Sécurité WordPress : prévenir les attaques par force brute sur la connexion à l'administration

Pourquoi WordPress est-il ciblé ?

WordPress est l'une des solutions de création de sites web les plus utilisées sur Internet aujourd'hui. Par conséquent, il est aussi très souvent la cible d'activités malveillantes. Récemment, on observe une augmentation des attaques par force brute visant à obtenir un accès à WordPress avec des droits d'administrateur. Cela s'explique en partie par la nature de WordPress et par la manière dont il est devenu la solution que l'on connaît aujourd'hui. À l'origine, WordPress a été conçu comme un simple logiciel de blogging. Pourtant, il est souvent utilisé à bien d'autres fins : commerce en ligne, forums, journaux personnels, etc. Ces sites deviennent ainsi des cibles plus intéressantes. Les pirates cherchent souvent soit à perturber ce trafic, soit à récupérer d'une manière ou d'une autre des informations sur ces sites.

Qu'est-ce qu'une attaque par force brute ?

L'une des méthodes permettant d'obtenir des informations, principalement des identifiants de CONNEXION, est l'attaque par FORCE BRUTE. Comme son nom l'indique, l'attaque n'est pas dissimulée et n'a rien d'efficace : on pourrait la comparer à une approche « au fusil de chasse ». Elle consiste simplement à solliciter le serveur à la recherche d'une seule chose : les identifiants de connexion corrects de votre site WordPress. Les pirates infectent souvent d'autres systèmes informatiques, puis les configurent pour tenter de se connecter à l'espace administrateur de WordPress. L'illustration ci-dessous montre comment le trafic d'attaque peut provenir de nombreuses sources et se mêler au trafic normal du site. L'attaque peut aussi provenir d'une seule source, mais la méthode pour tenter de déchiffrer la connexion reste la même : une recherche séquentielle de vos identifiants. Les attaques par force brute peuvent également augmenter la consommation de ressources du site. Elles ne cherchent donc pas seulement à percer votre sécurité : elles font aussi grimper la consommation de ressources lorsque de multiples tentatives de connexion à WordPress ont lieu.

--


Prévenir les attaques par force brute sur WordPress

Comme WordPress n'est plus utilisé uniquement comme solution de blogging, les propriétaires de sites WordPress accordent moins d'attention à la gestion des utilisateurs. Cela peut également contribuer au problème. Les administrateurs de sites WordPress devraient changer régulièrement leurs mots de passe et passer en revue la liste des utilisateurs afin de s'assurer qu'aucune personne non autorisée n'y a été ajoutée, en particulier avec des droits d'administrateur. Certains sites WordPress n'exigent pas non plus que les visiteurs s'inscrivent pour publier des commentaires ou effectuer d'autres actions. Pour empêcher les accès non autorisés, nous vous recommandons ce qui suit :

• Bloquez l'accès à WP-LOGIN.PHP à l'aide du fichier HTACCESS en exigeant un mot de passe supplémentaire
• Bloquez l'accès à WP-LOGIN.PHP à l'aide du fichier HTACCESS en n'autorisant qu'une adresse IP ou une plage d'adresses IP spécifique
• Recherchez une extension qui bloque l'accès à la page de connexion après un certain nombre de tentatives. L'extension doit ensuite imposer un délai d'inaccessibilité avant d'autoriser une nouvelle tentative de connexion.

Nous recommandons les deux premières méthodes utilisant le fichier .htaccess, car elles contribuent à éviter une consommation excessive de ressources.
Cette garantie n'existe pas avec une extension, sauf si celle-ci peut limiter l'accès quel que soit le nombre de tentatives de connexion effectuées. Les informations suivantes présentent des exemples de code pour le fichier .htaccess correspondant aux solutions énumérées ci-dessus

Méthode .HTACCESS pour refuser la connexion des utilisateurs à l'aide d'un mot de passe supplémentaire pour l'accès à wp-login :
Remarque : le code ci-dessous doit se trouver dans le fichier .htaccess situé à l'emplacement où vous avez installé WordPress

<FilesMatch "\.wp-login.php$">
AuthName "WordPress"
AuthType Basic
AuthUserFile /home/username/.htpasswd
Require valid-user
</FilesMatch>

Méthode .HTACCESS pour refuser la connexion des utilisateurs en fonction d'une adresse IP ou d'une plage d'adresses IP spécifique :
Remarque : le code ci-dessous doit se trouver dans le fichier .htaccess situé dans le dossier WP-ADMIN. Si vous n'en voyez pas, créez un fichier texte vide, nommez-le .htaccess et enregistrez-le dans le dossier wp-admin

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Admin Access Only"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# whitelist Admin 1 IP address
allow from xx.xx.xx.xxx
# whitelist Admin 2 IP address
allow from xx.xx.xx.xxx
</LIMIT>