/.

• Collaboration  >  Utilisateurs  >  Ajouter un utilisateur.
• - Nom du compte wordfence
  - Prénom Word
  - Nom Fence
  - Ajouter.

Réinitialisation du mot de passe.

On entre un mot de passe et on le confirme.  >  Enregistrer.

Le mot de passe a été réinitialisé.

Droits et permissions

Pour s'assurer que les bons droits sont en place, on lance le script droits_ibay.sh Primary avant l'installation.

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

  Pour plus de détails, voir le Cahier-5A au chapitre https://wiki.contribs.org/SME-101.05A_WordPress#Scripts_d.27ajustement_des_droits_et_permissions.

# droits_ibay.sh Primary

Vous avez bien spécifié l'i-bay:  "/home/e-smith/files/ibays/Primary"?  o/n [o]: [Entrée]
...

Répertoire html

Wordfence va vouloir créer, à la racine du site, le fichier wordfence-waf.php, ce qui n'est pas permis par les droits et permissions du répertoire html de l'i-bay Primary. Nous allons donc donner le droit d'écriture au groupe dans ce répertoire, seulement pour le temps de l'installation de Wordfence.

On donne le droit d'écriture au groupe dans le répertoire html.

# chmod g+w /home/e-smith/files/ibays/Primary/html/

On vérifie.

# ls -lsd /home/e-smith/files/ibays/Primary/html/

4 drwxrws--- 5  admin shared 4096 11 oct.  17:07 /home/e-smith/files/ibays/Primary/html/

Fichier .htaccess

L'installation de Wordfence va vouloir ajouter des directives dans le fichier .htaccess mais, lors de l'installation de WordPress, nous avons déjà configuré ce fichier pour qu'il n'autorise aucune modification sur lui-même. Pour remédier à la situation, nous le déplaçons dans le répertoire au-dessus de la racine du site et créons un nouveau fichier .htaccess vide, dans le répertoire racine. Nous ajustons le groupe, le propriétaire et donnons le droit d'écriture au groupe.

On déplace le fichier pour le sauvegarder avec son contenu original.

# /bin/mv -f /home/e-smith/files/ibays/Primary/html/.htaccess  /home/e-smith/files/ibays/Primary/

On vérifie.

# ls -ls /home/e-smith/files/ibays/Primary/.htaccess

4 -rw-r--r-- 1 root shared 742 11 oct.  13:22  /home/e-smith/files/ibays/Primary/.htaccess

On crée un nouveau fichier .htaccess dans le répertoire racine du site.

# touch /home/e-smith/files/ibays/Primary/html/.htaccess

On ajuste le propriétaire et le groupe.

# chown admin:shared /home/e-smith/files/ibays/Primary/html/.htaccess

On donne le droit d'écriture au groupe.

# chmod 660 /home/e-smith/files/ibays/Primary/html/.htaccess

On vérifie.

# ls -als /home/e-smith/files/ibays/Primary/html/.htaccess

0 -rw-rw---- 1 admin shared 14 oct.  21:16 /home/e-smith/files/ibays/Primary/html/.htaccess

Traduction française pour Wordfence

Nous avons traduit les écrans Wordfence en français (fr_FR) et les fichiers sont disponibles gratuitement à la page: https://www.micronator.org/affaires/produit/traduction-francaise-pour-wordfence/ de notre boutique.

  Une ancienne traduction est toujours compatible avec une version Wordfence plus récente.

Description

  Toujours vérifier le site ci-dessus et prendre la dernière version de la traduction.

Le fichier ZIP RF-232_wordfence-fr_FR_2018-05-23_13h07_V716.zip contient deux fichiers: wordfence-fr_FR.mo et wordfence-fr_FR.po.

• Le fichier .mo est une version compilée de ce qu’on appelle un catalogue.

• Le fichier .po, genre de base de données, contient la version originale anglaise des textes de l’extension en plus de leurs traductions.

Usage

Après le téléchargement et l'extraction, téléversez ces deux fichiers dans le répertoire: wp-content/languages/plugins.

Droits et permissions

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

Après le téléversement des fichiers sur le Serveur SME, on doit lancer le script des droits et permissions pour ajuster le pro­pri­é­tai­re, le groupe et les permissions des fichiers des traductions.

# droits_ibay.sh Primary

Vous avez bien spécifié l'i-bay:  "/home/e-smith/files/ibays/Primary"?  o/n [o]: [Entrée]
...

On vérifie.

# ls -ls /home/e-smith/files/ibays/Primary/html/wp-content/languages/plugins/wordfence*

228 -rw-rw---- 1 admin shared 232164 23 mai   13:07 /home/e-smith/files/ibays/Primary/html/wp-content/languages/plugins/wordfence-fr_FR.mo
380 -rw-rw---- 1 admin shared 387083 23 mai   13:07 /home/e-smith/files/ibays/Primary/html/wp-content/languages/plugins/wordfence-fr_FR.po

Les prérequis sont remplis, nous sommes prêt pour l'installation de Wordfence.

Installation & activation

Installation

• Tableau de bord WordPress  >  Extensions  >  Ajouter  >  "Mot-clé" Wordfence.
• Installer.

• - TOUJOURS localhost.
  - Entrer les informations requises.
  - Continuer.
• Activer.

Droits et permissions

  Après l’installation d’une nouvelle extension, on ajuste toujours les droits et permissions en exécutant le script droits_ibay.sh.

# droits_ibay.sh Primary

Vous avez bien spécifié l'i-bay:  "/home/e-smith/files/ibays/Primary"?  o/n [o]: [Entrée]
...

Configurations préliminaires

Récepteur des alertes

• De retour à l'installation de Wordfence, cliquer l'image pour passer à la suivante.

• On ferme le message "Extension activée".

• On entre l'adresse courriel de l'usager créé au paragraphe #Usager récepteur des alertes Wordfence.
• On lit les termes et la politique de confidentialité de Wordfence.
• Si on accepte les termes et la politique de confidentialité, on coche la case au début de la ligne.
• Il faut cliquer oui ou non pour se joindre à la liste de diffusion sinon, le bouton CONTINUER ne s'activera pas. Il est recommandé de se joindre à cette liste car, à la lecture des courriels qu'on reçoit de Wordfence, on peut en apprendre beaucoup sur la sécurité.

  IL NE FAUT PAS CLIQUER CONTINUER avant d'avoir lancé les commandes en dessous de l'image.

On ajuste les droits des fichiers dans le répertoire wflogs.

# chmod 660 /home/e-smith/files/ibays/Primary/html/wp-content/wflogs/*

On ajuste le propriétaire et le groupe (admin:www pour une autre i-bay que Primary).

# chown admin:shared /home/e-smith/files/ibays/Primary/html/wp-content/wflogs/*

On vérifie.

# ls -als  /home/e-smith/files/ibays/Primary/html/wp-content/wflogs/

total 4632
   4 drwxrwx--- 2 admin shared    4096 15 oct.  15:33 .
   4 drwxrws--- 8 admin shared    4096 15 oct.  14:56 ..
  40 -rw-rw---- 1 admin shared   40083 15 oct.  14:56 attack-data.php
   4 -rw-rw---- 1 admin shared     601 15 oct.  14:56 config-livewaf.php
   4 -rw-rw---- 1 admin shared     610 15 oct.  14:56 config.php
   4 -rw-rw---- 1 admin shared     960 15 oct.  15:33 config-synced.php
 984 -rw-rw---- 1 admin shared 1003955 15 oct.  14:56 config-transient.php
3388 -rw-rw---- 1 admin shared 3465676 15 oct.  14:56 GeoLite2-Country.mmdb
   4 -rw-rw---- 1 admin shared     133 15 oct.  14:56 .htaccess
   4 -rw-rw---- 1 admin shared      51 15 oct.  15:31 ips.php
 128 -rw-rw---- 1 admin shared  128919 15 oct.  14:56 rules.php
   4 -rw-rw---- 1 admin shared      51 15 oct.  14:56 template.php
  60 -rw-rw---- 1 admin shared   58815 15 oct.  14:56 wafRules.rules

  Wordfence va constamment remettre le groupe et le propriétaire à www:www pour le fichier config-synced.php.

Attendre 1 ou deux minutes et Wordfence va remettre le propriétaire et le groupe www:www au fichier config-synced.php.

# ls -als  /home/e-smith/files/ibays/Primary/html/wp-content/wflogs/

total 4632
   4 drwxrwx--- 2 admin shared    4096 15 oct.  15:38 .
   4 drwxrws--- 8 admin shared    4096 15 oct.  14:56 ..
  40 -rw-rw---- 1 admin shared   40083 15 oct.  14:56 attack-data.php
   4 -rw-rw---- 1 admin shared     601 15 oct.  14:56 config-livewaf.php
   4 -rw-rw---- 1 admin shared     610 15 oct.  14:56 config.php
   4 -rw-rw---- 1 www   www       1332 15 oct.  15:38 config-synced.php
 984 -rw-rw---- 1 admin shared 1003955 15 oct.  14:56 config-transient.php
3388 -rw-rw---- 1 admin shared 3465676 15 oct.  14:56 GeoLite2-Country.mmdb
   4 -rw-rw---- 1 admin shared     133 15 oct.  14:56 .htaccess
   4 -rw-rw---- 1 admin shared      51 15 oct.  15:31 ips.php
 128 -rw-rw---- 1 admin shared  128919 15 oct.  14:56 rules.php
   4 -rw-rw---- 1 admin shared      51 15 oct.  14:56 template.php
  60 -rw-rw---- 1 admin shared   58815 15 oct.  14:56 wafRules.rules

Après un certain temps, Wordfence va remettre le propriétaire et le groupe www:www à d'autres fichiers et enlever les droits rw au groupe de ces fichiers.

# ls -als /home/e-smith/files/ibays/Primary/html/wp-content/wflogs

total 5428
   4 drwxrwx--- 2 admin shared    4096 16 oct.  12:13 .
   4 drwxrws--- 8 admin shared    4096 16 oct.  18:30 ..
  40 -rw-rw---- 1 admin shared   40083 16 oct.  18:29 attack-data.php
   4 -rw------- 1 www   www        601 16 oct.  12:09 config-livewaf.php
   4 -rw------- 1 www   www        801 16 oct.  10:48 config.php
  48 -rw------- 1 www   www      47451 16 oct.  12:13 config-synced.php
1716 -rw------- 1 www   www    1753289 16 oct.  04:21 config-transient.php
3408 -rw-rw---- 1 admin shared 3486576 16 oct.  18:30 GeoLite2-Country.mmdb
   4 -rw-rw---- 1 admin shared     133 16 oct.  18:29 .htaccess
   4 -rw-rw---- 1 admin shared      51 16 oct.  12:09 ips.php
 128 -rw-rw---- 1 admin shared  128919 16 oct.  18:30 rules.php
   4 -rw------- 1 www   www         51 16 oct.  06:30 template.php
  60 -rw-rw---- 1 admin shared   58815 16 oct.  18:30 wafRules.rules

Maintenant, on peut cliquer CONTINUER.

Licence Premium

Les "Informations de contacts de l'administrateur" ont bien été envoyées.

Si on possédait une licence Premium, on pourrait l'entrer ici sinon, on clique Non, merci pour demeurer avec la licence gratuite.

• - L'extension Wordfence est activée et installée.
  - On peut vérifier la version de Wordfence (7.1.16).
• Tableau de bord de WordPress  >  Wordfence.  >  Dashboard.

Notes de Wordfence

• Suivant.
• Suivant.
• Suivant.

Mise à jour automatique de Wordfence

On peut activer la mise à jour automatique de Wordfence en cliquant Yes, enable auto-update sinon on clique No, thanks. On pourra toujours l'activer/désactiver plus tard.

Fichier .htaccess

CLIQUEZ ICI POUR CONFIGURER.

• Il faut absolument cliquer TÉLÉCHARGER .HTACCESS sinon, le bouton "CONTINUER" ne s'activera pas.
• - Le fichier .htaccess a été sauvegardé au paragraphe #Fichier .htaccess.
  - Annuler.
• Au retour, on clique le bouton CONTINUER qui est maintenant devenu actif.

L'installation a réussie  >  FERMER.

Si vous aviez visité une autre page de Wordfence avant de CLIQUEZ ICI POUR CONFIGURER, vous verriez la fenêtre ci-dessous s'afficher au lieu de celle ci-dessus.

L'écran "Règles du Pare-feu" de Wordfence s'affiche.

Manipulations du fichier .htaccess

On se rend dans le répertoire racine de notre site Web.

# cd /home/e-smith/files/ibays/Primary/html/

On vérifie.

# pwd

/home/e-smith/files/ibays/Primary/html

On affiche le nouveau fichier .htaccess pour examiner les modifications insérées par l'installation de Wordfence.

# cat .htaccess

# Wordfence WAF
<IfModule mod_php7.c>
        php_value auto_prepend_file '/home/e-smith/files/ibays/Primary/html/wordfence-waf.php'
</IfModule>
<Files ".user.ini">
<IfModule mod_authz_core.c>
        Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
        Order deny,allow
        Deny from all
</IfModule>
</Files>

# END Wordfence WAF

On ajoute ">>" le contenu du nouveau fichier .htaccess inséré par Wordfence à notre ancien fichier .htaccess qu'on avait déplacé dans le répertoire immédiatement au dessus du répertoire racine de notre site; voir le paragraphe #Fichier .htaccess.

# cat .htaccess >> ../.htaccess

On vérifie le nouveau contenu de l'ancien fichier .htaccess.

# cat ../.htaccess

# **************************************
# Pour protéger le fichier wp-config
<Files wp-config.php>
 order allow,deny
 deny from all
</Files>

# **************************************
# Pour protéger le fichier htaccess lui-même
<Files .htaccess>
 order allow,deny
 deny from all
</Files>

# **************************************
# permet d’empêcher que tout le monde puisse voir et/ou récupérer
# les fichiers & images qui composent notre site.
Options All -Indexes

# Wordfence WAF
<IfModule mod_php7.c>
        php_value auto_prepend_file '/home/e-smith/files/ibays/Primary/html/wordfence-waf.php'
</IfModule>
<Files ".user.ini">
<IfModule mod_authz_core.c>
        Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
        Order deny,allow
        Deny from all
</IfModule>
</Files>

# END Wordfence WAF

On ramène notre ancien fichier .htaccess agrandi dans le répertoire racine de notre site. Ceci remplacera le nouveau .htaccess par notre ancien .htaccess agrandi.

# mv ../.htaccess .

mv : voulez-vous écraser « ./.htaccess » ? o

On vérifie.

# tail -n 16 /home/e-smith/files/ibays/Primary/html/.htaccess

# Wordfence WAF
<IfModule mod_php7.c>
        php_value auto_prepend_file '/home/e-smith/files/ibays/Primary/html/wordfence-waf.php'
</IfModule>
<Files ".user.ini">
<IfModule mod_authz_core.c>
        Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
        Order deny,allow
        Deny from all
</IfModule>
</Files>

# END Wordfence WAF

Tout s'est bien passé.

Droit de lecture du répertoire html

On enlève le droit d'écriture dans le répertoire html qu'on avait donné au groupe au paragraphe #Répertoire html.

# chmod g-w /home/e-smith/files/ibays/Primary/html/

On vérifie.

# ls -lsd /home/e-smith/files/ibays/Primary/html/

4 drwxr-s--- 5  admin shared 4096 11 oct.  17:07 /home/e-smith/files/ibays/Primary/html/

Vérification du paramètre auto_prepend_file

Tableau de bord WordPress  >  Wordfence  >  Tools  >  Diagnostics.

On développe le cadre "Autres tests"  >  Cliquez pour afficher la configuration de votre système dans une nouvelle fenêtre.

• - On s'assure que le paramètre auto_prepend_file pointe bien vers: /home/e-smith/files/ibays/Primary/html/wordfence-waf.php.
  - Au début du cadre, on voit que la version PHP utilisée est bien 7.1.22.

Tableau de bord Wordfence

Description

Le Tableau de bord Wordfence fournit un aperçu de l'état actuel de la sécurité de votre site. Il affiche l'état général de votre installation Wordfence. La première section indique si certaines fonctionnalités principales de Wordfence sont activées.

Si vous êtes pleinement protégé, le texte "Protection Wordfence activée" s'affiche et les cercles du "Statut du Pare-feu" et "État du Balayage" sont à 100% pour une licence Premium.

  Avec la Licence gratuite, seulement des scores de 64% et 60% peuvent être atteints.

• Les "Règles Premium" et la "Liste noire" sont disponibles seulement avec la licence Premium.
• Les "Signatures de Balayage" et "Réputation Premium" sont disponibles seulement avec la licence Premium.

Les éléments suivants sont indiqués sur le Tableau de bord:

• Si le pare-feu Wordfence est "Activé", "Désactivé" ou en "Mode d'apprentissage".
• Si les balayages programmés de Wordfence sont activés ou désactivés (Licence Premium).

Si vous venez d'installer Wordfence, le Tableau de bord indique que votre Pare-feu est en "Mode d'apprentissage". Dans cet état, le Pare-feu n'est pas encore actif et ne bloque pas les attaques sur votre site. Vous pouvez choisir d'activer le Pare-feu immédiatement, mais Wordfence vous recommande de lire d'abord "Comment utiliser le mode apprentissage" à l'URL: https://www.wordfence.com/help/firewall/learning-mode/#how-to-use-learning-mode .

Statut du tableau de bord

Les cercles d'état du "Pare-feu" et du "Balayage" du Tableau de bord Wordfence indiquent dans quelle mesure votre site est actuellement protégé. Le niveau de protection dépend des fonctionnalités et des options que vous avez activées. Si vous passez la souris (PC de bureau) ou touchez (Tablette), un écran surgissant vous montrera quelles actions vous devez prendre pour atteindre une protection complète (voir le paragraphe #Description ci-dessus). Si les cercles sont entièrement grisés, la fonction est désactivée.

Certaines fonctionnalités sont activées par défaut sur toutes les installations Wordfence. Les autres fonctionnalités sont sous une licence Premium uniquement et nécessitent une Clé de licence Premium.

Notifications

  La capture d'écran ci-dessous provient d'un autre Serveur SME.

Les notifications mettent en évidence les actions que vous devez effectuer. Les notifications qui peuvent apparaître ici incluent des informations sur les extensions à mettre à jour ou si le dernier Balayage de Wordfence a détecté un problème que vous devez examiner. Si des notifications sont affichées, une bulle apparaîtra à côté de Notifications à la page Wordfence  >  Dashboar  >  "Notifications" indiquant combien de notifications existent. Vous pouvez ignorer ces notifications en cliquant sur le "X" à la fin de la ligne.

Les notifications qui peuvent apparaître ici sont:

• Mises à jour requises (extension, thème ou "core" de WordPress).
• Les alertes de sécurités des fonctionnalités Premium. *
• Les promotions des fonctionnalités Premium. *
• Le blogue affiche les points forts des fonctionnalités Premium. *
• Mises à jour des produits Premium. *
• Le statut du Balayage

† Les notifications ci-dessus marquées d'une étoile * ne peuvent être activées que si vous utilisez Wordfence Premium.

  Pour en savoir plus sur les notifications, voir le paragraphe #Options de notification du Tableau de bord.

Barre d'outils

Sur le Tableau de bord, vous pouvez également trouver des liens vers: "Outils", "Aide" et "Options globales". Les Options globales sont les options générales de Wordfence telles que: la configuration de la messagerie pour savoir où envoyer les alertes Wordfence, les éléments sur lesquels vous souhaitez être alerté et les types de notifications que vous souhaitez afficher sur le tableau de bord, etc.

Statistiques

  Les captures d'écran ci-dessous proviennent d'un autre Serveur SME.

L'écran principal du Tableau de bord WordPress affiche des statistiques résumant l'activité la plus récente du Pare-feu sur votre site Web.

Le graphique "Stats rapides" indique le nombre d'attaques récemment bloquées sur votre site.

Le graphique "Hits in the last 10 days" indique les statistiques pour les dix derniers jours.

