Sécurité : conseils pour protéger votre site web

Les 17 meilleurs conseils pour protéger votre site web

1. Mettez à jour tous les scripts et plugins Vérifiez chaque application web, plugin ou module que vous utilisez. Installez toujours les dernières versions stables. Consultez Secunia ou le site de votre éditeur pour connaître les vulnérabilités connues.
   
   
2. Auditez vos fichiers Comparez vos fichiers en production avec une sauvegarde saine. Supprimez tout fichier inconnu ou toute trace d'installation avant qu'ils ne puissent être exploités.
   
   
3. Utilisez des mots de passe robustes Choisissez des mots de passe longs, mêlant différents types de caractères (lettres, chiffres, symboles). Évitez les mots du dictionnaire ou les phrases prévisibles.
   
   
4. Séparez les utilisateurs de base de données Créez un utilisateur MySQL distinct pour chaque application. Ne réutilisez jamais l'identifiant et le mot de passe principaux de votre compte cPanel dans vos scripts.
   
   
5. Archivez vos journaux bruts Dans le Gestionnaire de journaux bruts (Raw Log Manager) de cPanel, activez l'archivage des journaux. Les journaux conservés vous aident à retracer la manière dont un attaquant a pu pénétrer sur votre site.
   
   
6. Maintenez à jour les modifications personnalisées Si vous avez ajouté des modifications tierces, vérifiez qu'elles sont activement maintenues et mises à jour, au même titre que votre application principale.
   
   
7. Filtrez toutes les entrées Validez chaque champ de formulaire, paramètre d'URL ou cookie avant de l'utiliser. N'incluez jamais de fichiers et n'exécutez jamais de commandes à partir de données utilisateur non vérifiées.
   
   
8. Évitez register_globals Les applications reposant sur les fonctions de PHP’s register_globals de PHP sont plus vulnérables. Choisissez des logiciels conformes aux standards actuels de PHP.
   
   
9. Protégez-vous contre l'injection d'en-têtes d'e-mail Si vous envoyez des e-mails depuis des scripts, supprimez les sauts de ligne des champs fournis par l'utilisateur (destinataire, objet, en-têtes) avant l'envoi.
   
   
10. Maintenez à jour vos applications open source Les logiciels open source sont gratuits, mais vous devez appliquer rapidement les correctifs de sécurité, sous peine de perte de données et de piratage de votre site.
    
    
11. Ne présumez pas que la sécurité est acquise durablement Ce n'est pas parce que votre site fonctionne depuis des années sans incident qu'il est sécurisé. De nouvelles failles apparaissent constamment.
    
    
12. Restreignez les permissions des fichiers de configuration Définissez pour les fichiers contenant des identifiants de base de données les permissions 660 (lecture/écriture pour le propriétaire et le groupe). Les dossiers doivent avoir les permissions 755, les fichiers PHP/HTML 644.
    
    
13. Limiter l'accès administratif par adresse IP Dans la mesure du possible, restreignez wp-admin, /admin ou tout autre chemin d'administration à des adresses IP précises, ou protégez-les par un second mot de passe.
    
    
14. Sécuriser les téléversements de fichiers Autorisez les téléversements uniquement vers des dossiers non publics (en dehors de public_html) et uniquement pour des utilisateurs de confiance. Analysez ou validez les fichiers avant de les rendre accessibles.
    
    
15. Contrôler la redirection d'URL et le webmail Empêchez les redirections ouvertes et l'accès non restreint au webmail. Exigez une connexion ou un contrôle d'adresse IP afin d'empêcher les spammeurs d'abuser de votre site.
    
    
16. Protéger par mot de passe les fonctionnalités expérimentales Si vous testez un nouveau script ou une nouvelle fonctionnalité que vous ne pouvez pas maintenir à jour, protégez-le immédiatement par un mot de passe.
    
    
17. Utiliser des permissions de fichiers appropriées sur un hébergement mutualisé Sur les serveurs suPHP, évitez les fichiers ou dossiers accessibles en écriture à tous. Répertoires : 755; PHP/HTML : 644; CGI/PERL : 755.

En suivant ces bonnes pratiques, vous réduirez votre exposition aux menaces web courantes et protégerez votre site—ainsi que vos visiteurs—.