Pour en savoir plus sur les statistiques du Pare-feu et les types d'attaques, voir l'URL: https://www.wordfence.com/help/firewall/statistics/.

Toutes les options

Description

Les Options globales vous permettent: de mettre à jour votre licence Wordfence, de définir vos préférences d'alerte, importer/exporter les réglages de Wordfence, etc.

Pour afficher/modifier les Options globales, aller à: Wordfence  >  Dashboard  >  Options globales.

Après avoir terminer les modifications des options il faut toujours cliquer ENREGISTRER LES MODIFICATIONS. 

Affichage/Masquage de certains sous-menus Wordfence

On clique l'icône ► du cadre "Affichage/Masquage de certains..." pour le développer ▼.

• On clique dans les trois champs pour activer l'affichage des liens: "All Options", "Blocking" et "Live Traffic" en sous-menus Wordfence du Tableau de bord WordPress puis, on clique ENREGISTRER LES MODIFICATIONS.
• Les nouveaux liens s'affichent maintenant en sous-menus Wordfence.

Affichage de la page contenant toutes les Options globales

Enfin, Wordfence à remis la page affichant toutes les Options globales telle qu'elle apparaissait dans les versions 6.x et précédentes.

Les plaintes des usagers ont été prises en considération; c'est tout à leur honneur d'admettre que ce n'était pas l'idée du siècle d'enlever cette page.

Pour afficher la page de toutes les options, si on a activé l'option: Afficher "All Options" en sous-menus Wordfence du Tableau de bord WordPress au paragraphe #Affichage/Masquage de certains sous-menus Wordfence ci-dessus.

Ci-contre, il suffit de cliquer All Options dans le menu Wordfence.

Options globales de Wordfence

Licence Wordfence

Chaque installation Wordfence a son propre identifiant unique - une "clé de licence" (ou clé API). Les versions gratuites de Wordfence en possèdent automatiquement un. Pour passer à Wordfence Premium, vous achetez une Clé de licence Premium et l'installez à la place de la clé gratuite. Vous pouvez en savoir plus sur les clés de licence à la page: https://www.wordfence.com/help/premium/api-key/.

Options générales de Wordfence

Mettre automatiquement à jour Wordfence lorsqu'une nouvelle version est disponible

De nouvelles vulnérabilités et infections apparaissent quotidiennement. Garder Wordfence à jour est un élément essentiel de la sécurité de votre site Web. Ceci garantit que vous disposez de la dernière technologie de protection, de détection et de suppression fournie par Wordfence et que vous avez de meilleures chances de conserver un site Web sécurisé.

Adresse courriel pour recevoir les alertes

Entrez l'adresse courriel où Wordfence enverra ses alertes de sécurité. Cette adresse devrait normalement être celle de l'administrateur de votre site WordPress. Vous pouvez ajouter plusieurs adresses courriels et les séparer en utilisant des virgules.

Comment Wordfence obtient-il les adresses IP

Wordfence doit déterminer l'adresse IP de chaque visiteur pour fournir les fonctions de sécurité à votre site Web. La configuration par défaut de Wordfence fonctionne très bien pour la plupart des sites Web mais, il est important que cette configuration soit correcte. Par exemple, si Wordfence ne reçoit pas les adresses IP correctement et pense qu'un visiteur externe provient d'une adresse privée, il ajoutera ce visiteur à la Liste blanche et celui-ci pourra alors contourner tous les protocoles de sécurité. Pour en savoir plus sur les adresses que Wordfence considère privées, voir la page: https://www.wordfence.com/help/advanced/technical-details/#private-ip-addresses.

"Laissez Wordfence utiliser la méthode la plus sécurisée pour obtenir les adresses IP des visiteurs. Empêche l'usurpation d'identité (Recommended)", fonctionne avec la plupart des sites.

Masquer la version de WordPress

Par défaut, WordPress dévoile sa version. Cette option la cachera aux étrangers. Wordfence recommande généralement de ne plus activer cette option car, il existe d'autres méthodes pour déterminer la version de WordPress (prendre une "empreinte" du contenu statique, telle les fichiers CSS et JavaScript) et elle sera désactivée sur les nouvelles installations.

Désactiver l'exécution de code pour le répertoire des téléchargements

Activé, cette option placera un fichier .htaccess dans votre répertoire wp-content/uploads/ qui empêchera l'exécution de tout code PHP dans votre répertoire uploads. C'est un niveau de protection supplémentaire contre un pirate qui parviendrait à télécharger du code PHP dans votre répertoire de téléchargements. Même s'il parvenait à le faire, le code ne s'exécutera pas si cette option est activée.

  Il n'est pas nécessaire d'activer cette option car le script droits_ibay.sh qu'on exécute après l'installation ou une mise à jour d'une extension ou d'un thème s'occupe d'enlever le droit d'exécution (le "x" des droits et privilèges) à tous les fichiers du répertoire uploads et de ses sous-répertoires. Le script droits_fin_MAJ-WP.sh qu'on exécute après toute mise à jour de WordPress enlève lui aussi ce droit d'exécution. Pour plus de détails sur ces scripts, consultez le chapitre https://wiki.contribs.org/SME-101.05A_WordPress#Scripts_d.27ajustement_des_droits_et_permissions.

Suspendre les rafraîchissements en direct lorsque la fenêtre perd son focus

Cette option superpose un cadre affichant "Mise à jour, en pause" sur les pages de Balayage et de Trafic en temps réel lorsque la fenêtre perd don focus.

L'option affiche aussi une petite surimpression sur la barre "Wordfence Live Activity" de certaines pages. C'est une façon d'économiser les ressources du serveur, en mettant à jour uniquement la page pendant que vous l'utilisez activement. Pour cette raison, cette option est activée par défaut mais, vous pouvez la désactiver si vous voulez que votre site continue d'afficher les mises à jour sur les pages du Balayage et du Trafic en temps réel pendant que vous travaillez dans une autre fenêtre.

Désactiver cette option n'est pas recommandé pour la plupart des plans d'hébergement partagés car, c'est l'équivalent à l'utilisation des ressources d'un visiteur accédant à votre site toutes les quelques secondes. Si vous maintenez cette option désactivée, vous pouvez augmenter le réglage "Intervalle de mise à jour, en secondes" afin que votre navigateur demande moins de mises à jour depuis votre site.

Intervalle de mise à jour, en secondes

Cette option indique à quelle fréquence Wordfence rafraîchit la vue de votre interface d'administration. Elle s'applique spécifiquement aux vues en direct telle celle du Trafic en temps réel et celle de la page de Balayage. Sur ces deux pages, les données apparaissent en temps réel au fur et à mesure des progrès.

Wordfence amènera votre navigateur Web à continuellement demander de vérifier si de nouvelles données sont disponibles. Ces demandes consomment du temps CPU et avec certains fournisseurs d'hébergement Web, qui ne fournissent pas beaucoup de ressources, vous pouvez recevoir des plaintes de votre hébergeur à propos des ressources que vous utilisez, lorsque vous consultez le Trafic en temps réel et laissez la fenêtre de votre navigateur Web continuellement ouverte sur cette page.

En modifiant ce paramètre, qui contrôle la fréquence d'actualisation des données en temps réel, du défaut de 2 secondes et en l'augmentant à 10 ou 15 secondes, vous réduisez considérablement le temps CPU consommé pour le traitement du Trafic en temps réel ou celui du Balayage.

Ce paramètre n'affecte pas l'utilisation des ressources du processus de Balayage lui-même. Il détermine la fréquence à laquelle votre navigateur Web se connecte à votre site pour rafraîchir le journal du Balayage pour voir sa progression. L'augmentation de cette valeur diminue la fréquence, ce qui réduit la cadence d'actualisation de votre vue. Ceci réduit le nombre de requêtes effectuées à votre site et peut aider un serveur à ressources limitées.

Contourner le contrôle "noabort" de LiteSpeed

Par le passé, sur de nombreux serveurs Web LiteSpeed, l'administrateur du serveur activait l'option "Abandon d'applications externes" pour interrompre les processus de longue durée, ce qui pouvait empêcher les Balayages et les mise à jour automatiques de WordPress de fonctionner correctement. La fonctionnalité de cette option peut généralement être remplacée en définissant une valeur dans le fichier .htaccess (voir Wordfence et LiteSpeed à l'URL: https://www.wordfence.com/help/advanced/system-requirements/litespeed/). Si cette valeur dans le fichier .htaccess n'est pas définie, on désactive les mises à jour automatiques pour empêcher LiteSpeed d'interrompre une mise à jour.

Sur certains serveurs LiteSpeed que l'équipe Wordfence a récemment examinés, l'administrateur a désactivé ces "Abandons d'application externes" pour tous les sites et ainsi, il ne leur est donc pas nécessaire de définir la directive "noabort" dans le fichier .htaccess. Si vous êtes certain que votre hôte utilise LiteSpeed et que le paramètre "Abandons d'application externes" est défini sur "Aucun abandon", vous pouvez activer cette option pour que Wordfence passe la directive de vérification de "noabort" dans le fichier .htaccess.

  Le Serveur SME n'utilise pas LiteSpeed donc, il ne faut pas activer cette options.  

Supprimer les tables Wordfence et les données lors de la Désactivation

Par défaut, si vous désactivez Wordfence, les tables de base de données resteront en place avec leurs données. Le but est de vous assurer que si vous désactivez accidentellement ou temporairement Wordfence, vous ne perdiez pas votre configuration ou les données que vous avez accumulées, telles les données de Trafic en réel.

Si vous souhaitez supprimer toutes les données Wordfence lorsque vous désactivez l'extension, cochez cette case et lorsque vous désactivez l'extension, toutes les tables, les entrées dans le tableau des options WordPress, les tâches planifiées et toutes les autres données stockées et associées à Wordfence seront supprimées. Si vous réactivez de nouveau Wordfence, il apparaîtra comme s'il avait été activé sur votre site Web pour la première fois.

Options de notification du Tableau de bord

Options permettant de sélectionner les types de notifications qui apparaîtront sur le Tableau de bord Wordfence.

Ces options vous permettent de sélectionner les types de notifications qui apparaîtront sur le Tableau de bord Wordfence. Les utilisateurs LIBREs peuvent choisir de désactiver les notifications pour les Mises à jour (extensions, thèmes et "core" de WordPress) et les résultats des Balayages. Si vous avez Wordfence Premium, des options apparaîtront pour désactiver d'autres types de notifications.

Notifications sur le Tableau de bord Wordfence

En cliquant sur 3 issues found in most recent scan, Wordfence affichera les détails.

Détails des Notifications sur le Tableau de bord Wordfence

AFFICHER LES DIFFÉRENCES

Après avoir cliqué AFFICHER LES DIFFÉRENCES, l'écran ci-dessous est affiché.

Comme on le voit ci-dessus, Wordfence pense encore que "God is american and speaks only English".

  Pour ce problème "critique" (sic), après avoir examiner les différences, on peut cliquer l'icône IGNORER, sur la page précédente dans le coin supérieur droit, puis confirmer avec Toujours ignorer.

Alertes à transmettre par courriels

Si vous avez activé des alertes dans cette section, Wordfence les envoie par courrier électronique à l'adresse courriel fournie dans le champs #Adresse courriel pour recevoir les alertes.

En utilisant l'option "Nombre maximal de courriels d'alertes à envoyer par heure", voir aussi ci-dessous la capture d'écran #Exemple d'une sélection d'Alertes à transmettre par courriels, vous pouvez limiter le nombre de courriels d'alertes reçues par heure afin d'éviter d'être submergé. Vous pouvez également désactiver les alertes si vous subissez une attaque par force brute et que le nombre de courriels d'alertes que vous recevez est devenu démesuré.

Si vous souhaitez recevoir des alertes sur tous les problèmes détectés lors d'un Balayage automatique, activez à la fois "Alerte lors de problèmes critiques" et "Alerte lors d'avertissements", voir la capture d'écran #Exemple d'une sélection d'Alertes à transmettre par courriels ci-dessous.

Les requêtes de mises à jour des extensions, thèmes et "core" sont des notifications d'avertissement. Ces notifications seront aussi envoyées par courriel si vous avez activé "Mises à jour nécessaires (extensions, thème ou "core")" sous #Options de notification du Tableau de bord.

Exemple d'une sélection d'Alertes à transmettre par courriels

Rapport d'activité

Activer l'envoi du résumé par courriel

Cette fonctionnalité vous permet d'activer un "Rapport d'activité" envoyé par courriel et récapitulant les récents événements liés à la sécurité de votre site. Vous pouvez choisir la fréquence de ces rapports: tous les jours, toutes les semaines ou tous les mois.

Liste des répertoires à exclure de la liste des fichiers récemment modifiés

Il existe également une option permettant d'exclure certains répertoires de la section "Liste de fichiers récemment modifiés" du rapport d'activité. Trois dossiers sont ajoutés ici par Wordfence lui-même. Ces dossiers sont exclus car les modifications des fichiers dans ces dossiers sont normales et très fréquentes.

• wp-content/cache
• wp-content/wfcache
• wp-content/wflogs

Activer le widget du rapport d'Activité "Wordfence activity in the past week"...

Une option vous permet d'activer ou de désactiver l'affichage du widget "Wordfence activity in the past week" sur le Tableau de bord WordPress.

Règles du Pare-feu

Ce que le Pare-feu protège

Le Pare-feu d'application Web de Wordfence (WAF) protège contre un certain nombre d'attaques habituelles ainsi que d'une très grande quantité d'attaques visant spécifiquement WordPress, ses thèmes et extensions.

Le Pare-feu est configuré pour s'exécuter au début de l'initialisation de WordPress afin de filtrer les attaques avant que les extensions ou les thèmes puissent exécuter du code potentiellement vulnérable. Certains des types d'attaques les plus généraux que Wordfence élimine sont:

Injection SQL	Code SQL non structuré pouvant compromettre un système de base de données.
Cross Site Scripting (XSS)	Code HTML ou JavaScript utilisé pour détourner un utilisateur, ou une session par navigateur Web d'un administrateur, et effectuer des actions en tant que cet utilisateur.
Téléchargement de fichiers malveillants	Fichiers contenant du code malveillant et pouvant être téléchargés et exécutés par le serveur Web.
Chemin d'accès aux répertoires	Noms de chemin pouvant être utilisés pour tromper le serveur Web afin qu'il retourne des fichiers contenant des informations d'identification ou d'autres informations potentiellement sensibles.
Inclusion de fichiers locaux	Noms de chemin/fichier disponible sur le système de fichiers du serveur Web et pouvant être utilisés pour exécuter du code potentiellement malveillant.
Expansion d'entité externe (XXE)	Une "fonctionnalité" de XML qui peut être utilisée pour tromper le serveur Web à retourner des fichiers contenant des informations d'identification ou d'autres informations potentiellement sensibles.

Règles de Pare-feu

Le Pare-feu possède également un certain nombre de règles qui correspondent à des attaques connues, c'est-à-dire des attaques généralement aperçues et exploitées dans la nature. Les modèles de ces attaques sont spécifiques et nécessitent un traitement minimal pour déterminer si la requête est légitime. Le WAF utilise également un certain nombre de règles génériques qui utilisent la correspondance de modèle pour déterminer si la requête semble malveillante. Ces règles sont conçues pour empêcher les pirates informatiques d'exploiter les vulnérabilités jour zéro pour des types d'attaques connues.

Wordfence mettra à jour automatiquement les règles de Pare-feu de ses serveurs dans leur centre d'opérations sans que vous ayez à mettre à jour Wordfence. Lorsque de nouvelles menaces apparaissent, le Pare-feu utilise des règles pour vous protéger qui sont mises à jour en temps réel pour les membres Premium. Les utilisateurs Premium reçoivent une couche de protection supplémentaire; lorsque Wordfence ajoute de nouvelles règles, leurs serveurs vont lancer un ping de votre site pour inciter votre Pare-feu à télécharger les dernières règles et ainsi faire en sorte que vous êtes automatiquement protégé contre les attaquants aussitôt que de nouvelles menaces apparaissent. Les utilisateurs LIBREs reçoivent la version communautaire des règles 30 jours plus tard.

Infobulles du Pare-feu

Tableau de bord de WordPress  >  Wordfence  >  Firewall.

• Suivant.
• Suivant.

• Suivant.
• Compris.

Cercles d'état

Les cercles d'état du Pare-feu indiquent dans quelle mesure vous êtes actuellement protégé. Un cercle grisé signifie que le Pare-feu est en "Mode d'apprentissage" ou "Désactivé".

Pour atteindre 100% sur tous les cercles d'état du Pare-feu:

• Activer la "Limitation de débit" et les "Réglages avancés du Pare-feu".
• Activer toutes les règles de Pare-feu.
  Toutes les règles de pare-feu sont activées par défaut. Si vous avez déjà désactivé certaines règles de Pare-feu, visitez les paragraphes des "Règles du Pare-feu" pour les réactiver.
• Optimisez le Pare-feu Wordfence.
  L'optimisation améliore la sécurité et les performances de votre Pare-feu. Pour en savoir davantage sur l'optimisation, voir l'URL: https://www.wordfence.com/help/firewall/optimizing-the-firewall/.
• Activer la "Protection anti force brute".
  Cette fonctionnalité protège votre administrateur WordPress contre les tentatives de connexion non autorisées. Elle est activée par défaut.
• Activer les règles de Pare-feu Premium.
  Passez à la version Premium pour bénéficier d'une protection instantanée contre les menaces dès leurs découvertes.
• Activer la Liste noire IP en temps réel.
  Avec cette fonctionnalité de Wordfence Premium, les adresses IP qui attaquent actuellement d'autres sites WordPress seront automatiquement bloquées sur votre site Web.

Écran surgissant: pourcentage

En survolant n'importe quel cercle d'état avec la souris, un écran surgissant apparaît qui explique le score pour ce pourcentage. Pour en savoir plus, cliquer Comment Wordfence détermine-t-il ce score?

Règles de base du Pare-feu

Statut du Pare-feu

Le Pare-feu Wordfence peut être: "Activé et en Mode Protection", en "Mode d'apprentissage" ou "Désactivé". Lorsque vous installez Wordfence pour la première fois, le Pare-feu passe en "Mode d'apprentissage" pendant une semaine. Pendant ce temps, vous ne bénéficierez pas d'une protection complète du Pare-feu; le Pare-feu apprendra comment votre système fonctionne afin de minimiser les "faux positifs". Un faux positif est lorsqu'une adresse IP est bloquée et que vous ne voulez pas la bloquer. Si vous avez récemment nettoyé votre site d'un piratage ou si vous êtes présentement victime d'une attaque, vous pouvez choisir "Activé et en Mode Protection" immédiatement après l'installation de Wordfence.

Un Cercles d'état grisé signifie que le Pare-feu est désactivé ou en "Mode d'apprentissage".

• - On retourne à: Wordfence  >  All Options  >  Règles du pare-feu, on développe.
  - Les modes du Pare-feu sont décrits ci-dessous.

• - On voit que le Pare-feu est bien en "Mode d'apprentissage" pour une semaine, c.-a-d. jusque qu'au 4 avril 2018. (Provient de la version précédente de ce document.)
  - Pour plus d'explications, cliquer En savoir plus.
• En développant le menu, on pourrait mettre le Pare-feu tout de suite à "Activé et en Mode Protection" mais, Wordfence recommande de le laisser en "Mode d'apprentissage" pour au moins une semaine.

Activé et en Mode Protection

Dans ce mode, le Pare-feu d'applications Web de Wordfence bloque activement les demandes qui correspondent à des modèles connus d'attaques et protège activement votre site contre les attaquants.

Mode d'apprentissage

Dans ce mode, le Pare-feu d'applications Web de Wordfence met sur la liste blanche toutes les demandes normalement bloquées par le Pare-feu. Certaines demandes contiennent des données qui peuvent correspondre aux modèles utilisés par le Pare-feu pour détecter les attaques (par exemple, un article sur l'injection SQL contenant du code SQL). En "Mode d'apprentissage", ces requêtes seront ajoutées à la Liste blanche, ce qui exclut qu'elles déclenchent les mêmes règles une fois le Pare-feu activé. Utilisez ce mode pour éviter les faux positifs sur votre site.

Désactivé

Dans ce mode, le Pare-feu d'applications Web de Wordfence est désactivé de manière fonctionnelle et n'exécute aucune de ses règles et n'analyse les demandes de quelque manière que ce soit.

Niveau de protection

Le Pare-feu peut avoir une protection de base ou étendue. Si le Pare-feu a été optimisé, il fournira une couche de sécurité supplémentaire et améliorera également ses performances. Apprenez à optimiser le Pare-feu en allant à la page: https://www.wordfence.com/help/firewall/optimizing-the-firewall/.

Liste noire IP en temps réel

Toutes les heures, Wordfence surveille des millions d'attaques sur des sites WordPress. Ces données sont utilisées pour générer automatiquement une liste d'adresses IP qui sont actuellement impliquées dans un mauvais comportement.

La Liste noire IP, exclusive à la licence Premium, restreint les attaquants connus d'accéder à votre site. Cet restriction se produit automatiquement, sans que vous ayez à prendre aucune mesure. Les adresses IP sont bloquées par le Pare-feu d'applications Web. Par conséquent, si votre site a été configuré avec la "Protection étendue" du Pare-feu, ce trafic est bloqué avant le chargement de WordPress. La Liste noire IP est une fonctionnalité Premium seulement et n'est pas active lors de l'utilisation de la version LIBRE de Wordfence. En savoir plus sur la Liste noire IP en allant à la page: https://www.wordfence.com/help/premium/#ip-blacklist.

Optimisation du Pare-feu

Pour rendre le Pare-feu encore plus efficace, Wordfence vous encourage à optimiser le Pare-feu. Vous serez invité à le faire via l'interface utilisateur de l'extension Wordfence. Dans la plupart des cas, l'optimisation du Pare-feu implique de cliquer sur une courte procédure de configuration.

Dans le panneau des "'Règles de base du Pare-feu" vous pouvez voir le "Statut du Pare-feu" ("Activé et en Mode Protection") et savoir si la "Protection étendue'" est activé.

Pour activer la "Protection étendue", vous devez passer par la procédure "Optimisation du Pare-feu" décrite au paragraphe #Optimisation du Pare-feu. La "Protection étendue" permet au Pare-feu de s'exécuter avant même que WordPress ne démarre. Ce démarrage priorisé protège le site contre les attaques déjà présentes dans le "core" ou dans certains thèmes et extensions. Les deux niveaux de protection sont disponibles dans la version LIBRE et Premium. Pour en savoir davantage sur l'Optimisation du Pare-feu, voir le paragraphe #Optimisation du Pare-feu.

Réglages avancés du Pare-feu

Retarder le Blocage d'adresses IP et de pays...

Lorsque le Pare-feu Wordfence est optimisé, il se charge en priorité avant le chargement de l'environnement WordPress. C'est le comportement souhaité car, cette priorisation de chargement augmente la sécurité et améliore le rendement du Pare-feu. Mais si votre serveur a un conflit avec le blocage par IP, pays ou d'autres paramètres de blocage avancés avant que WordPress ne soit chargé, vous pouvez activer cette option pour permettre à WordPress de se charger en premier. Nous ne recommandons pas d'activer cette option sauf à des fins de test.

Mettre ces adresses IP sur la Liste blanche...

Si vous avez une adresse IP statique chez votre employeur ou une connexion Internet permanente avec une adresse IP fixe à votre domicile et que vous souhaitez configurer Wordfence pour toujours permettre à ces adresses IP fixes de contourner les règles du Pare-feu, vous pouvez le faire à l'aide de cette option.

  S'il vous plaît, noter que cette fonctionnalité est souvent mal comprise et plusieurs administrateurs de sites essaient d'ajouter leur adresse IP de la maison, possédant une connexion haute vitesse. Votre adresse IP à haute vitesse n'est pas une adresse IP permanente car elle est attribuée dynamiquement et changera après plusieurs semaines ou mois - ou parfois sur une période plus courte. On ne vous recommande donc pas d'ajouter l'adresse IP de votre connexion Internet à la Liste blanche si vous utilisez un modem ADSL ou câble car, votre adresse IP changera inévitablement après un certain temps, rendant cette Liste blanche inefficace et potentiellement responsable que votre adresse IP perdue soit utilisée par un autre internaute et que celui-ci ait un accès illimité à votre site web. N'utilisez cette fonctionnalité que si vous êtes certain d'avoir une adresse IP permanente; la plupart des gens n'en ont pas.

Si nécessaire, vous pouvez ajouter des réseaux entiers à la Liste blanche (Bing, par exemple). Pour les saisir, vous devez les entrer au format xxx.xxx.xxx. Pour vous aider à traduire les formats CIDR en plages d'adresses, voir la page http://www.ipaddressguide.com/cidr.

• Exemples
  La plage d'adresses 65.52.104.0/24 serait entrée telle que 65.52.104.[0-255].
  La plage IPv6 2a03:2880:f001::/48 serait entrée comme 2a03:2880:f001:[0-ffff]:[0-ffff]:[0-ffff]:[0-ffff]:[0-ffff].

Adresses des serveurs Let's Encrypt

On peut entrer les adresses des serveurs Let's Encrypt sur la Liste blanche pour qu'elles contournent toutes les règles du Pare-feu Wordfence. On peut aussi insérer l'adresse IP de notre station de travail si celle-ci est permanente.

Les adresses IP des serveurs Let's Encrypt:

  54.218.100.183,50.18.212.157,50.18.212.223,52.25.214.31,52.26.11.205,52.26.14.11,52.8.19.58,52.8.8.189,54.149.153.72,
54.187.182.230,54.187.199.38,54.187.208.163,54.67.48.128,54.67.52.245,54.68.165.206,54.68.183.151,107.23.48.182,
107.23.48.232,54.187.174.169,54.187.205.235,54.187.216.72,54.241.31.99,54.241.31.102,54.241.34.107.

  Une fois terminé, ENREGISTRER LES MODIFICATIONS.  

Whitelisted services (Services de Liste blanche)

Pour éviter le blocage involontaire de certains services externes tels que Facebook, Whitelisted Services de Wordfence inscrit ces services sur la Liste Blanche. Par exemple, si vous avez des règles strictes en matière de limitation de débit, le robot-araignée de Facebook peut être bloqué ou limité s’il demande des pages trop rapidement. Ceci peut se produire lorsque quelqu'un partage des liens, vers plusieurs pages de votre site, tous à la fois.

Les services sont ajoutés à la liste blanche par défaut. Vous pouvez désactiver la liste blanche de tout service spécifique en décochant la case correspondante dans l'option Whitelisted services. Lorsque la case d’un service est désactivée, il est traité de la même manière que tout autre visiteur.

Si vous essayiez de bloquer manuellement une adresse IP appartenant à un service inclus sur la Liste blanche, un message s'afficherait indiquant "Cette adresse IP figure dans une plage d'adresses que Wordfence ne bloque pas. La plage IP peut être interne ou appartenir à un service toujours autorisé. Whitelisted services peut être désactivée". Si vous êtes certain de vouloir bloquer une adresse IP appartenant à un service inclus sur la Liste blanche, vous devez d'abord désactiver ce service de Whitelisted services tel que décrit ci-dessus.

Bloquer immédiatement les adresses IP qui accèdent à ces URLs

Cette option permet de définir un piège pour les "méchants". On peut entrer une URL qui n'existe pas, par exemple: /une-vulnerabilite-existe-sur-cette-page.

Si quelqu'un tente d'accéder à cette URL, il sera instantanément bloqué. On doit spécifier une URL relative. En d'autres termes, elle doit commencer par une barre oblique "/". Le caractère générique étoile " * " peut être utilisé s'il existe des visites vers plusieurs mauvaises URL. Exemple: s'il existe des visites vers /mauvaise-page-1/ et /mauvaise-page-2/ alors, on entre /mauvaise-page-*/. cette option bloquera les visiteurs des deux mauvaises URL.

On ne recommande cette fonctionnalité que si vous essayez d'intercepter un pirate spécifique pour le bloquer ou si vous tentez d'intercepter des pirates informatiques qui tentent d'exploiter une vulnérabilité sur votre site.

  Veillez à ne pas visiter l'URL interdite par accident, car vous serez bloqué instantanément.

Lorsque cette option est utilisée pour bloquer une adresse IP, celle-ci sera bloquée pour la durée que vous avez spécifiée au paragraphe: #La durée qu'une adresse IP demeure bloquée lorsqu'elle enfreint une règle.

Adresses IP à ignorer pour les alertes du Pare-feu Wordfence

Si vous exécutez régulièrement un Balayage ou tout autre service semblable à un bot sur votre site et que vous ne souhaitez pas être averti de l'augmentation du taux des requêtes, vous pouvez entrer l'adresse IP de ce service ici. Assurez-vous de faire confiance à ce service car, vous ne recevrez aucune alerte si c'est une adresse IP qui vous attaque.

Rules

Le Pare-feu d'application Web Wordfence possède un certain nombre de règles qui correspondent à des attaques connues, c'est-à-dire des attaques généralement vues et exploitées dans la nature. Les modèles de ces attaques sont spécifiques et nécessitent un traitement minimal pour déterminer si la requête correspond.

Le WAF utilise également un certain nombre de règles génériques qui utilisent la correspondance de modèle pour déterminer si la requête semble malveillante. Ces règles sont conçues pour empêcher l'exploitation des vulnérabilités jour zéro pour les types connus d'attaques.

Si vous rencontrez des problèmes avec des blocages faussement positifs (les visiteurs légitimes sont empêchés d'effectuer une action spécifique), des règles individuelles de Pare-feu peuvent être désactivées à des fins de test.

Vous pouvez utiliser le Trafic en temps réel pour déterminer quelle règle du Pare-feu a provoqué un blocage spécifique.

Au bas de cette section, un bouton vous permet d'actualiser manuellement les règles du Pare-feu. Les règles de Pare-feu sont automatiquement mises à jour sur votre site mais, vous pouvez parfois être invité par le support de Wordfence à les actualiser manuellement.

Protection anti force brute

La "Protection anti force brute" empêche les tentatives de présumer le nom d'un utilisateur et son mot de passe, visant surtout à personnifier votre administrateur WordPress. Wordfence offre une option pour limiter les tentatives de connexion et plusieurs autres fonctionnalités qui sécurisent votre connexion. La "Protection anti force brute" est activée par défaut mais, vous pouvez optimiser ses options individuelles. Pour en savoir plus à propos des options de la "Protection anti force brute", voir les différentes explications ci-dessous.

Activer la Protection anti force brute

Cette option est un commutateur global d'activation/désactivation pour tous les éléments qui apparaissent sous la rubrique Protection anti force brute.

• Verrouiller après ce nombre d'échecs de connexion

Verrouillera une adresse IP pendant un laps de temps spécifié si ce visiteur génère le nombre spécifié d'échecs de connexion.

  Il est courant que les utilisateurs réels oublient leurs mots de passe et génèrent jusqu'à 5 tentatives de connexion ou plus tout en essayant de se souvenir de leur nom d'utilisateur et/ou mot de passe. Wordfence vous recommande donc de régler cette valeur à 20, ce qui donne aux utilisateurs réels l'opportunité de se connecter mais, bloquera une attaque de force brute après 20 tentatives.

• Verrouiller après ce nombre de tentatives de Mot de passe oublié

Limite le nombre de fois que le formulaire "Mot de passe oublié?" peut être utilisé. Cette option vous protège contre l'utilisation du formulaire pour inonder un utilisateur réel avec des courriels de réinitialisation de mot de passe. Empêche aussi les pirates de tenter de deviner les comptes d'utilisateurs sur votre système. Le réglage à 5 devrait être suffisant pour la plupart des sites.

• Compter les échecs sur cette période de temps

Cet réglage spécifie le laps de temps durant lequel les échecs sont compté. Donc, si vous spécifiez 5 minutes et 20 échecs et si quelqu'un se connecte 20 fois pendant une période de 5 minutes, cette personne se verra exclue de connexion. Les attaques de force brute envoient généralement une tentative de connexion toutes les quelques secondes. Donc, si vous avez défini le nombre d'échecs de connexion à 20 alors, 5 minutes est amplement suffisant pour attraper une tentative brutale de piratage. Vous avez la possibilité de définir ce paramètre à un plus grand nombre d'échecs.

• Durée du verrouillage d'un utilisateur

Ce paramètre spécifie la durée qu'une adresse IP est verrouillée lorsque la Protection anti force brute de Wordfence la verrouille. Rappelez-vous que l'objectif est d'empêcher une attaque distante d'avoir de nombreuses opportunités de deviner les noms et mots de passe des utilisateurs de votre site Web. Si vous avez des mots de passe raisonnablement robustes, il faudra des milliers de tentatives pour deviner correctement un mot de passe.

Ainsi, si votre nombre d'échec est défini à 20, votre période de temps à 5 minutes et que vous définissez la durée du verrouillage à 5 minutes, un attaquant n'aura que 20 devinettes toutes les 5 minutes et il devra attendre 5 minutes à l'extérieur de votre site Web. Donc, l'effet est que le bidouilleur obtienne seulement 20 tentatives toutes les 10 minutes ou 2880 par jour, en supposant qu'il réalise qu'il peut recommencer ses attaques exactement 5 minutes après avoir été verrouillé. Si vous pensez que ce n'est pas assez long, vous pouvez augmenter le temps de verrouillage à 60 minutes, ce qui réduit considérablement le nombre de tentatives quotidiennes de devinettes d'un attaquant.

• Verrouiller immédiatement les noms d'utilisateurs invalides

Cette règle est une excellente option de sécurité et Wordfence, à la demande de nombreux membres de la communauté, l'a incorporée comme une règle standard. Le Pare-feu verrouillera immédiatement quelqu'un qui entre un nom d'utilisateur invalide. Cependant, veuillez noter que vos vrais utilisateurs peuvent parfois se tromper de noms d'utilisateur et être verrouillés pendant le temps que vous avez spécifié.

Être bloqué sur un site Web est un inconvénient majeur. Ainsi, alors que cette fonctionnalité fait un excellent travail de verrouillage immédiat de quelqu'un qui essaie de deviner les mots de passe, elle risque également de bloquer les utilisateurs réels. Par conséquent, Wordfence recommande d'activer seulement cette fonctionnalité pour les sites avec un ou deux utilisateurs qui ne font pas souvent de fautes de frappe. Si vous avez un personnel d'éditeurs, ils peuvent se présenter à votre porte avec des fourches et des torches s'ils se trompent souvent de nom d'utilisateur.

    Pour limiter ces fourches et ces torches, vous pouvez ajouter les adresses IP de certain éditeurs sur la Liste blanche sans oublier que celles-ci contourneront toutes les règles du Pare-feu...

Bloquer immédiatement l'adresse IP des utilisateurs qui tentent de se connecter sous ces noms d'utilisateurs

Par défaut, lorsque vous entrez un nom d'utilisateur valide avec un mot de passe incorrect, WordPress vous indiquera que vous avez entré un bon nom d'utilisateur mais, que le mot de passe est erroné. Si vous entrez un mauvais nom d'utilisateur et un mauvais mot de passe, WordPress vous dira que le nom d'utilisateur n'existe pas. Il s'agit d'un problème grave de sécurité car, il permet aux bidouilleurs de trouver facilement les utilisateurs existants sur votre site WordPress puis, de les cibler pour des attaques.

Cette option affiche un message générique: "ERREUR: nom d'utilisateur ou mot de passe incorrect." protégeant ainsi vos noms d'utilisateur en ne révélant aucunement si le bidouilleur a deviné un utilisateur valide. Wordfence recommande fortement d'activer cette option.

  Appuyez sur [Entrée] après l'ajout d'un nom d'utilisateur. Cliquer le "x" à gauche d'un utilisateur pour supprimer celui-ci.

Prevent the use of passwords leaked in data breaches

  Ce paramètre est nouveau et n'a pas encore été traduit. "Empêcher l'utilisation de mots de passe divulgués lors de piratages de BD de mots de passe."

Cette option empêche les utilisateurs de se connecter avec un mot de passe existant sur une liste de mots de passe ayant été divulgués par des violations de données. Les attaquants utilisent ces listes pour pénétrer dans les sites et installer du code malveillant. Vous pouvez choisir de bloquer uniquement les administrateurs qui utilisent de tels mots de passe ou, vous pouvez choisir de laisser cette option s'appliquer à tous les utilisateurs disposant du privilège "Contributeur" (qui inclut les administrateurs). Le paramètre par défaut est de bloquer uniquement les administrateurs.

Qu'est-ce qu'un mot de passe divulgué par des violations de données? Lorsque de grands sites sont piratés, les informations d'identification sont parfois divulguées. Ces fuites sont utilisées pour compiler des listes de mots de passe. Les listes sont utilisées par des acteurs malveillants qui exécutent des robots et tentent de se connecter à des sites Web WordPress. Vous pouvez en lire plus à ce sujet sur le blogue de Wordfence [https://www.wordfence.com/blog/2018/03/password-leak-attacks-wordpress/.

Si vous ou un autre utilisateur êtes bloqué par cette option, vous pouvez rétablir l'accès à votre site en réinitialisant votre mot de passe. Lorsque vous réinitialisez votre mot de passe ou que vous le modifiez dans WordPress, cette fonctionnalité vérifie également le nouveau mot de passe par rapport aux listes de mots de passe qui ont été divulgués. Si vous devez autoriser des mots de passe non sécurisés sur votre site pour une raison quelconque, vous pouvez désactiver cette fonctionnalité.

Options additionnelles

Imposer des mots de passe robustes

Vous pouvez utiliser cette option pour forcer les administrateurs et les éditeurs ou forcer tous les membres à utiliser des mots de passe robustes. Wordfence recommande de forcer les administrateurs et les éditeurs à utiliser de tels mots de passe. Lorsqu'un utilisateur de votre site WordPress change de mot de passe, Wordfence le vérifie, par rapport à un algorithme, pour s'assurer qu'il est suffisamment robuste pour donner un bon niveau de protection. Si le mot de passe échoue, il est rejeté et l'utilisateur doit entrer un mot de passe plus robuste.

Wordfence vérifie que le mot de passe est d'une longueur minimale et qu'il ne correspond à aucun mot de passe évident connu. Wordfence utilise un système de notation pour attribuer des points s'il contient un nombre, s'il incorpore des lettres majuscules et minuscules, etc... Si l'indice de pertinence ne dépasse pas le niveau requis, Wordfence rejette le mot de passe entré par l'utilisateur.

Ne laissez pas WordPress révéler les noms d'utilisateurs valides lors d'erreurs de connexion

Par défaut, lorsque vous entrez un nom d'utilisateur valide avec un mot de passe incorrect, WordPress vous indiquera que vous avez entré un bon nom d'utilisateur mais que le mot de passe est erroné. Si vous entrez un mauvais nom d'utilisateur et un mauvais mot de passe, WordPress vous dira que le nom d'utilisateur n'existe pas. Ceci est un sérieux problème de sécurité car il permet aux utilisateurs de trouver facilement quels utilisateurs existent sur votre site WordPress et de les cibler pour des attaques.

Cette option donne un message générique: "ERREUR: le nom d’utilisateur ou le mot de passe saisi est incorrect." protégeant ainsi vos noms d'utilisateur et ne révélant pas si le pirate a deviné un utilisateur valide. WordPress recommande fortement d'activer cette option.

Empêcher les utilisateurs d'enregistrer le nom d'utilisateur "admin" s'il n'existe pas

Si vous désactivez et supprimez le compte "admin" dans WordPress et que vous avez coché l'option Tableau de bord WordPress  >  Réglages  >  Général  >  Inscription  >  "Tout le monde peut s’enregistrer", il est alors possible d'enregistrer un compte avec le nom d'utilisateur "admin". Ceci pourrait causer de la confusion sur votre système et permettre à cet utilisateur de persuader d'autres utilisateurs de votre système de divulguer des données sensibles.

L'activation de cette fonctionnalité empêche ce qui précède. Wordfence recommande d'activer cette option.

Empêcher la découverte de noms d’utilisateurs à travers les balayages: '/?author=N', l’API oEmbed et l’API REST de WordPress

Sur un système WordPress, il est possible de découvrir des noms d'utilisateurs valides en visitant une URL spécialement conçue qui ressemble à l'une de celles-ci:

• example.com/?author=2
• example.com/wp-json/oembed/1.0/embed?url=http%3A%2F%2Fexample.com%2Fhello-world%2F
• example.com/wp-json/wp/v2/users

L'activation de cette option empêche les pirates de découvrir les noms d'utilisateurs en utilisant ces méthodes, notamment en trouvant l'auteur dans les données de publication fournies publiquement par l'API oEmbed et l'URL users de l'API REST de WordPress, introduite dans WordPress 4.7. Wordfence recommande de garder cette option activée.

Bloquer les adresses IP qui envoient des requêtes POST avec un champ vide pour l'agent utilisateur et/ou le référent

De nombreux scripts de piratage de force brute envoient des tentatives de connexion et d'essais d'inclusion de pourriels dans les commentaires en utilisant un Agent utilisateur de navigateur vide (ils ne spécifient pas quel navigateur ils utilisent) et/ou sans En-tête de référent (ils ne spécifient pas de quelle URL ils proviennent).

L'activation de cette option empêchera non seulement les demandes de ce type d'accéder à votre site mais, bloquera également et immédiatement l'adresse IP à l'origine de la demande.

Custom text shown on block pages

(Texte personnalisé affiché sur les pages bloquées)

Lorsque Wordfence bloque un visiteur ou un bot, des informations générales sur le blocage sont affichées. En utilisant ce champ, vous pouvez inclure un message supplémentaire, tel que des informations sur la manière de contacter le webmestre, dans le cas où le blocage était involontaire. Seul le texte brut est permis car, le code HTML sera supprimé avant que le texte ne soit affiché. Semblable à l'éditeur de page WordPress, les doubles sauts de ligne sont convertis en paragraphes et les sauts de ligne simples sont remplacés par la balise (br).

Vérifier la robustesse du mot de passe lors de la mise à jour du profil

Si vous activez cette option, Wordfence n'indiquera pas à l'utilisateur qu'il utilise un mot de passe faible, contrairement à la fonction "Imposer des mots de passe robustes" ci-dessus. Cependant, Wordfence enverra à l'administrateur du site, une alerte par courrier électronique indiquant qu'un utilisateur a spécifié un mot de passe faible lors de la mise à jour de son profil. Wordfence vous permet simplement de savoir ceux qui utilisent un mot de passe faible afin que vous puissiez les contacter et leur faire savoir qu'ils devraient améliorer la robustesse de leur du mot de passe.

  Si vous contactez un de vos utilisateurs ou clients, assurez-vous que vous lui avez clairement indiquer que vous ne savez pas quel est leur mot de passe et que vous avez été seulement alerté que le mot de passe ne répondait pas aux exigences de robustesse des mots de passe de votre site. De cette façon, ils sauront que vous n'avez pas violé toute attente raisonnable de vie privée qu'ils pourraient avoir.

Participer au Réseau de sécurité WordPress en temps réel

Si vous activez cette fonctionnalité, votre site partage anonymement des données avec Wordfence sur les tentatives de piratage. En retour, votre site WordPress reçoit les informations sur les adresses IP de pirates qui sont actuellement engagés dans une activité de piratage de force brute, afin que votre site puisse immédiatement bloquer ces pirates avant qu'ils ne s'engagent dans une telle attaque sur votre site.

Lorsque cette option est activée, Wordfence signale également les erreurs de page non détectée, les tentatives d'accès à votre site par des adresses IP bloquées, les tentatives de piratage d'accéder à des URLs malveillantes qui n'existent pas sur votre site mais qui constituent une tentative de piratage. Aucune donnée personnelle identifiable n'est envoyée et Wordfence n'associe aucune des données qu'il reçoit de votre site Web spécifique.

  Wordfence regroupe les données reçues sur une plate-forme en temps réel pour déterminer quelles adresses IP sont actuellement engagées dans l'activité la plus malveillante du moment et que ces adresses doivent être bloquées par la communauté. Ces données sont ensuite utilisées par votre site et d'autres sites protégés par Wordfence pour bloquer ces adresses IP malveillantes.

Limitation de débit

Wordfence comprend un Pare-feu à Limitation de débit qui contrôle la façon dont le contenu de votre site peut être consulté.

La Limitation de débit vous permet de limiter le nombre de pages que les visiteurs et les robots d'exploration automatisés peuvent accéder sur votre site Web par minute. S'ils dépassaient les limites que vous avez spécifiées, ils verraient leur accès temporairement révoqué et recevraient un message indiquant que leur accès à votre site a été temporairement limité et qu'ils devraient réessayer dans quelques minutes.

Activer/désactiver la Limitation de débit et le Blocage avancé

Cette option vous permet d'activer ou de désactiver les fonctions de Limitation de débit et de Blocage. Si cette option est désactivée, tous les Blocages, y compris les options de cette section, sont aussi désactivées.

Bloquer immédiatement les faux robots d'indexation Google

Si vous rencontrez un problème avec des personnes qui volent votre contenu et qui prétendent être Google pendant qu'ils explorent votre site, vous pouvez activer cette option qui bloquera immédiatement toute personne prétendant être Google.

La façon dont cette option fonctionne fait en sorte que Wordfence regarde l'en-tête HTTP de l'agent utilisateur du visiteur qui indique quel navigateur il utilise. S'il semble que ce soit Googlebot, Wordfence effectue une recherche inversée sur l'adresse IP du visiteur pour vérifier si l'adresse IP appartient réellement à Google. Si l'adresse IP n'est pas une adresse IP de Google, Wordfence la bloque si cette option est activée.

  Faites attention à l'utilisation de cette option car, Wordfence a reçu des plaintes disant que des visiteurs légitimes du Brésil avaient été bloquées (pour une raison quelconque). Il est possible, bien que Wordfence ne l'ait pas confirmé, que certains fournisseurs de services Internet au Brésil, utilisent des mandataires transparents qui, plutôt que d'utiliser l'en-tête réel des agents utilisateurs de leurs clients, modifient celle-ci afin de prétendre être Googlebot. Il se peut aussi que ces fournisseurs se livrent à une activité d'exploration prétendant être Googlebot en utilisant la même adresse IP que l'adresse IP publique de leurs clients. Quelle qu'en soit la cause, le résultat est que, si vous activez cette option, vous risquez de bloquer certains visiteurs réels.

De quelle manière traiter les robots d'indexation de Google

Les robots d'exploration Google sont spéciaux. Habituellement, vous voulez que les robots d'exploration de Google visitent et indexent votre site sans interruption et vous voulez vous assurer qu'ils ont un accès illimité à votre site. Wordfence a donc créé cette option afin que Google puisse être traité différemment et qu'il bénéficie d'un meilleur accès que les visiteurs habituels du site.

• Les robots d'indexation Google vérifiés ont un accès illimité à ce site

Si vous souhaitez utiliser un paramètre strict, vous pouvez définir cette option pour autoriser uniquement les robots vérifiés d'exploration Google à accéder de manière illimitée au site. Cette option utilise une recherche DNS inversée pour vérifier qu'un visiteur prétendant être un robot d'exploration Google est effectivement ce qu'il prétend être. Si un visiteur arrive à prétendre être Google en simulant un en-tête Googlebot, il n'aura pas un accès illimité car il échouera au test de recherche inversée (PTR).

• Toute personne prétendant être Google a un accès illimité

Cette option donne un accès illimité à tout visiteur disposant d'un en-tête d'agent utilisateur Googlebot, l'identifiant comme un robot d'exploration Google. Cette option garantit que Google n'est jamais limité sur votre site Web et qu'il peut consommer autant de contenu qu'il le souhaite. Toutefois, si un visiteur prétend être Google en changeant son en-tête d'agent utilisateur pour émuler Googlebot, il aura également un accès illimité.

• Traiter Google comme n'importe quel autre robot d'indexation

Wordfence ne vous recommande pas d'utiliser cette option, à moins que vous n'ayez des paramètres très lâches (non stricts) dans votre Limitation de débit. Si vous traitez Google comme n'importe quel autre robot d'exploration et que vous limitez le nombre de demandes par minute à un faible nombre, vous pouvez empêcher temporairement Google d'explorer votre site. Notez que la réponse HTTP par défaut, lorsque quelqu'un est bloqué, est de renvoyer une réponse d'indisponibilité temporaire. Donc, si vous bloquez accidentellement Googlebot, vous lui dites de "revenir plus tard" plutôt que de "partir définitivement" de telle sorte que les dommages à votre référencement ne sont pas aussi importants qu'ils pourraient l'être.

Si le nombre de requêtes de quiconque dépasse

Cette option est une limite globale pour toutes les demandes. Si quelqu'un dépasse cette limite, il recevra la réponse HTTP 503 "temporairement indisponible" de Wordfence avec une explication conviviale. Si vous avez traité Googlebot en utilisant les options ci-dessus, cette limite ne s'appliquera pas à Googlebot. En général, 240 par minute est un bon paramètre global de requêtes par minute qui permet, même aux robots d'exploration rapides (mais amicaux), d'accéder à votre site sans le surcharger. C'est 4 requêtes par seconde que les robots comme Bing peuvent facilement générer. S'ils tentent d'explorer votre site plus rapidement, ils recevront une réponse HTTP 503 qui leur indiquera de ralentir. Utilisez l'option "le mettre au ralenti" dans la plupart des cas, ce qui évaluera la limite plutôt que de bloquer les robots d'exploration et les visiteurs.

Si le nombre de pages vues par un robot d'indexation dépasse

Si Wordfence détecte qu'un visiteur n'est pas un humain mais, un robot qui explore votre site, cette limite s'appliquera. Très utile pour limiter la quantité de trafic que les robots peuvent générer sur votre site web. Cependant, certains bons robots ont tendance à explorer votre site rapidement donc, le réglage à 240 par minute est un bon paramètre sauf, si vous avez un problème avec les robots surchargeant votre site. Utilisez l'option "le mettre au ralenti" dans la plupart des cas, limitera simplement le taux d'indexation des robots.

Si le nombre de pages non trouvées (erreur 404) par un robot d'indexation dépasse

Si votre site est bien configuré et bien conçu, vous pouvez configurer cette option aussi bas que 30 par minute, voire 15 par minute. Si un robot génère de nombreuses erreurs de page non trouvées sur un site Web bien configuré, cette option n'est généralement pas utile. Par exemple, un robot peut rechercher des vulnérabilités sur votre site Web et vous pouvez le bloquer; le réglage à 30 par minute et l'utilisation de l'option "le bloquer" plutôt que "le mettre au ralenti" est un moyen efficace de bloquer les adresses IP qui analysent votre site à la recherche de vulnérabilités.

Cependant, veuillez lire la mise en garde suivante:

  Si votre site n'est PAS bien conçu ou configuré, il peut, dans le cours normal des opérations, rencontrer plusieurs erreurs de page non trouvée (erreur 404). Par exemple, si vous incluez beaucoup d'images qui n'existent pas dans vos pages Web, alors vos pages généreront beaucoup d'erreurs 404 sur votre site. Ces erreurs 404 peuvent amener Wordfence à bloquer le robot qui explore un nombre de pages non trouvées, si ce nombre dépasse la limite que vous avez définie. Donc, avant de définir un nombre relativement petit et de définir l'action sur "le bloquer", assurez-vous que vous n'obtenez pas beaucoup d'erreurs de page non trouvée (erreur 404) sur votre site durant les opérations normales. Une façon de le savoir est de regarder qui affiche souvent le message d'erreur 404; dans le journal des erreurs de votre navigateur ou dans le journal HTTP du serveur.

Si le nombre de pages vues par un humain dépasse

Si Wordfence détecte qu'un visiteur est humain, cette limite s'appliquera. Le niveau de cette limite dépend de votre site Web. En général, Wordfence vous recommande de garder ce niveau élevé, surtout si vous utilisez AJAX sur votre site Web. Une limite de 240 par minute est un paramètre sain, sauf si vous avez beaucoup de pages statiques sans AJAX et êtes certain que le trafic normal que les humains génèrent sur votre site est beaucoup plus faible.

Si le nombre de pages non trouvées (erreur 404) par un humain dépasse

Si votre site est bien configuré et bien conçu, vous pouvez configurer cette option à une limite aussi faible que 30 par minute, voire 15 par minute.

Cependant, veuillez lire la mise en garde suivante:

  Si votre site n'est PAS bien conçu ou configuré, il peut, dans le cours normal des opérations, rencontrer plusieurs erreurs de page non trouvée (erreur 404). Par exemple, si vous incluez beaucoup d'images qui n'existent pas dans vos pages Web, alors vos pages généreront beaucoup d'erreurs 404 sur votre site. Ces erreurs 404 peuvent amener Wordfence à bloquer un robot qui explore un nombre de pages non trouvées, si ce nombre dépasse la limite que vous avez définie. Donc, avant de définir un nombre relativement petit et de définir l'action sur "le bloquer", assurez-vous que vous n'obtenez pas beaucoup d'erreurs de page non trouvée (erreur 404) sur votre site durant les opérations normales. Une façon de le savoir est de regarder qui affiche souvent le message d'erreur 404; dans le journal des erreurs de votre navigateur ou dans le journal HTTP du serveur. (Même mise en garde que celle pour un robot d'indexation qui dépasse le nombre de pages non trouvées).

La durée qu'une adresse IP demeure bloquée lorsqu'elle enfreint une règle

Rappelez-vous; il existe deux actions différentes que vous pouvez choisir lorsque quelqu'un enfreint une règle du Pare-feu. Vous pouvez "le bloquer", ce qui supprime immédiatement l'accès au site pour une durée prédéterminée, définie par ce paramètre, ou vous pouvez "le mettre au ralenti", ce qui signifie que leur accès au site sera temporairement bloqué jusqu'à ce qu'il réduise sa fréquence de requêtes en dessous de la limite que vous avez fixée.

  Cette option contrôle combien de temps une adresse IP est bloquée si vous avez défini l'option "le bloquer". Wordfence utilise une durée de 5 minutes à une heure sur ses propres sites de production. C'est un temps assez long pour limiter l'activité malveillante qu'une IP peut engager. La durée que vous utilisez dépend entièrement de vous. Si vous souhaitez être très agressif, vous pouvez définir la durée à 24 heures ou plus mais, il est important de noter que les adresses IP sont attribuées dynamiquement sur Internet. Ainsi, si vous bloquez quelqu'un en utilisant une certaine adresse IP, il peut passer à une adresse IP différente dans un jour ou deux, et un nouvel utilisateur qui ne se livre pas à une activité malveillante mais, à qui est attribuée l'adresse IP bloquée, peut maintenant être empêché d'accéder à votre site si vous avez défini cette durée très grande.

Liste blanche pour les URLs avec l'erreur 404

  Ces modèles d'URLs seront exclus des règles utilisées pour la Mise au ralenti des robots d'indexation.

Les URLs de cette Liste blanche ne seront pas prises en compte dans les règles de Limitation de débit utilisées pour limiter les robots d'indexation. La liste par défaut inclut des icônes de site telles que favicon.ico ou apple-touch-icon.png et des versions Retina d'images suivant le modèle /*@2x.png, que certains navigateurs demandent même s'ils ne sont pas listés dans le HTML de votre site. Entrez une URL par ligne. Les URLs doivent commencer par une barre oblique, telle que /favicon.ico.

URLs sur la Liste blanche

La Liste blanche du Pare-feu fait partie de la fonction Mode d'apprentissage de Wordfence et permet au Pare-feu d'apprendre à ne pas bloquer les demandes sécurisées même si le Pare-feu les considère comme suspectes. Pour en savoir plus sur la Liste blanche et le Mode d'apprentissage, voir la page: https://www.wordfence.com/help/wordfence-firewall/learning-mode/.

Le Pare-feu utilise la correspondance de modèle pour identifier les requêtes malveillantes. Parfois, un contenu non malveillant dans la requête peut accidentellement correspondre à l'une des règles et déclencher le Pare-feu pour bloquer cette requête. Ce blocage est considéré comme un faux positif. Wordfence fournit un moyen d'exclure cette URL des règles du Pare-feu afin qu'elle puisse être ajoutée à la Liste blanche.

Les visites bloquées par le Pare-feu affichent "403 Interdit" et "Une opération potentiellement dangereuse a été détectée dans votre requête sur ce site". Lorsque vous êtes connecté en tant qu'administrateur, vous pouvez choisir d'ajouter à la Liste blanche toute action bloquée. Vous pouvez soit ajouter des éléments à la Liste blanche sur la page Trafic en temps réel, soit activer temporairement le Mode d'apprentissage, effectuer les actions et réactiver le Pare-feu. Pour plus d'informations sur la Liste blanche voir le paragraphe #Mettre ces adresses IP sur la Liste blanche... et pour le Mode d'apprentissage voir le paragraphe Statut du Pare-feu.

Vous pouvez créer des règles de Pare-feu pour insérer des URLs sur la Liste blanche:

• automatiquement lorsque le Pare-feu est en Mode d'apprentissage,

• manuellement par un administrateur via les options du Pare-feu,

• via un bouton "UNBLOCK IP" sur la page du Trafic en temps réel ou  

• via la page de Blocage, si un administrateur est bloqué.  

Surveiller les requêtes d'arrière-plan provenant du navigateur Web d'un administrateur pour les faux positifs

Les requêtes d'arrière-plan envoyées par votre navigateur, peuvent afficher un message indiquant "Background Request Blocked" si elles sont bloquées par le Pare-feu. Ces messages ne sont affichés seulement qu'à l'administrateur du site. Ces requêtes peuvent être ajoutées à la Liste blanche en cliquant sur le bouton "Whitelist" dans le message, si vous savez que ces requêtes sont sécuritaires.

Wordfence charge un script pour les administrateurs connectés. Ce script surveille les demandes d'arrière-plan qui sont bloquées par le Pare-feu afin de vous avertir si un objet bloqué n'a pas besoin de l'être.

Vous pouvez désactiver ce script, en décochant l'une des cases, ou les deux: pour la partie frontale du site Site Web frontal ou pour la section wp-admin du site Panneau d'admin. La désactivation du script de surveillance n'affecte pas la protection du Pare-feu mais, peut rendre plus difficile la détection de faux positifs (blocage des actions qui ne sont pas réellement malveillantes).

Options de Blocage

Options avancées du Blocage de pays

  Le Blocage de pays n'est disponible qu'avec la licence Premium.

Le Blocage de pays par Wordfence est conçu pour arrêter une attaque, empêcher le vol de contenu ou mettre fin à une activité malveillante provenant d'une région géographique, en moins de 1/300 000ème de seconde. Le blocage des pays qui créent régulièrement des échecs de connexion, un grand nombre d'erreurs de page non trouvées et qui sont clairement impliqués dans des activités malveillantes, est un moyen efficace de protéger un site lors d'une attaque.

Options de Balayage

Un Balayage Wordfence examine tous les fichiers de votre site Web WordPress à la recherche de codes malveillants, de portes dérobées, de coquilles installées par des pirates, d'URL connues comme malveillantes et de modèles connus d'infection.

Il effectue plusieurs autres vérifications telles que vérifier si votre adresse IP est utilisée pour une activité malveillante, vérifier les modifications DNS non autorisées et plus encore.

Un Balayage peut être manuel ou programmé. Si Wordfence détecte des problèmes lors du Balayage manuel, les résultats du Balayage s'affichent. Si Wordfence détecte des problèmes lors d'un Balayage planifiée, vous verrez les résultats la prochaine fois que vous vous connectez à votre site Web ou, si vous avez configuré Wordfence pour vous envoyer des alertes sur votre site, vous recevrez un courriel à ce sujet.

Selon la taille de votre site, un Balayage peut prendre de 1 minute à plus de 10 minutes si vous avez un très grand nombre de fichiers, de commentaires ou de publications.

Planification du Balayage

Wordfence fournit une sécurité continue en temps réel pour votre site. Il existe deux types de Balayages automatiques: les Balayages complets et les Balayages rapides. Le Balayage rapide effectue une quantité limitée de contrôles tandis que le Balayage complet effectue tous les types de balayages complets que vous avez actuellement sélectionné.

Si vous utilisez la version gratuite de Wordfence, un Balayage rapide est exécuté tous les jours et un Balayage complet est exécuté toutes les 72 heures. Les clients de Wordfence Premium exécutent, par défaut, des Balayages complets toutes les 24 heures. Les clients Premium peuvent également personnaliser la fréquence du Balayage de leurs sites à l'aide de la fonction de Planification du Balayage.

Veuillez noter que toutes les analyses de Wordfence s'exécutent dans l'heure qui suit l'heure prévue. Par exemple, un Balayage programmé pour 13 heures se déroulera entre 13 heures et 14 heures. Ce départ aléatoire empêche le démarrage d'une grande quantité de Balayages en même temps.

Options du type de Balayage de base

Balayage limité

Un Balayage limité convient à un site dont les ressources d'hébergement sont très restreintes. Si votre site manque de mémoire ou si vos Balayages ne sont pas terminés, essayez ce type de Balayage.

Balayage standard

Le Balayage standard est recommandé pour la plupart des sites. Il inclut toutes les vérifications nécessaires pour garantir la sécurité d'un site WordPress standard.

Veuillez noter que les vérifications de thèmes et d'extensions qui comparent vos fichiers locaux aux fichiers du référentiel WordPress.org ne sont actuellement pas incluses dans cette option. Vous voudrez peut-être les activer. Les options se trouvent dans la section Options générales aux paragraphes:

• #Balayage des fichiers core, par rapport aux versions du référentiel, pour des modifications quelconques
• #Balayages des fichiers des extensions, par rapport aux versions du référentiel, pour des modifications quelconques

Haute sensibilité

Ce type de Balayage est utilisé quand vous savez ou suspectez fortement que votre site a été compromis. Il inclut l'option #Balayage des images, fichiers binaires et autres fichiers comme s'ils étaient exécutables qui examine le code source des images, des fichiers PDF et des autres fichiers comme s'il s'agissait de programmes pouvant exécuter du code. Ce type de Balayage prendra plus de temps et utilisera plus de ressources qu'un Balayage standard.

Balayage personnalisé

Si vous modifiez manuellement les contrôles inclus dans vos Balayages via les Options générales ci-dessous, vous obtiendrez un type de Balayage personnalisé.

Options générales

Sélectionnez les aspects de votre site que le Balayage doit analyser, ajustez les performances du Balayage et configurez les options avancées.

Les trois premières options sont des Fonctionnalités Premium.

Balayage pour une mauvaise configuration. Comment Wordfence obtient-il les adresses IP

Ce Balayage vérifie comment Wordfence voit les adresses IP des visiteurs. Si votre serveur ou votre domaine est configuré pour utiliser un "mandataire inversé", cette option aide Wordfence à déterminer quel est l'en-tête HTTP de l'adresse IP du visiteur. Wordfence vous recommande de garder cette options activée. Le Balayage s'exécute une fois par semaine et affiche "Skipped " dans le résumé du Balayage lorsqu'il n'a pas besoin d'être exécuté.

Balayage pour savoir si la configuration, la sauvegarde ou les fichiers journaux sont accessibles par le public

Ce Balayage va vérifier les fichiers contenant des informations sensibles, tels que les anciens paramètres WordPress dans un nom de fichier wp-config.old, qui pourraient être accessibles par le public. Empêcher l'accès à ces fichiers peut garder sécurisé le mot de passe de la base de données ou toutes autres informations importantes.

Balayage pour savoir si les fichiers mis en quarantaine sont accessibles par le public

Ce Balayage vérifie les fichiers mis en quarantaine que certains hôtes (serveurs Windows) produisent lorsqu'ils détectent un logiciel malveillant. Habituellement, ces fichiers se terminent par ".suspected", ce qui peut amener le serveur Web à afficher le contenu des fichiers PHP au lieu de les exécuter en tant que code PHP, lorsqu'un visiteur essaie de les voir. Si un fichier sensible tel que wp-config.php est renommé par l'hôte en wp-config.php.suspected, il pourrait afficher votre mot de passe de la base de données au public.

  Remarque: Si le fichier n'est toujours pas caché, lorsque vous essayez de corriger ce résultat en cliquant sur le lien pour masquer le fichier, pourrait être dû à plusieurs niveaux de fichiers .htaccess. Vous devrez peut-être ajouter la directive "RewriteOption Inherit" à votre fichier .htaccess à la racine de votre site. Assurez-vous de vérifier tous les autres sites que vous avez dans un répertoire parent ou dans un sous-répertoire du même hôte car, d'autres "réécritures" peuvent également être héritées.

En général, une sauvegarde du fichier et sa suppression du serveur est l'option recommandée.

Balayage des fichiers "core", par rapport aux versions du référentiel, pour des modifications quelconques

Ce Balayage vérifie si vos fichiers de base (core) correspondent à ceux qui existent dans le référentiel central officiel de WordPress. Si vos fichiers ont changé, il est probable que vous les ayez modifiés vous-même (ce qui est très inhabituel et non recommandé) ou votre installation WordPress a été infectée par un logiciel malveillant qui les a modifiés. Si des changements ont eu lieu, Wordfence vous donne l'occasion de voir ces changements en cliquant le bouton AFFICHER LES DIFFÉRENCES sur la page des résultats du Balayage. Wordfence va vous montrer un affichage, syntaxiquement mis en évidence, des différences entre vos fichiers "core" et les fichiers officiels du "core" que WordPress distribue.

  Wordfence détecte automatiquement quelle version de WordPress vous roulez et compare vos fichiers de base à la version appropriée. Cette détection de version et la comparaison avec la version correcte dans le référentiel WordPress s'applique également aux thèmes et extensions.

  Pour les extensions, la comparaison se fait avec la version anglaise des fichiers du référentiel et génère très souvent de faux positifs.

Balayage des fichiers de thème, par rapport aux versions du référentiel, pour des modifications quelconques

Comme avec la détection de changement de fichiers de base ci-dessus, Wordfence compare tous les thèmes que vous avez installés sur votre site avec ceux dans le référentiel officiel de thèmes WordPress. Wordfence détecte automatiquement la version du thème que vous utilisez et fait la comparaison avec la bonne version. Cette analyse s'applique à tous les thèmes installés sur votre installation WordPress, et non pas uniquement au thème actif.

Ce Balayage ne s'applique pas aux thèmes commerciaux ni aux thèmes qui ne figurent pas dans le référentiel officiel WordPress. Si vous avez des thèmes commerciaux sur votre système, Wordfence les analyse pour rechercher les logiciels malveillants, les URLs malveillantes, les portes dérobées et d'autres éléments mais, Wordfence n'a pas la possibilité de savoir si les fichiers originaux ont été modifiés par le vendeur. De nombreux sites Web personnalisent de manière importante leurs thèmes commerciaux de sorte que cette vérification, dans de nombreux cas, serait inutile car, Wordfence détecterait toujours ces personnalisations en tant que modifications apportées aux fichiers du thème.

Balayages des fichiers des extensions, par rapport aux versions du référentiel, pour des modifications quelconques

Comme avec la détection de changements dans les fichiers de base ci-dessus, le Balayage compare vos extensions avec celles du référentiel officiel WordPress afin de signaler tout changement. La plupart des sites WordPress ne personnalisent pas leurs extensions et la plupart des extensions installées sur un site WordPress proviennent du référentiel officiel; c'est donc un excellent moyen de vérifier l'intégrité des fichiers de vos extensions.

  Certains développeurs ne suivent pas les directives officielles que WordPress fournit aux développeurs d'extensions et ils modifient une "étiquette" ou une version de leur extension qui a déjà été publiée, en ajoutant du nouveau code à une version existante. Par exemple, en corrigeant un petit bogue ou une faute mineure de frappe. WordPress n'indique pas aux clients qu'il y existe un nouveau code et qu'ils ont besoin d'une mise à niveau. Le résultat de ces modifications non signalées, laisse les clients avec du code sur leurs sites qui ne correspond pas à ce qui se trouve dans le référentiel et est ainsi une cause occasionnelle de faux positifs.

Dans des cas comme ci-dessus, Wordfence vous alerte que le code de l'extension ne correspond pas à ce qui se trouve dans le dépôt de logiciels. Wordfence vous recommande de toujours utiliser la fonctionnalité AFFICHER LES DIFFÉRENCES pour afficher les modifications apportées à vos fichiers d'extensions avant d'entreprendre une action car, il se peut que ce soit seulement un cas de développeur qui ne gère pas son code correctement.

Dans un tel cas, vous pouvez simplement ignorer le fichier signalé par Wordfence et envoyer une note amicale au développeur pour lui demander de ne pas modifier une étiquette ou insérer du nouveau code dans les versions déjà existantes. Cependant, si vous voyez un fichier d'extension qui a changé et que vous voyez de longues lignes avec beaucoup de caractères étranges, il est probable que le fichier ait été infecté par quelque malveillance.

Balayage des répertoires wp-admin et wp-includes pour des fichiers non fournis avec WordPress

Les répertoires wp-admin et wp-includes ne doivent généralement inclure que des fichiers faisant partie du noyau WordPress, éventuellement des fichiers journaux ou des fichiers liés aux téléchargements de fichiers en fonction de la configuration de votre société d'hébergement ou d'autres paramètres. Ce Balayage montre les fichiers dans les répertoires wp-admin et wp-includes qui ne sont pas une partie normale de WordPress ou des autres fichiers que Wordfence connaît. Parfois, les fichiers d'une ancienne version de WordPress peuvent toujours exister dans les dossiers principaux et ils peuvent généralement être supprimés en toute sécurité si c'est le cas.

Comme d'habitude, assurez-vous d'avoir toujours une sauvegarde avant de supprimer des fichiers, surtout si vous ne savez pas pourquoi ils sont là. Certaines extensions ou thèmes peuvent placer des fichiers dans les répertoires centraux même si ce n'est pas recommandé. Les pirates peuvent également placer des fichiers malveillants dans ces dossiers.

Certains plans d'hébergement "WordPress auto-géré" peuvent vous empêcher de supprimer un fichier de base, y compris les fichiers de base des anciennes versions WordPress. Si tel est le cas, vous pouvez demander à votre hébergeur de vous aider à supprimer ou à évaluer tous les fichiers trouvés par cette analyse et qui ne semblent pas appartenir à ces emplacements avec la version actuelle de WordPress.

Balayage pour la détection de signatures de fichiers malveillants connus

Ce Balayage va examiner des fichiers entiers et comparer leur hachage à ceux d'une base de données de signatures de fichiers reconnus comme malveillants. Base de données que Wordfence maintient et met à jour en temps réel. Si Wordfence détecte un fichier reconnu comme malveillant, il vous en informera.

Balayage du contenu des fichiers pour les portes dérobées (backdoors), les chevaux de Troie et le code suspect

Cette option de Balayage fournit un excellent niveau de détection. Wordfence maintient une liste, continuellement mise à jour, qui correspondent aux modèles connus qu'il rencontre dans les fichiers malveillants. Lorsque vous effectuez un Balayage, pour tous fichiers que Wordfence ne reconnaît pas comme d'authentiques fichiers reconnus (tels les fichiers de base ou les fichiers d'extensions et de thèmes connus), il effectue une analyse approfondie à la recherche de ces modèles. S'il trouve un motif reconnu comme malveillant, vous recevrez une alerte critique vous indiquant que Wordfence a trouvé du code malveillant dans un fichier.

Certains des modèles communs que Wordfence recherche comprennent plusieurs techniques utilisées par les pirates pour cacher leur code malveillant, y compris l'encodage de leur code en utilisant le codage base64, le codage d'URL, l'encodage hexadécimal et beaucoup d'autres. Wordfence recherche également des modèles qui indiquent qu'un fichier contient du code qui télécharge et exécute du code et ce, sans les modèles normaux de sécurité qu'on voit dans WordPress.

Balayage du contenu des fichiers pour les URLs malveillantes

Wordfence analyse le contenu des fichiers à la recherche d'URLs malveillantes qui peuvent être utilisées par les pirates de diverses manières, telles que le téléchargement de fichiers malveillants supplémentaires à l'intérieur des logiciels malveillants ou les servir aux visiteurs dans des campagnes de pourriels ou de logiciels malveillants.

Balayage des posts pour des URLs dangereuses connues et du contenu suspect

Ce Balayage parcourt tous les messages de votre site Web en accédant directement à votre base de données (au lieu de procéder à une analyse plus lente du site) et vérifie si elle contient des URLs dangereuses connues liées à l'hameçonnage ou à l'hébergement de logiciels malveillants. Ce Balayage recherche également les contenus suspects qui peut avoir été générés par une infection ou un piratage.

Avec cette option de Balayage activée, Wordfence vérifie toujours tous les messages plutôt que vérifier seulement les nouveaux. Il le fait à tous les Balayages parce que la liste des URLs dangereuses connues est en constante évolution. Un site que vous liez dans un article spécifique peut être sûr aujourd'hui mais, demain il pourrait être infecté par des logiciels malveillants auquel cas, Wordfence commencerait à le signaler. Si ce cas se produit, vous devrez supprimer l'URL de votre publication ou risquer d'être mis sur Liste noire par Google.

Ce Balayage est extrêmement utile pour préserver la réputation de votre site et éviter une pénalité de recherche de Google. Les liens qui apparaissent dans chacun de vos posts sont indexés par Google et, si vous créez un lien vers un site mis en Liste noire par Google, votre site tombera probablement dans les classements de recherche et votre propre site pourrait être mis en Liste noire lui aussi comme intermédiaire dans la distribution de logiciels malveillants. Wordfence recommande donc vivement aux propriétaires de sites d'activer cette option.

Balayage des commentaires relatifs aux URLs dangereuses connues et au contenu suspect

Ce Balayage analyse tous vos commentaires en accédant directement à votre base de données et en balaie la table des commentaires. Il vérifie les commentaires qui sont dans un état publié pour les URLs malveillantes connues et les autres modèles qui indiquent une infection. Comme pour le Balayage des posts ci-dessus, Wordfence procède à une Balayage complet chaque fois que cette analyse est effectuée car, la liste des URLs dangereuses connues change constamment donc, même si un commentaire n'a pas changé, Wordfence doit vérifier à nouveau que les URLs qu'il contient soient propres.

Il s'agit d'un Balayage important car, il empêche votre site de contenir des liens vers des URLs dangereuses qui ont été mises sur la Liste noire de Google. Si vous créez un lien vers ces URLs, vous risquez de subir une pénalité de recherche de Google et de vous faire inscrire sur Liste noire. Notez que cette fonction est extrêmement rapide et même si votre site a plusieurs milliers ou dizaines de milliers de commentaires, elle s'exécutera très rapidement car, elle fonctionne directement sur votre base de données en utilisant un algorithme très efficace.

Balayage du "core", des extensions et des thème WordPress pour les URLs dangereuses connues et les contenus suspects

Ce Balayage vérifie pour des contenus malveillants connus et les URLs dangereuses stockées dans les options WordPress et qui sont utilisés par le "core" WordPress, les extensions ou les thèmes. Tout résultat trouvé peut indiquer une nouvelle compromission mais, peut également inclure des restes de vieux piratages si un site a été nettoyé ou si une extension/thème vulnérable a été supprimé.

Balayage des extensions, thèmes et versions WordPress périmés, abandonnés et vulnérables

Ce Balayage vous alerte simplement par courriel si vous utilisez des thèmes ou des extensions obsolètes. Wordfence vous recommande vivement de laisser cette option activée car, la mise à niveau dès que possible vers de nouvelles versions du "core" WordPress, thèmes et extensions est le moyen le plus efficace de sécuriser votre site.

Les extensions et les thèmes qui ont publié une nouvelle version apparaîtront comme un "avertissement" dans les résultats du Balayage tandis que les extensions et les thèmes avec une mise à jour qui corrige des vulnérabilités connues apparaîtront comme un élément "critique".

Balayage des utilisateurs admin créés en dehors de WordPress

Ce Balayage vérifie les utilisateurs d'administration qui ont été créés par une autre méthode; par exemple, via une extension vulnérable plutôt que via la page Utilisateurs WordPress.

Vérifier la Robustesse des mots de passe

Ce Balayage inspectera les mots de passe des utilisateurs et ceux des administrateurs pour vérifier si l'un de vos utilisateurs utilise des mots de passe très courants. Wordfence effectue une vérification étendue des comptes de niveau administrateur et une vérification rapide des comptes de niveau utilisateur.

Surveiller l'espace disque

Si vous utilisez un fournisseur d'hébergement, il est de leur responsabilité de garder un œil sur l'espace disque de votre serveur et si votre fournisseur est fiable, vous ne serez pas à court de ressources. Cependant, Wordfence offre cette option aux utilisateurs passant par Linode ou un autre service auto-hébergé; c'est un excellent moyen d'obtenir une alerte par courriel si votre serveur manque d'espace.

Rechercher les modifications DNS non autorisées

Ce Balayage vous alertera de toute modification apportée au DNS de votre site Web. Cette alerte signifie que si le nom de domaine de votre site Web pointe soudain vers une adresse IP différente ou si un autre changement plus subtil est apporté au DNS de votre site Web, Wordfence vous en informera. Wordfence surveille ces changements car, il est possible qu'un pirate puisse accéder à votre système d'administration DNS en piratant votre compte GoDaddy. Ils peuvent ensuite faire pointer votre site Web vers leur propre adresse IP et détourner votre site. Cette vérification aide à fournir un avertissement précoce si votre DNS change le moindrement.

Balayer les fichiers en dehors de l'installation WordPress

C'est une option très puissante qui vous permet d'élargir votre Balayage Wordfence pour inclure également les fichiers en dehors de votre installation WordPress.

Un Balayage régulier de Wordfence examine les éléments suivants: wp-admin, wp-content, wp-includes, tous les sous-répertoires de ces répertoires - tous les fichiers de votre répertoire WordPress de base. Lorsque vous activez cette option, Wordfence analyse tous les sous-répertoires de votre installation WordPress, même s'ils ne font pas partie de WordPress. Donc, si vous avez un répertoire qui est une installation de phpmyadmin ou une installation Drupal, Wordfence va aussi plonger dans ces répertoires à la recherche de codes malveillants et d'infections.

Vous devez noter deux avertissements. Tout d'abord, l'activation de cette fonction peut entraîner une durée d'analyse plus longue et, dans certains cas, ne jamais se terminer car, elle consomme trop de ressources sur le serveur et est supprimée par l'hébergeur. Deuxièmement, dans de rares cas, Wordfence voit des liens symboliques circulaires, des répertoires de périphériques et d'autres fichiers ou répertoires qui ne sont pas conçus pour être lus comme des fichiers normaux ou peuvent conduire Wordfence sur un chemin circulaire et prolonger indéfiniment le Balayage. Si vous rencontrez des problèmes avec vos Balayages prenant trop de temps ou ne finissant jamais, assurez-vous de désactiver cette option.

  En général, Wordfence vous recommande de laisser cette option désactivée, à moins que vous n'essayiez de nettoyer un site déjà infecté, ou nous vous suggérons d'activer cette option pour une autre raison.

Balayage des images, fichiers binaires et autres fichiers comme s'ils étaient exécutables

Wordfence rencontre parfois du code malveillant caché dans des fichiers ayant une extension d'image. Plutôt rare mais, si vous utilisez Wordfence pour nettoyer une infection tenace et que vous pensez que vous avez des fichiers image qui sont en fait du code PHP, vous pouvez activer cette option qui vous aidera à trouver le code malveillant

Activer le balayage HAUTE SENSIBILITÉ (Peut donner de faux positifs)

Cette option activera plusieurs options internes de Wordfence qui l'amènera à effectuer un Balayage plus complet. Wordfence analysera les types de fichiers comme les fichiers journaux et les fichiers de sauvegarde qu'il ignore normalement. En outre, le Balayage recherchera des modèles qui ressemblent mais, peuvent ne pas toujours l'être, à un code malveillant. Ainsi, avec cette option activée, Wordfence donnera souvent de faux positifs. Les fichiers Readme.txt et readme.md seront ignorés à moins que la "HAUTE SENSIBILITÉ" soit activée. Certains auteurs d'extensions changent ces fichiers pour indiquer que leur extension est compatible avec une nouvelle version de WordPress ou pour apporter d'autres modifications, sans avoir à émettre une nouvelle version de l'extension.

Wordfence vous recommande normalement de laisser cette option désactivée. Cependant, si vous utilisez Wordfence pour nettoyer un site et que ça ne vous dérange pas de voir plusieurs faux positifs, vous pouvez l'activer car, cette option peut vous aider à trouver une infection tenace.

Options de performance

Employer un Balayage en utilisant le moins possible des ressources disponibles. (Réduit la charge du serveur mais, allonge la durée du Balayage)

Un Balayage à faibles ressources étend le travail de l'analyse sur une période plus longue afin de réduire les risques d'utilisation élevée des ressources sur une courte période. Ce genre de Balayage peut être utile sur les fournisseurs d'hébergement partagé qui offre de plus faibles ressources à votre compte d'hébergement, ou sur les plans d'hébergement VPS et d'hébergement dédiés. Cette option peut rendre vos Balayages deux à quatre fois plus longs mais, ils seront moins énergivores pendant l'analyse. La quantité de temps supplémentaire dépend de votre hôte particulier, de vos options Wordfence et du nombre de fichiers analysés. Cette option est désactivée par défaut.

Limiter le nombre de problèmes envoyés dans le courriel des résultats du Balayage

Lorsque les résultats d'un Balayage vous sont envoyés par courrier électronique à la fin d'une analyse, cette option limite le nombre total de problèmes qui seront envoyés. La limite par défaut devrait bien fonctionner pour la plupart des sites mais, si vous nettoyez un site infecté ou travaillez sur un site avec beaucoup d'utilisateurs ayant des mots de passe incorrects dans les résultats, vous pouvez augmenter cette limite pour vous assurer que tous les problèmes sont envoyés tant que l'hôte a une limite de mémoire assez élevée. Sur les sites avec une limite de mémoire faible, il est peut être nécessaire d'abaisser cette option pour permettre l'envoi de courriels.

La limite de temps, en secondes, qu'un Balayage peut prendre

Vous pouvez définir une limite pour la durée d'exécution des Balayages sur votre site. Certaines options combinées à un grand nombre de fichiers peuvent rendre les analyses très longues, en particulier sur les serveurs plus lents. Si un Balayage expire avant sa fin, vous en serez informé et la reprise ne sera pas automatique mais, le prochain Balayage planifiée tentera de s'exécuter. Changer certaines options pour aider les Balayages à s'exécuter dans la limite est la meilleure option mais, la limite de temps peut également être augmentée si nécessaire. Laisser cette option vide permettra à Wordfence d'utiliser la limite par défaut, qui est actuellement de 3 heures. Vous pouvez également définir une limite inférieure pour conserver un contrôle plus strict de l'utilisation des ressources.

Quantité de mémoire que Wordfence devrait demander lors d'un Balayage

La plupart des sites WordPress ont une quantité fixe de mémoire allouée par le fournisseur d'hébergement pour effectuer les différentes fonctions que WordPress, ses thèmes et extensions fournissent.

Dans certains cas, un site WordPress a la possibilité de demander une augmentation de la quantité maximale de mémoire autorisée en modifiant un paramètre de configuration PHP pendant l'exécution de WordPress. Il le fait en modifiant un paramètre de configuration de php.ini lors de l'exécution.

  Si votre site manque de mémoire alors que Wordfence effectue ses différentes tâches et que vous souhaitez augmenter la mémoire maximale autorisée par PHP lors de l'exécution de Wordfence, vous pouvez définir la quantité maximale de mémoire que PHP peut allouer (présentement 256Mo sur notre Serveur SME) en modifiant le paramètre "MemoryLimit"; voir la section Paramètres de php.ini dans le document https://wiki.contribs.org/SME-101.05A_WordPress#Param.C3.A8tres_de_php.ini.

Après cette modification, augmentez aussi la limite de cette option sur cette page.

  Sur le site Wordfence lui-même, cette option est de 256, ce qui demandera 256 mégaoctets de mémoire lorsque Wordfence s'exécutera.

Wordfence n'utilisera pas réellement cette quantité de mémoire mais, cette option demandera à PHP d'augmenter la quantité de mémoire allouée à la limite que vous spécifiez ici afin que PHP émette une erreur seulement si le nouveau maximum que vous avez spécifié est atteint.

  Sur les sites à mémoire limitée, cette option ne fonctionne pas toujours pour augmenter la limite. Si vous avez essayé d'utiliser cette option et que vous manquez encore de mémoire, il est préférable d'ouvrir un billet de support auprès de votre hébergeur pour lui demander plus de mémoire.

Durée d’exécution maximale pour chaque étape de Balayage

Les Balayages Wordfence peuvent prendre plusieurs minutes ou plus sur de très gros sites Web. Wordfence s'exécute comme une application PHP sur votre serveur web. Celles-ci ne sont pas toujours réglées pour exécuter des processus de longue durée tels que Wordfence. Wordfence a donc conçu les Balayages pour s'exécuter comme une série de requêtes.

• Le serveur Web se connectera à lui-même et lancera une nouvelle requête Web pour lancer un Balayage.
• Le Balayage va s'exécuter pour quelques secondes et faire son travail.
• Après un certain temps déterminé par ce réglage "Durée d’exécution maximale pour chaque étape de Balayage", Wordfence mettra en pause le Balayage, sauvegardera les données et provoquera la reconnexion du serveur Web à lui-même pour lancer l'étape suivante.
• Le Balayage progressera et fera plus de travail.
• Après une période de temps spécifiée par ce paramètre, le serveur Web suspendra à nouveau le Balayage, enregistrera les données et se reconnectera à lui-même pour exécuter l'étape suivante.
• Cette série de boucles se poursuit jusqu'à ce que le Balayage Wordfence soit terminé.

Ce paramètre contrôle la durée d'exécution d'une étape de Balayage jusqu'à ce qu'il s'interrompe, enregistre les données du Balayage et entraîne la reconnexion du serveur Web à lui-même pour lancer l'étape suivante.

Si cette valeur n'est pas définie, Wordfence utilisera max_execution_time dans votre fichier de configuration php.ini divisé par deux, ce qui garantit que Wordfence ne roule pas plus longtemps que le maximum autorisé par PHP.

Si vous éprouvez des difficultés à effectuer des Balayages, Wordfence vous suggère d'essayer plusieurs valeurs différentes. La valeur que vous spécifiez ici doit être supérieure à 10 ou Wordfence utilisera ses propres valeurs par défaut.

  Essayez d'abord 30, sauvegardez et faites un Balayage. S'il ne se termine pas, essayez 15, enregistrez et effectuez en un autre. S'il ne se termine pas encore, essayez 12. Si vous n'avez toujours pas de chance de terminer le Balayage, il se peut qu'il y ait un autre problème ou vous devrez demander à votre fournisseur d'hébergement d'augmenter le temps qu'un processus serveur est autorisé pour s'exécuter.

L'objectif est de trouver une valeur suffisamment longue pour permettre à Wordfence de faire une certaine quantité de travail, mais suffisamment courte pour que le Balayage ne dépasse pas le temps maximum autorisé à un processus du serveur Web pour s'exécuter.

Options avancées de Balayage

Exclure du Balayage les fichiers correspondant à ces modèles génériques (un par ligne)

Cette option vous permet d'exclure certaines extensions de votre Balayage. Vous pouvez l'utiliser si Wordfence est coincé sur de gros fichiers dont vous savez qu'ils ne sont pas malveillants tels que certains types de fichiers de sauvegarde. Vous pouvez utiliser le chemin d'accès complet du fichier ou utiliser " * " pour faire correspondre n'importe quel nombre de caractères. Exemple: /wp-content/uploads/image.jpg exclura uniquement le fichier image.jpg. Si vous entrez /wp-content/uploads/* tous les fichiers du dossier de téléchargement seront exclus du Balayage.

Signatures supplémentaires de balayage (une par ligne)

Dans cette section, vous pouvez ajouter des signatures de Balayage. Elles seront ensuite traitées par le Balayage lors des vérifications pour des logiciels malveillants. Il s'agit d'une fonctionnalité avancée qui ne peut être utilisée efficacement que si vous connaissez la structure et la fonction des signatures de logiciels malveillants. Une expression régulière doit être entrée sans le délimiteur de modèle. Si vous en entrez plusieurs, séparez-les avec le saut de ligne [Entrée]. Par exemple, si vous recherchez une instance de X09jkF et X6p3Kn, vous devez entrer:

X09jkF
X6p3Kn

Options des Outils

Options d'Authentification à deux facteurs

L'Authentification à deux facteurs n'est disponible qu'avec une licence Premium.

Options du Trafic en temps réel

Le Trafic en temps réel de Wordfence vous montre en temps réel ce qui se passe sur votre site. Cette fonctionnalité inclut de nombreuses données que les paquets d'analyse basés sur JavaScript, tels que Google Analytics ne vous montrent pas. La raison pour laquelle ils ne peuvent vous montrer ces données et que Wordfence le peut, est que Wordfence enregistre votre trafic au niveau du serveur. Par exemple, Wordfence vous montrera les visites des robots d'exploration de Google, les robots d'exploration de Bing, les tentatives de piratage et autres visites qui n'exécutent pas javascript. Google Analytics et les autres paquets d'analyse ne vous montrera que les visites des navigateurs Web qui sont généralement exploités par un être humain.

Le Trafic en temps réel de Wordfence est réellement en temps réel, il sera donc mis à jour lorsque de nouvelles visites apparaîtront sur votre site. Notez que par défaut, le trafic est mis à jour toutes les deux secondes. Si vous souhaitez modifier cette fréquence de rafraîchissements, vous pouvez accéder à votre page d'options Wordfence (Options globales de Wordfence  >  Options générales de Wordfence  >  Intervalle de mise à jour, en secondes) et modifier cette intervalle. Vous pouvez trouver cette option documentée en détail au paragraphe #Intervalle de mise à jour, en secondes.

Activer la journalisation du Trafic en temps réel

Cette option active/désactive l'affichage du Trafic en temps réel. Sur la plupart des serveurs disposant de ressources suffisantes, le Trafic en temps réel de Wordfence fonctionne parfaitement. En fait, Wordfence actionne le Trafic en temps réel sur ses propres serveurs de production qui reçoivent une quantité importante de trafic Web. Toutefois, si vous utilisez un plan d'hébergement à faible coût qui limite considérablement les ressources dont vous disposez, vous pouvez envisager de désactiver le Trafic en temps réel pour réduire la charge de votre serveur Web.

Ne pas journaliser les utilisateurs connectés et ayant le droit de publication

Cette option demande de ne pas journaliser les utilisateurs connectés et qui ont le droit de publier des articles ou des posts sur votre site Web.

Liste des noms d'utilisateurs à ignorer, séparés par des virgules.

Entrer les noms des utilisateurs, séparés par des virgules, dont vous voulez que le Trafic en temps réel ignore.

Liste des adresses IP à ignorer, séparées par des virgules.

Entrer les adresses IP, séparés par des virgules, dont vous voulez que le Trafic en temps réel ignore.

Agent utilisateur du navigateur à ignorer

Entrer les noms des Agents utilisateurs du navigateur, séparés par des virgules, dont vous voulez que Le trafic en temps réel ignore.

Référence: https://fr.wikipedia.org/wiki/User_agent.

Un "user agent" ou agent utilisateur est une application cliente utilisée avec un protocole réseau particulier; l'expression est généralement employée comme référence pour le applications qui accèdent au World Wide Web. Les agents utilisateur du Web vont de la gamme des navigateurs jusqu'aux robots d'indexation, en passant par les lecteurs d'écran ou les navigateurs braille pour les personnes ayant une incapacité.

Quand un internaute visite une page Web, une chaîne de caractères est généralement envoyée au serveur pour identifier l'agent utilisateur. Cette chaîne est incluse dans la requête HTTP par l'en-tête "User-Agent" qui donne des informations telles: le nom de l'application, la version, le système d'exploitation, la langue, etc.

Les robots de recherche incluent souvent une URL et/ou une adresse électronique si le webmestre veut contacter l'opérateur du robot. La chaîne "User-Agent" est l'un des critères utilisé pour exclure un certain nombre de pages ou une partie d'un site Web en utilisant le "protocole d'exclusion des robots" (robots.txt). Ceci permet aux webmestres, qui estiment que certaines parties de leur site Web ne devraient pas être incluses dans les données recueillies par un robot en particulier ou qu'un robot en particulier utilise trop de bande passante, de l'inviter à ne pas visiter ces pages.

  Une liste de ces agents peut être trouvée à cette URL: https://fr.wikipedia.org/wiki/User_agent#Robots.

Quantité de données du Trafic en temps réel à stocker (nombre de lignes)

Vous pouvez ajuster la quantité de données du Trafic en temps réel si vous préférez conserver plus ou moins d'enregistrements de visites.

Maximum days to keep Live Traffic data (minimum: 1)

Outre le nombre de lignes, vous pouvez également limiter les données du Trafic en temps réel au nombre de jours écoulés depuis l'enregistrement d'un "hit". La valeur par défaut est de 30 jours et la durée minimale est de 1 jour. Les limites sont vérifiées quotidiennement et les enregistrements dépassants cette limite sont supprimés à ce moment-là.

Options d'import/export

On clique OPTIONS D'IMPORT/EXPORT pour afficher la page de ces options.

Les éléments suivants sont inclus dans une exportation/importation Wordfence.

• Toutes les options par défaut
• Calendrier du Balayage
• IP bloqués
• Règles avancées du blocage

Exportation

Lorsque vous exportez vos options, vous recevrez un jeton d'exportation représenté par une une chaîne de caractères alphanumérique de 128 caractères. Gardez ce jeton sécurisé. Si quelqu'un en a accès, il peut importer vos paramètres Wordfence (à l'exception de votre clé API). Wordfence n'expire pas ces jetons donc, vos paramètres exportés seront disponibles indéfiniment.

  À l'avenir, cette politique pourrait changer.
Importer

Pour importer vos paramètres Wordfence sur un autre site, vous avez besoin d'un jeton d'exportation (voir #Exportation ci-dessus). Copier ce jeton du site source et coller-le dans le champ "Importer les options Wordfence d'un autre site à l'aide d'un jeton" du site de destination puis, cliquez sur IMPORTER LES OPTIONS WORDFENCE.

Il n'existe aucun délai et l'importation sera instantanée. Vous verrez un message vous indiquant que l'importation a réussi et il vous sera demandé de RAFRAICHIR la page en cours.

Exemples d'utilisation

Les chapitres qui suivent sont une traduction libre de la documentation de Wordfence 7.

Référence: https://www.wordfence.com/help/advanced/troubleshooting/wordfence-7/.

Description

La version 7 de Wordfence contient toutes les fonctionnalités des versions précédentes mais, offre une toute nouvelle interface utilisateur. Le but de la nouvelle présentation est de rendre Wordfence plus facile à utiliser.

  Les personnes familières avec les anciennes versions peuvent connaître une courte période d'adaptation.

Pour une description complète de tous les changements, voir cet article à l'URL:https://www.wordfence.com/blog/2018/01/introducing-wordfence-7/.

Les versions précédentes de Wordfence affichaient une longue page Options contenant toutes les options disponibles. Ces dernières ont été déplacées vers leurs sections respectives. Les options globales telles que le champ de la "Clé de licence" (clé d'API), les options de rapport d'alertes et d'activités de même que les options Importer/Exporter se trouvent désormais sous Wordfence  >  Dashboard  >  Options globales. On peut trouver les options du Pare-feu sous Wordfence  >  Dashboard  >  Gérer le Pare-feu, celles du Blocage sous Wordfence  >  Firewall  >  Blocage et celles du Balayage sous Wordfence  >  Dashboard  >  Gérer le Balayage.

  Avec la version 7.0.3, Wordfence a remis la page contenant toutes les options disponibles: "All Options".

Affichage/Masquage de certains sous-menus Wordfence

Wordfence  >  Options Globales  >  on clique l'icône ► du cadre "Affichage/Masquage de certains sous-menus Wordfence du Tableau de bord WordPress" pour le développer.

On clique dans les trois champs pour activer les affichages: "All Options", "Blocking" et "Live Traffic" en sous-menus Wordfence du Tableau de bord WordPress puis, ENREGISTRER LES MODIFICATIONS.

Les nouveaux sous-menus s'affichent maintenant sous Wordfence.

Trafic en temps réel

Wordfence  >  Live Traffic.

Par défaut, "La journalisation du Trafic en temps réel" est désactivée.

Si vous préférez conserver tous les enregistrements du "Trafic en temps réel", activez l'option "Activer la journalisation du Trafic en temps réel " qui se trouve sous Wordfence  >  All Options  >  Options des Outils  >  Options du Trafic en temps réel  >  cliquer l'icône ► du cadre  >  cliquer ON pour activer la journalisation du "Trafic en Temps réel"  >  ENREGISTRER LES MODIFICATIONS.

Le Trafic en temps réel est initialement présenté en mode condensé où vous cliquez l'icône de "View" au bout de la ligne, ou n'importe où sur la ligne, pour voir les détails de cette entrée.

Les détails de cette entrée sont affichés.

Vous pouvez bloquer cette adresse IP, lancer une recherche "Whois" ou voir le trafic récent de cette IP.

Blocage

Toutes les adresses IP bloquées manuellement se trouvent sous Wordfence  >  Firewall  >  onglet Blocage.

Ces adresses/CIDR ont été bloquées manuellement et indéfiniment par un administrateur du site Web.

Toutes les adresses IP bloquées automatiquement par Wordfence se trouvent sous Wordfence  >  Live Traffic si les sous-menus de Wordfence sont affichées sur le menu du Tableau de bord de WordPress sinon, on peut les trouvées sous: Wordfence  >  Tools  >  Live Traffic.

Trafic en temps réel

Pour voir le Trafic en temps réel, il faut que l'option "Activer la journalisation du Trafic en temps réel" soit activée c.à-d. "ON".

  Après l'examen du trafic, on peut désactiver cette option pour ne pas surcharger la base de donnée.

Résultats condensés

Le Trafic en temps réel est initialement présenté en affichage condensé.

Résultat(s) détaillé(s)

• - Cliquez l'icône de "View", au bout de la ligne, ou n'importe où sur la ligne, pour afficher individuellement les détails de chaque entrée.
  - Cliquer n'importe où sur la ligne "Shkoder, Albania..." pour afficher les détails de cette entrée.
  - Cliquer sur "Développer tous les résultats", en haut et à droite de la page, affichera les détails de toutes les entrées.
• Définitions des icônes utilisées dans la colonne "Type".

Détails

Cliquer VOIR LE TRAFIC RÉCENT pour afficher le trafic récent pour cette adresse IP.

Vous devez cliquer sur VOIR LE TRAFIC RÉCENT et non pas faire un clac, (clic droit) pour afficher la page dans un autre onglet du navigateur, car ce clac fera en sorte d'ouvrir une page dans un nouvel onglet et affichera seulement les détails ci-dessous.

TRAFIC RÉCENT

Cette adresse n'a visité aucune page du site, elle a juste essayer de téléversé un fichier malicieux.

Trafic récent d'un visiteur de la boutique

On peut voir qu'un autre visiteur (51.15.86.162) était sur la page de son panier et qu'il est maintenant sur la page commande de la boutique.

On voit que ce visiteur a ajouté un article dans son panier puis, il a visité ce dernier et enfin il s'est rendu sur la page de commande pour finaliser son achat.

Trafic récent de robots d'indexation

Ci-dessous, on voit que 5 robots d'indexation sont à l'oeuvre:

• un BING 157.55.39.8 1 qui examine le fichier /robots.txt.
• un autre BING 40.77.167.73 qui examine /, la racine du site.
• un GOOGLE 66.249.69.169 qui examine /?page_id=188.
• un autre GOOGLE 66.249.69.161 qui examine /rf-232_sme-9-1_installation_p...
• un autre BING 40.77.167.12 qui examine /produit/micronator-101-cahier…

On peut examiner qui est 40.77.167.12 en affichant ses détails puis en cliquant "RUN WHOIS".

Cette adresse appartient bien à Microsoft.

On voit aussi que Microsoft possède un très grand nombre d'adresses IP (262,144).

L'autre robot 66.249.69.161 appartient à Google.

Blocage

Blocage d'une plage d'adresses IP

• - On revient au résultat "Shkoder, Albania..."
  - On lance une requête Whois sur l'adresse IP.
  - Vous voyez les résultats et les réseaux auxquels appartient l'adresse.
  - Vous cliquez ensuite sur le plus petit réseau (avec le moins d'a­dres­ses IP) dans la liste
• - Vous arrivez à la page "Créer une règle de Blocage".
  - "Type de Blocage", cliquez Modèle personnalisé
  - Vous entrez la raison pour laquelle vous bloquez ce réseau pour vous rappeler pourquoi ce Blocage existe puis.
  - Vous cliquez sur le bouton BLOQUER LES VISITEURS CORRESPONDANT À CE MODÈLE pour enregistrer le bloc CIDR.
  - Vous avez terminé ce blocage.

Le résumé du blocage s'affiche.

Blocage d'une seule d'adresse IP

Un autre visiteur de Nashville avec l'adresse IP 50.224.108.182 a essayé de téléverser un fichier malveillant.

On se rend à la page de blocage: Wordfence  >  Blocking.

On clique Adresse IP, on entre l'adresse IP qu'on veut bloquer et un motif pour ce blocage. Puis, BLOQUER CETTE ADRESSE IP.

Et voilà, un autre blocage de réussi.

Déblocage

Accédez à la page Wordfence  >  Blocking. Cocher l'icône de sélection au début de la ligne de l'entrée; le bouton de "DÉBLOQUER" devient alors actif; cliquer-le.

Confirmer en cliquant DÉBLOQUER.

L'entrée pour l'adresse l'IP que vous venez de débloquer est disparue.

Travailler avec les résultats d'un Balayage

Wordfence  >  Scan.

Cliquer sur la ligne à examiner ou cliquer DÉTAILS pour développer cette entrée.

Les résultats d'un Balayage Wordfence seront un peu différents en fonction de ce qui a été détecté.

Pour en savoir plus sur les différents résultats pouvant apparaître lors d'un Balayage, veuillez consulter la liste complète des résultats à l'URL https://www.wordfence.com/help/scan/#working-with-scan-results.

Chaque résultat est livré avec un ensemble d'actions que vous pouvez effectuer pour résoudre le problème.

IGNORER

De temps en temps, le Balayage peut signaler un objet comme suspect ou malveillant même si, selon vous, il ne l'est pas. Un tel résultat est appelé un faux positif. Si vous êtes certain qu'un résultat est un faux positif, vous pouvez choisir d'ignorer le résultat de l'analyse. Il sera ensuite répertorié sous l'onglet "Résultats ignorés" dans tous futurs Balayages. Un exemple de faux positif survient lorsque vous éditez manuellement un fichier de base ou un fichier d'un thème/extension WordPress. Si vous avez activé "HAUTE SENSIBILITÉ", vous pouvez également obtenir des faux positifs car, ce type de Balayage est des plus intensifs.

VOIR LE FICHIER

Tout fichier qui a été détecté comme ayant un problème lors d'un Balayage affiche une option "VOIR LE FICHIER". L'affichage du fichier dévoile, dans une nouvelle fenêtre, le code source réel du fichier. Cet affichage peut être utile pour voir si le fichier contient du code qui semble suspect. L'affichage du fichier de cette manière est sans danger car, il affiche seulement le code et ne l'exécute pas.

AFFICHER LES DIFFÉRENCES

Si un fichier a été détecté comme "modifié", vous avez la possibilité d' "AFFICHER LES DIFFÉRENCES". Cette option compare le fichier officiel que Wordfence s'attendait à trouver avec la version qui est est actuellement installée. "AFFICHER LES DIFFÉRENCES" pour voir si du code a été ajouté.

SUPPRIMER LE FICHIER

  Cette option n'est pas toujours présente.

Les fichiers détectés peuvent tous être supprimés, à une exception près; le fichier de configuration de WordPress, c.-à-d. wp-config.php, ne peut pas être supprimé en utilisant cette méthode car, la suppression de ce fichier va inévitablement ruiner votre installation WordPress.

Wordfence vous aide à trouver les problèmes potentiels sur votre site mais, finalement il compte sur votre jugement pour déterminer si un fichier doit être supprimé ou restauré dans sa version originale. En règle générale, si vous affichez les modifications apportées à un fichier "core" et constatez que du texte grossier a été ajouté au fichier, il s'agit probablement d'une infection et la restauration du fichier "core" d'origine effacera l'infection. Cependant, si vous voyez des changements dans un fichier où du code, PHP ou HTML bien formaté, a été ajouté, il est probable que ce ne soit pas une infection et que votre développeur de site ait personnalisé un thème ou un fichier "core" et vous devriez laisser les changements en place. Dans ce cas, cliquer sur l'option IGNORER est probablement le meilleur plan d'action.

Vous pouvez avoir d'anciens fichiers d'une version précédente de WordPress, surtout si vous avez déjà utilisé une version bêta, ou votre hôte peut avoir des fichiers journaux avec des noms inhabituels. Mais, les fichiers .php dans ces emplacements peuvent également être malveillants. Dans la plupart des cas, vous voudrez supprimer les fichiers .php inconnus trouvés dans les emplacements principaux mais, certaines extensions y placeront d'autres fichiers alors, gardez toujours une sauvegarde des fichiers avant de les supprimer si vous n'êtes pas certain qu'ils soient bons ou malveillants.

Si vous exécutez une version alpha ou bêta de WordPress, les fichiers "core" supplémentaires ne doivent pas être marqués, sauf si le numéro de version interne de WordPress est incorrect.

    Parce que les droits de notre site sont très sécuritaires, Wordfence pourrait être empêché de supprimer un fichier, il faudra alors utiliser WinSCP pour éliminer un ou des fichiers.

SUPPRIMER TOUS LES FICHIERS SUPPRIMABLES

Le bouton SUPPRIMER TOUS LES FICHIERS SUPPRIMABLES vous permet de supprimer en bloc tous les fichiers détectés lors de l'analyse (à l'exception de wp-config.php). Cette action doit être exercée avec une extrême prudence. Si vous avez un thème ou une extension Premium, une extension ou un thème que vous avez vous-même développé, il n'y aura pas d'option pour restaurer ces fichiers. La suppression peut ruiner votre site. Si vous trouvez des fichiers infectés dans une extension ou un thème personnalisé, une action plus infaillible consistera généralement à obtenir une nouvelle version et à la réinstaller.

La fonctionnalité SUPPRIMER TOUS LES FICHIERS SUPPRIMABLES existe seulement pour une circonstance spécifique: quand vous rencontrez une quantité considérable de fichiers malveillants qui ne font pas partie du noyau WordPress ou de l'une de vos extensions/thèmes personnalisés. Encore une fois - utilisez avec prudence et assurez-vous de savoir ce que vous supprimez!

    Parce que les droits de notre site sont très sécuritaires, Wordfence pourrait être empêché de supprimer un fichier, il faudra alors utiliser WinSCP pour éliminer un ou des fichiers.

MARQUER COMME RÉSOLU

Si vous effectuez cette action sur un résultat, il est immédiatement masqué à la vue. Vous pouvez utiliser cette fonctionnalité pour gérer l'affichage actuel si vous parcourez et résolvez les problèmes un par un jusqu'à ce que tous les problèmes aient été résolus. Cette action ne persiste pas et si vous signalez un problème comme résolu même s'il ne l'a pas été, il réapparaîtra lors du prochain Balayage.

Traductions

  Avec la version 7.1.16, Wordfence croit encore à "God is american and speaks only English" et signalera les traductions comme des problèmes "critiques" (sic).

Espérons qu'avec le temps, Wordfence finira par comprendre que cet adage n'est plus valable en ce XXIe siècle.

Comment Wordfence obtient-il les adresses IP

Vérification

Le Balayage Wordfence offre une option: "Balayage pour une mauvaise configuration de: Comment Wordfence obtient-il les adresses IP". Cette fonction du Balayage peut vous aider à détecter si une mauvaise option a été sélectionnée pour "Comment Wordfence obtient-il les adresses IP".

Une autre façon de déterminer si Wordfence obtient correctement les adresses IP, est de vérifier la section "Détection IP" sous Wordfence  >  Tools  >  Diagnostics  >  "Détection IP Méthodes de détection de l'adresse IP d'un visiteur".

Wordfence  >  All Options  >  "Options générales de Wordfence"  >  "Comment Wordfence obtient-il les adresses IP".

Dans l'encadré en magenta, plusieurs adresses IP peuvent être détectées. Si votre propre adresse IP n'apparaît pas à l'endroit où s'affiche "Your IP with this setting", vous devrez peut-être ajouter des mandataires (proxies) approuvés.

Si vous ne savez pas si votre hôte utilise plusieurs adresses de mandataires, contactez votre hôte ou le service de mandataire inversé que vous utilisez. Si vous savez que vous n'utilisez qu'une seule adresse de mandataire, il doit s'agir de la dernière adresse dans le champ "Detected IPs ".

• Une fois que vous connaissez les mandataires à approuver, cliquez sur le lien + Edit trusted proxies sous l'adresse IP détectée.

• Dans le champ "Mandataires (proxies) approuvés" qui apparaît, entrez l'adresses IP du mandataire. Vous pouvez entrer une adresse IP unique comme: 192.168.1.1. Vous pouvez également entrer une plage "CIDR" telle que: 192.168.1.0/24.
    ]Les adresses IP sécurisées de votre hôte ne doivent pas être les mêmes que celles de nos exemples.

• Cliquez sur ENREGISTRER LES MODIFICATIONS et vérifiez que votre adresse IP s'affiche correctement dans le champ "Your IP with this setting:".

Optimisation du Pare-feu

Le Pare-feu Wordfence dispose d'une fonction qui lui permet d'être chargé avant tout autre code. Cette fonctionnalité fournit le plus haut niveau de protection que Wordfence appelle "Protection étendue". Afin d'obtenir une Protection étendue, vous devez suivre une courte procédure de configuration.

Lorsque vous installez Wordfence pour la première fois sur votre site Web, vous activez automatiquement la protection WordPress de base. L'extension se chargera comme une extension normale après le chargement de WordPress. Alors qu'il peut bloquer de nombreuses requêtes malveillantes, certaines extensions vulnérables ou WordPress lui-même peuvent exécuter du code vulnérable avant que toutes les extensions soient chargées. De plus, les attaquants peuvent accéder directement à certains fichiers d'extensions, "core" ou thème, et dans ce cas, votre serveur ne chargera pas le Pare-feu pour vous protéger.

Dans le processus d'optimisation, Wordfence modifie la configuration de PHP pour permettre au Pare-feu de se charger sur votre site avant WordPress ou tout autre fichier PHP qui pourrait être directement accessible. Selon la configuration de votre serveur, ceci peut apporter des modifications aux fichiers .htaccess, .user.ini ou php.ini. Wordfence vous demande d'abord de télécharger des copies de sauvegarde de ces fichiers avant qu'ils ne soient modifiés, au cas où le serveur soit configuré de telle manière à ce que les modifications ne fonctionnent pas. Une fois les étapes d'optimisation terminées, le Pare-feu traitera toutes les demandes PHP et vous bénéficierez alors d'une "Protection étendue".

Configuration de l'Optimisation du Pare-feu

1) Lorsque vous installez le Pare-feu Wordfence, en haut des pages d'administration de WordPress, vous verrez: "Pour rendre votre site aussi sécurisé que possible, prenez le temps d'optimiser l'Application pare-feu WEB de Wordfence:" cliquez alors le bouton CLIQUEZ ICI POUR CONFIGURER.

2) Vous serez alors redirigé vers une page de configuration qui détectera la configuration de votre serveur. Cliquez alors sur le bouton CONTINUER.

  Vous ne devriez pas avoir besoin de changer cette option mais, vous pouvez le faire si vous constatez que la configuration de votre serveur n'a pas été correctement détecté.

3) La page suivante peut vous recommander de télécharger un ou plusieurs fichiers (.htaccess et .user.ini) à des fins de sauvegarde. Si vous rencontrez des problèmes lors de la procédure d'optimisation, vous pourrez remettre ces fichiers de sauvegarde sur votre site pour annuler ce que la configuration a fait. Une fois que vous avez téléchargé les fichiers, vous pouvez cliquer sur CONTINUER pour terminer la configuration; elle devrait maintenant être complétée. Sur certains hôtes, vous devrez peut-être attendre jusqu'à 5 minutes pour que les modifications prennent effet.

Si vous ne souhaitez pas configurer le Pare-feu à ce moment-là, vous pouvez ignorer l'avis. Le programme d'installation sera toujours disponible sur la page du Pare-feu si vous souhaitez configurer la Protection étendue dans le futur.

Configurations alternatives

Sur l'hébergeur SiteGround et autres hôtes similaires utilisant cPanel

Certains hôtes ne prennent pas en charge l'utilisation de fichiers .user.ini. Cette situation ne se produit pas sur tous les hôtes cPanel mais, seulement sur ceux avec une configuration spécifique. Pour ces hôtes, vous pouvez optimiser le Pare-feu manuellement en définissant la valeur auto_prepend_file directement dans votre fichier php.ini. Sur l'hébergeur SiteGround et les hôtes similaires, veuillez suivre la procédure ci-dessous.

1) Après avoir tenté l'installation, le fichier wordfence-waf.php sera créé à la racine du site mais, vous verrez un message indiquant que le Pare-feu n'est toujours pas optimisé.

2) Vous aurez besoin du chemin d'accès au fichier wordfence-waf.php, similaire à /home/username/public_html/wordfence-waf.php. Si vous n'êtes pas certain du chemin complet sur votre site, contactez Wordfence pour obtenir de l'aide.

3) Accédez au cPanel de votre site et cliquez sur l'icône du Gestionnaire de variables PHP.

4) Cliquez sur le lien "public_html".

5) Entrez auto_prepend_file comme nom de variable, cliquez sur le bouton Ajouter, puis entrez le chemin d'accès à wordfence-waf.php.

6) Activez la case à cocher Appliquer les modifications à tous les sous-répertoires et cliquez Enregistrer.

Si le site ne se charge pas correctement, vérifiez le chemin entré pour vous assurer qu'il n'y a pas de lettres, de guillemets, de barres obliques, etc... supplémentaires dans le Gestionnaire de variables PHP. Si ça ne fonctionne toujours pas, vous pouvez essayer de supprimer le chemin et d'enregistrer les paramètres pour restaurer le site à son état précédent et réessayer.

Utilisation de php.ini avec plusieurs sites sur un même compte d'hébergement

Si vous avez plusieurs sites sur un seul compte d'hébergement et devez utiliser php.ini tel que décrit dans la section précédente, vous devrez peut-être ajouter un fichier php.ini similaire dans le sous-répertoire de chaque site. Dans ce cas, vous devrez peut-être ajouter du code comme celui-ci dans le fichier .htaccess de chaque site supplémentaire, pour indiquer à PHP quel fichier php.ini utiliser:

SetEnv PHPRC /home/user/public_html/sitename/php.ini

Vous devrez ajuster le chemin d'accès de votre site et le nom du répertoire du site avant de l'ajouter au fichier .htaccess. Si le fichier .htaccess du site du sous-répertoire contient déjà une ligne similaire, cette modification peut ne pas être nécessaire.

  Certains hôtes peuvent exiger que PHPRC affiche le chemin sans php.ini à la fin.

Masquage du fichier .user.ini si votre serveur utilise NGINX

Le fichier .user.ini créé par Wordfence peut contenir des informations sensibles et l'accès du public à celui-ci doit être restreint. Si votre serveur utilise NGINX, vous devez le faire manuellement. Ajoutez les directives suivantes au contexte du serveur de votre fichier nginx.conf:

location ~ ^/\.user\.ini {
deny all;
} 

Si votre installation WordPress réside dans un sous-répertoire, vous devez ajouter la partie du chemin de l'URL, au modèle:

location ~ ^/wordpress/\.user\.ini {
deny all;
} 

Suppression de l'Optimisation du Pare-feu

La suppression de l'optimisation supprimera les fichiers du Pare-feu dans /wflogs/ et le code installé dans .htaccess et .user.ini. Dans la partie inférieure de la page du Pare-feu, cliquez sur le bouton Supprimer la Protection étendue. On vous demandera d'enregistrer les sauvegardes des fichiers pertinents puis, la suppression enlèvera automatiquement de ces fichiers les portions relatives au Pare-feu Wordfence.

  Dépendant de la configuration de votre serveur, on pourra vous demander d'attendre un délai de 5 minutes pour attendre l'expiration d'un type spécifique de cache de votre serveur.

Vous pouvez également supprimer les fichiers d'installation du Pare-feu et le code qui y est associé en allant à Wordfence  >  All-Options  >  Options globales de Wordfence  >  Options générales de Wordfence et en activer "Supprimer les tables Wordfence et les données lors de la Désactivation" avant la désactivation de Wordfence. Cette méthode réinitialisera entièrement les options de Wordfence après la réactivation car, cette option aura supprimé toutes les tables et données de Wordfence.

Suppression manuelle de l'Optimisation du Pare-feu

Selon la configuration de votre serveur, vous pouvez avoir des entrées personnalisées dans les fichiers .htaccess, .user.ini et php.ini; tous ces fichiers sont situés dans le répertoire principal de votre site. Wordfence entoure du commentaire Wordfence WAF au début et END Wordfence WAF à la fin des ajouts dans les fichiers qu'il modifie. Vous pouvez supprimer le code entre ces commentaires dans ces fichiers:

• Le code .htaccess varie selon la configuration du serveur mais, est entouré des commentaires mentionnés ci-dessus.
• Le fichier .user.ini est utilisé seulement avec certaines configurations de serveur mais, s'il existe, le code de Wordfence est entouré par les commentaires mentionnés ci-dessus
• Le fichier php.ini est utilisé seulement pour certaines configurations de serveur et aurait une seule ligne commençant par auto_prepend_file.

Vous pouvez ensuite supprimer le fichier wordfence-waf.php dans le dossier racine du site après la modification des fichiers ci-dessus.

  IMPORTANT: Si votre hôte utilise .user.ini ou un cache PHP, les modifications peuvent prendre environ 5 minutes pour entrer en vigueur. Vous pouvez voir des écrans blancs ou des messages d'erreur pendant cette période.

Dépannage

Si l'installation se termine sans erreur, le Pare-feu affiche toujours la protection de base de WordPress.

En raison de la mise en cache, certains serveurs ont un délai, généralement jusqu'à 5 minutes avant que les modifications ne prennent effet. Attendre 5 minutes et vérifier à nouveau permettra de résoudre le problème, si c'est le cas.

Si le bouton CLIQUEZ ICI POUR CONFIGURER apparaît toujours après avoir terminé l'installation et avoir attendu environ 5 minutes, votre hôte peut ne pas utiliser les fichiers de configuration standard, tels que .user.ini.

Pour en savoir plus sur la résolution des problèmes reliés à l'Optimisation du Pare-feu, voir la page:https://www.wordfence.com/help/firewall/optimizing-the-firewall/troubleshooting/

Problème de désactivation du Pare-feu

Si vous rencontrez des problèmes techniques et que vous ne pouvez pas définir l'état du Pare-feu sur "Désactivé", vous pouvez alors définir une constante dans WordPress. Si la protection WordPress de base est activée, vous pouvez ajouter le code ci-dessous à votre fichier wp-config.php, juste en dessous de la ligne WP_DEBUG.

• Fichier wp-config.php.

...
* @link https://codex.wordpress.org/Debugging_in_WordPress 
*/
define('WP_DEBUG', false);

/* Pour désactiver le Pare-feu Wordfence en cas de problème de désactivation */
define ('WFWAF_ENABLED', false);

...

• Fichier wordfence-waf.php

Si la protection étendue est activée, le code doit être ajouté dans le fichier wordfence-waf.php, avant la ligne commençant par if:

... /* Pour désactiver le Pare-feu Wordfence en cas de problème de désactivation */ define ('WFWAF_ENABLED', false); if (file_exists('/home/e-smith/files/ibays/Primary/html/wp-content/plugins/wordfence/waf/bootstrap.php')) { ...

Désinstallation de l'extension

Pour désinstaller l'extension Wordfence Security, exécuter les manipulations ci-dessous.

Préparation à la désinstallation

Tables et données Wordfence

  Si on veut garder les tables et les données de Wordfence pour une réinstallation future, on s'assure que l'option "Supprimer les tables Wordfence et les données lors de la Désactivation" est désactivée et on passe au paragraphe #Préparation des fichiers.

  Si on veut définitivement tout supprimer de l'extension Wordfence pour ne plus la réinstaller, on supprime aussi les tables et les données de Wordfence en cochant l'option "Supprimer les tables Wordfence et les données lors de la Désactivation".

Tableau de bord  >  Wordfence  >  All Options  >  Options globales de Wordfence  >  Options générales de Wordfence  >  cocher "Supprimer les tables Wordfence et les données lors de la Désactivation"  >  ENREGISTRER LES MODIFICATIONS.

Préparation des fichiers

Durant la désinstallation de l'extension, Wordfence voudra enlever les directives qu'il a inséré dans certains fichiers lors de son installation: .htaccess, .user.ini et wordfence-waf.php. Il faut donc donner au groupe, le droit d'écriture pour ces fichiers.

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

On donne le droit d'écriture au groupe.

  # chmod g+w /home/e-smith/files/ibays/Primary/html/.htaccess /home/e-smith/files/ibays/Primary/html/.user.ini /home/e-smith/files/ibays/Primary/html/wordfence-waf.php

On vérifie.

  # ls -als /home/e-smith/files/ibays/Primary/html/.htaccess /home/e-smith/files/ibays/Primary/html/.user.ini /home/e-smith/files/ibays/Primary/html/wordfence-waf.php

4 -rw-rw---- 1 apache shared 1581 13 févr. 13:28 /home/e-smith/files/ibays/Primary/html/.htaccess
4 -rw-rw---- 1 apache shared    1 13 févr. 13:05 /home/e-smith/files/ibays/Primary/html/.user.ini
4 -rw-rw---- 1 admin  shared  418 13 févr. 13:16 /home/e-smith/files/ibays/Primary/html/wordfence-waf.php

Préparation de l'ibay du site WordPress

Lors de la désactivation, Wordfence voudra modifier certains fichier dans le répertoire racine du site Web. Il faut donc donner le droit d'écriture au groupe, dans le répertoire html de l'i-bay du site Web. Si le groupe n'a pas ce droit d'écriture, Wordfence ne pourra pas modifier ces fichier.

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

On exécute la commande suivante.

# chmod g+w /home/e-smith/files/ibays/Primary/html/

On vérifie.

# ls -alsd /home/e-smith/files/ibays/Primary/html/

4 drwxrws--- 9 admin shared 4096 13 févr. 13:16 /home/e-smith/files/ibays/Primary/html/

Désactivation

Désactivation de Wordfence

Tableau de bord  >  Extensions  >  Wordfence Security  >  Désactiver.  

Désinstallation de l'extension

• Tableau de bord  >  Extensions  >  Wordfence Security  >  Supprimer.
• OK.

  L'Identifiant FTP est chargeurprim pour l'i-bay Primary et chargeursec pour toutes les autres i-bays.

• localhost  >  chargeurprim  >  mot-de-passe de chargeurprim  >  Continuer.
• On vérifie que l'extension a bien été supprimée.

Vérification

On vérifie les répertoire de l'extension Wordfence.

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

# ls -als /home/e-smith/files/ibays/Primary/html/wp-content/plugins/wodfence

ls: impossible d'accéder à /home/e-smith/files/ibays/Primary/html/wp-content/plugins/wodfence: Aucun fichier ou dossier de ce type

La désinstallation de l'extension a bien supprimer le répertoire worfence.

On vérifie les fichiers.

# ls -als /home/e-smith/files/ibays/Primary/html/.htaccess /home/e-smith/files/ibays/Primary/html/.user.ini /home/e-smith/files/ibays/Primary/html/wordfence-waf.php

ls: impossible d'accéder à /home/e-smith/files/ibays/Primary/html/wordfence-waf.php: Aucun fichier ou dossier de ce type
4 -rw-r--r-- 1 apache shared 1260 17 févr. 14:57 /home/e-smith/files/ibays/Primary/html/.htaccess
4 -rw-rw---- 1 apache shared    1 13 févr. 13:05 /home/e-smith/files/ibays/Primary/html/.user.ini

La désinstallation de l'extension Wordfence a supprimer le fichier wordfence-waf.php.

  Si ce fichier est présent et qu'on ré-amorce le Serveur SME, WordPress ne pourra pas démarrer.

Réajustement du droit d'écriture pour le groupe

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

Répertoire html de l'i-bay

  Il faut enlever le droit d'écriture au groupe pour le répertoire html de l'i-bay sinon, ce serait une faille majeure de sécurité.

# chmod g-w /home/e-smith/files/ibays/Primary/html/

On vérifie.

# ls -alsd /home/e-smith/files/ibays/Primary/html/

4 drwxr-s--- 9 admin shared 4096 17 févr. 14:57 /home/e-smith/files/ibays/Primary/html/

Fichiers

Pour les fichiers, on enlève le droit d'écriture au groupe.

# chmod g-w /home/e-smith/files/ibays/Primary/html/.htaccess /home/e-smith/files/ibays/Primary/html/.user.ini

Comme vu plus haut, durant la Vérification, le fichier wordfence-waf.php a été supprimé par la désinstallation de Wordfence.

On vérifie le droit d'écriture.

# ls -als /home/e-smith/files/ibays/Primary/html/.htaccess /home/e-smith/files/ibays/Primary/html/.user.ini

4 -rw-r--r-- 1 apache shared 1260 17 févr. 14:57 /home/e-smith/files/ibays/Primary/html/.htaccess
4 -rw-r----- 1 apache shared    1 13 févr. 13:05 /home/e-smith/files/ibays/Primary/html/.user.ini

Script droits_ibay.sh

On s'assure que le propriétaire, le groupe, les droits et permissions sont ce qu'ils devraient être en lançant, pour une dernière fois, le script droits_ibay.sh.

  Modifier le nom de l'i-bay si WordPress n'est pas installé dans l'i-bay Primary.

# droits_ibay.sh Primary

Vous avez bien spécifié l'i-bay:  "/home/e-smith/files/ibays/Primary"?  o/n [o]: [Entrée]

********** Répertoire des thèmes **********
...
********** Répertoire des extensions **********
...
********** Répertoire racine **********
...

Utilisation du serveur de développement

Comme nous le voyons sur le diagramme ci-dessous, le Serveur SME dev.micronator-101.com appartient au même domaine que le Serveur SME passerelle sme-9.micronator-101.com.

Si, du poste de travail, on tentait de se rendre au serveur dev.micronator-101.com en spécifiant http(s)://www.micronator-101.com, c'est le serveur sme-9.micronator-101.com qui répondrait.

Serveurs DNS du domaine

Pour trouver le nom de notre domaine du serveur dev.micronator-101.com:

• On se logue dans le gestionnaire Server Manager.
• On clique Domaines.
• Le nom exact du domaine de notre site est: micronator-101.com.

• - Le paramètre "Serveurs DNS du domaine" est à: Résolu localement.
  - Pour tous les sites hébergés dans une autre i-bay que Primary, "Serveurs DNS du domaine" doit aussi être à: Résolu localement qu'ils aient un domaine FQDN ou non.

Fichier hosts pour répondre aux requêtes DNS

Modification du fichier hosts de la station de travail

  Pour pouvoir accéder à notre site LOCAL avec son FQDN, il nous faut faire quelques "passes croches".

Référence: https://fr.wikipedia.org/wiki/Hosts.

Le fichier hosts est un fichier utilisé par le système d'exploitation d'un ordinateur lors de l'accès à un réseau, comme Internet par exemple. Son rôle est d'associer des noms d'hôtes à des adresses IP. Lors de l'accès à une ressource réseau par nom de domaine, ce fichier est consulté avant l'accès au serveur DNS et permet au système de connaître l'adresse IP associée au nom de domaine sans avoir recours à une requête DNS.

  Si nous n'avons pas de serveur DNS sur le réseau LOCAL, on peut faire des entrées dans le fichier hosts de la station de travail et y indiquer les adresses IP de notre Serveur SME local.

Sur une station Windows, le fichier hosts se trouve dans le répertoire: C:\Windows\System32\drivers\etc\.

Clac (clic droit) sur le fichier  >  Propriétés.

Le fichier est en Lecture seule, on décoche ce paramètre  >  OK.

  Pour une station Linux, le fichier hosts réside dans le répertoire /etc.

  Pour simplifier l'édition et surtout la sauvegarde du fichier hosts on édite avec NotePad++.

On y ajoute l'adresse IP avec le nom du "domaine" de notre site virtuel (ajouts en rouge et en magenta).

...
# localhost name resolution is handled within DNS itself.
#   127.0.0.1       localhost
#   ::1             localhost

#  Modifications pour l'installation de WordPress/Wordfence
192.168.1.11  dev.micronator-101.com
192.168.1.11  www.dev.micronator-101.com

# Start of entries inserted by Spybot - Search & Destroy
127.0.0.1    www.007guard.com
127.0.0.1    007guard.com
...

• Lors de la sauvegarde avec NotePad++, un message sera affiché disant que le fichier est protégé et demandera si on veut lancer NotePad++ en mode Administrateur.
  Répondre Oui et on sera retourné à NotePad++ mais, dans le mode Administrateur.
• À l'écran suivant "Voulez-vous autoriser le programme suivant à apporter des modifications à cet ordinateur", cliquer Oui.
  Relancer la sauvegarde du fichier car, le fichier n'a pas été sauvegardé lors de la première tentative.

  Après les modifications, ne pas oublier de remettre le fichier en "Lecture seule".

Vidange du cache DNS

Sur la station de travail, on ouvre un écran de commande et on vide le cache DNS de la station.

C:\Users\michelandre> ipconfig /flushdns

Configuration IP de Windows

Cache de résolution DNS vidé.

C:\Users\michelandre>

Vidange de l'historique

  On vidange l'historique de notre navigateur.

• Supprimer l'historique récent...
• Effacer maintenant.

Témoins et JavaScript

  On active les témoins (cookies) et JavaScript de notre navigateur Web.

Accès à notre site LOCAL

On accède à notre site en spécifiant http(s)://dev.micronator-101.com.

• †  On accède très bien à notre site LOCAL mais, le cadenas n'est pas vert.
  Ceci est dû au nom du domaine pour lequel le certificat a été créé dans le document Cahier-4: Certificat Let’s Encrypt, https://wiki.contribs.org/SME-101.04_Certificat_Let%27s_Encrypt#Obtention_d.27un_certificat_pour_un_serveur_local.
  On règle ce contre-temps du certificat au prochain paragraphe: #Demande d'un nouveau certificat Let's Encrypt.

• ††  Lorsque la page d'accueil du site s'affiche, l'URL change pour 192.168.1.11.
  Ceci est dû à ce que nous nous sommes rendu à cette URL pour lancer l'installation de WordPress, de la même manière que nous nous sommes rendu à https://www.micronator-101.com/ pour lancer l'installation de WordPress sur le Serveur SME de l'Étudiant-1 dans le Cahier-5A: SME & WordPress, https://wiki.contribs.org/SME-101.05A_WordPress#Installation_de_WordPress.
  On règle cette petite contrariété au paragraphe #Modifications du fichier de configuration: wp-config.php.

Demande d'un nouveau certificat Let's Encrypt

Vérification préalables

□  Présence de la clé ssh pour l'utilisateur root.

# ls -als /root/.ssh/id_rsa*

4 -rw------- 1 root root 1675  4 oct.  20:33 /root/.ssh/id_rsa
4 -rw-r--r-- 1 root root  390  4 oct.  20:33 /root/.ssh/id_rsa.pub

□ Port ssh.

# cat /root/.ssh/config

Host 192.168.1.1
     Port 2222

□ Connexion au serveur passerelle.

# ssh root@192.168.1.1

...
[root@dorgee ~]#

On sort de la connexion au serveur passerelle et on revient à la console de notre serveur LOCAL.

[root@dorgee ~]# exit

logout
Connection to 192.168.1.1 closed.
[root@dev ~]#

□ Configuration de dehydrated.

# cat /etc/dehydrated/config

#!/bin/bash
WELLKNOWN="/home/e-smith/files/ibays/Primary/html/.well-known/acme-challenge"
CA="https://acme-v01.api.letsencrypt.org/directory"
BASEDIR="/etc/dehydrated"
CONTACT_EMAIL=admin@micronator.org
HOOK="/usr/bin/hook-script.sh"

PARAM_ACCEPT_TERMS="yes"

Toutes les configurations pour Let's Encrypt sont correctement paramétrées.

□ CNAME chez le registraire du domaine micronator-101.com.

• Tous les CNAME nécessaires pour le serveur dev.micronator-101.com sont bien définis.

□ On examine le fichier /etc/dehydrated/domains.txt.

# cat /etc/dehydrated/domains.txt

micronator-101.com ftp.micronator-101.com mail.micronator-101.com proxy.micronator-101.com wpad.micronator-101.com www.micronator-101.com

Tout est pour le domaine micronator-101.com seulement. Il faut modifier le fichier.

Modification du fichier /etc/dehydrated/domains.txt

Même si nous spécifiions dev comme domaine dans la commande:

# db domains setprop dev.micronator-101.com letsencryptSSLcert enabled

Le client dehydrated prendrait seulement la partie micronator-101.com comme nom de domaine.

  Il faut insérer les nouveaux CNAME directement dans le fichier /etc/dehydrated/domains.txt et mettre dev.micronator-101.com au début de la ligne car, Let's Encrypt octroie le certificat au nom du premier paramètre du début de la ligne du fichier.

  Ces insertions doivent se faire après la configuration du client dehydrated, juste avant la demande du certificat sinon, toute modification d'un des paramètres régénérerait un nouveau fichier domains.txt.

Prendre tout le contenu de l'encadré pour la commande. (On remplace le contenu ">").

cat > /etc/dehydrated/domains.txt <<'EOT'
dev.micronator-101.com ftp.dev.micronator-101.com mail.dev.micronator-101.com proxy.dev.micronator-101.com wpad.dev.micronator-101.com www.dev.micronator-101.com
EOT

  La ligne débutant par dev.micronator-101.com... est obligatoirement sur une seule et unique ligne.

On vérifie.

# cat /etc/dehydrated/domains.txt

dev.micronator-101.com micronator-101.com ftp.dev.micronator-101.com mail.dev.micronator-101.com proxy.dev.micronator-101.com wpad.dev.micronator-101.com www.dev.micronator-101.com

  Il n'y a pas de ligne vide avant la ligne dev.micronator-101.com... Ci-dessus, nous avons inséré une ligne vide pour faciliter la copie de la commande.

Lancement du script dehydrated

On lance la demande de certificat. Le paramètre -x n'est pas nécessaire car, le fichier domains.txt a été modifié.

# dehydrated -c

Processing dev.micronator-101.com with alternative names: micronator-101.com ftp.dev.micronator-101.com mail.dev.micronator-101.com proxy.dev.micronator-101.com wpad.dev.micronator-101.com www.dev.micronator-101.com
 + Checking domain name(s) of existing cert... changed!
 + Domain name(s) are not matching!
 + Names in old certificate: micronator-101.com ftp.micronator-101.com mail.micronator-101.com micronator-101.com proxy.micronator-101.com wpad.micronator-101.com www.micronator-101.com
 + Configured names: dev.micronator-101.com ftp.dev.micronator-101.com mail.dev.micronator-101.com micronator-101.com proxy.dev.micronator-101.com wpad.dev.micronator-101.com www.dev.micronator-101.com
 + Forcing renew.
 + Checking expire date of existing cert...
 + Valid till Jan 14 21:18:04 2019 GMT (Longer than 30 days). Ignoring because renew was forced!
 + Signing domains...
 + Generating private key...
 + Generating signing request...
 + Requesting challenge for dev.micronator-101.com...
 + Requesting challenge for micronator-101.com...
 + Already validated!
 + Requesting challenge for ftp.dev.micronator-101.com...
 + Requesting challenge for mail.dev.micronator-101.com...
 + Requesting challenge for proxy.dev.micronator-101.com...
 + Requesting challenge for wpad.dev.micronator-101.com...
 + Requesting challenge for www.dev.micronator-101.com...
e7imMr0VmmDz-nZS8yYPvsWOUML2qy2No9s636FX8hs               100%   87     0.1KB/s   00:00
 + Responding to challenge for dev.micronator-101.com...
 + Challenge is valid!
...
UkPsa6hjb7y-v6bnWfB_6HhbpHhSzysShVfFA3uEBHI               100%   87     0.1KB/s   00:00
 + Responding to challenge for www.dev.micronator-101.com...
 + Challenge is valid!
...
 + Requesting certificate...
 + Checking certificate...
 + Done!
 + Creating fullchain.pem...
 + Using cached chain!
Set up modSSL db keys
Signal events
All complete
 + Done!

Aucune erreur, tout a bien fonctionné.

Modifications du fichier de configuration: wp-config.php

Dans le fichier wp-config.php, on définit de nouveaux paramètres: WP_HOME, WP_SITEURL et RELOCATE pour une relocalisation de notre site.

  On peut utiliser les éditeurs vi ou NotePad++ pour éditer le fichier.

Dans le fichier wp-config.php, on ajoute les lignes en rouge après le ligne define ('WP_DEBUG', false);.

define('WP_DEBUG', false);

define( 'WP_HOME', 'https://www.dev.micronator-101.com' );
define( 'WP_SITEURL', 'https://www.dev.micronator-101.com' );
define( 'RELOCATE', true );

Vérification

On se rend à l'URL de notre site: https://dev.micronator-101.com/.

Le cadenas est vert et l'URL n'a pas changé. Par contre, si on utilisait https://www.micronator-101.com, l'URL changerait pour https://dev.micronator-101.com/.

On vérifie le certificat.

• Après avoir accepté le certificat, on clique le cadenas puis, l'icône >.
• Plus d'informations.
• Afficher le certificat.

• - Émis pour: dev.micronator-101.com.
  - Émis par: Let's Encrypt Authority X3.
  - Détails.
• - Nom alternatif du sujet du certificat.
  - Tous nos domaines sont là.
  - Fermer toutes le fenêtres.

Conclusion

Dorénavant, pour accéder à notre site LOCAL, il faut utiliser l'URL: https://dev.micronator-101.com/.

  Victoire totale, hissons la bannière de la victoire.

---