Comment arrêter les pirates dans leurs pistes avec Defender


Defender dissuade les pirates informatiques avec l’interdiction IP, le verrouillage de la connexion, la mise à jour des clés de sécurité, l’autorisation à deux facteurs, etc. Découvrez les fonctionnalités de sécurité robustes de Defender qui empêchent les pirates de valser directement sur votre site WordPress.

Aucun pirate ne dépasse le défenseur!

Défenseur est la réponse de WPMU DEV à la sécurité WordPress.

Notre puissant plugin 5 étoiles offre une sécurité complète pour vos sites WordPress et vous apporte la tranquillité d’esprit en dissuadant les attaques par force brute, les injections SQL, les scripts cross-site XSS et en empêchant les pirates d’exploiter les vulnérabilités de WordPress.

«Defender a récemment bloqué plus de 3000 attaques en une semaine sans aucun impact notable sur le site Web. WPMUDEV l’a fait sortir du parc sur celui-ci. » – David Oswald

Defender ajoute le meilleur de la sécurité WordPress à votre site Web en quelques clics.

Afin d’empêcher les pirates d’entrer, Defender configure de puissantes mesures de sécurité, notamment pour vous permettre de:

Tweaks de sécurité

Dès le départ, Defender fournit un certain nombre de Tweaks de sécurité dans le tableau de bord, ce qui vous permet de résoudre facilement tous les problèmes qui pourraient être exploités par les pirates et de compromettre la sécurité de votre site en un seul clic.

Pour vous aider à rester au top de vos réglages de sécurité, Defender fournit une liste de contrôle de tous les problèmes à corriger et les met en évidence en jaune…

Defender - Security Tweaks - Problèmes
Le défenseur met en évidence tous les problèmes en jaune.

Et marque tous les problèmes résolus en vert …

Defender Security Tweaks - Resolved
Les ajustements de sécurité ont été résolus et ne posent plus de problème.

Passons en revue certains de ces ajustements de sécurité en un clic …

Désactiver les rétroliens et les pingbacks

Defender peut empêcher les trackbacks et les pingbacks de provoquer Attaques DDoS et les commentaires indésirables.

Cliquez simplement sur le Désactiver les pingbacks bouton.

Désactivez les rétroliens et les pingbacks.
Désactivez les rétroliens et les pingbacks.

Modifier le préfixe de base de données par défaut

En un clic, vous pouvez modifier la valeur par défaut wp_ préfixe de base de données que WordPress attribue normalement à de nombreuses nouvelles installations.

Cela vous permet de définir un préfixe de base de données unique qui rendra plus difficile pour les pirates d’effectuer des attaques par injection SQL s’ils rencontrent une vulnérabilité de code sur votre site.

Il ajoute également une autre couche de difficulté à surmonter pour les pirates, protégeant davantage votre site WordPress.

Vous pouvez rapidement voir si cette fonction est activée ou désactivée dans le Problèmes ou Résolu section.

Votre préfixe de base de données par défaut est résolu.
Votre préfixe de base de données par défaut est résolu.

Désactiver l’éditeur de fichiers

Comme l’éditeur de fichiers est intégré à WordPress, toute personne possédant un compte administrateur peut modifier vos fichiers de thème et de plug-in et injecter du code malveillant.

La désactivation de l’éditeur de fichiers permet d’éviter cela et toute faille de sécurité dans votre administrateur qui pourrait devenir un problème.

Désactivez l'éditeur de fichiers.
Désactiver l’éditeur de fichiers est considéré comme un problème de sécurité. Cela peut être fait en cliquant sur un bouton.

Si c’est un problème, cliquez simplement sur Désactiver l’éditeur de fichiers dans le Problèmes section.

Désactivez le bouton de l'éditeur de fichiers.
Désactivez le bouton de l’éditeur de fichiers.

Le problème sera résolu et marqué comme Résolu.

Éditeur de fichiers désactivé.
Et maintenant, il est désactivé.

Masquer le rapport d’erreurs

Avec les réglages de sécurité en un clic de Defender, vous pouvez rendre votre site moins sujet aux attaques malveillantes en désactivant la fonctionnalité intégrée de débogage des erreurs PHP et scripts de WordPress.

Cette fonctionnalité affiche les erreurs de code sur le frontend de votre site Web, permettant aux pirates de trouver des failles dans la sécurité de votre site.

Masquer le rapport d'erreur est maintenant résolu.
Masquer le rapport d’erreur est maintenant résolu.

Mettre à jour les clés de sécurité

Comme WordPress utilise des clés de sécurité pour améliorer le cryptage des informations, avoir un mot de passe crypté aléatoire et imprévisible (par exemple 89080a8908908b098903c) peut rendre presque impossible pour les pirates de trouver la bonne combinaison.

Défenseur Mettre à jour les anciennes clés de sécurité La fonctionnalité vous permet de mettre à jour ces clés régulièrement et de définir un rappel de la fréquence à laquelle ut doit informer l’administrateur de les régénérer.

Où vous régénérerez les clés.
Où vous régénérerez les clés.

Une fois vos clés de sécurité régénérées, la mise à jour est alors automatiquement marquée comme Résolu.

Où il indique que les clés de sécurité sont mises à jour. En outre, vous pouvez définir un rappel ici pour réinitialiser à nouveau à l’avenir.

Empêcher la divulgation d’informations

Un autre clic automatisé de Defender Tweaks de sécurité est d’empêcher la divulgation de fichiers sensibles sur des serveurs qui ont été mal configuré, permettant aux utilisateurs malveillants d’accéder à votre site ou base de données WordPress.

Empêcher la divulgation d'informations.
Statut de la fonction de sécurité Empêcher la divulgation d’informations.

Empêcher l’exécution de PHP

Defender vous permet de désactiver l’exécution directe de PHP dans les répertoires qui ne le nécessitent pas, empêchant les vulnérabilités de plug-in ou de thème de permettre le téléchargement d’un fichier PHP nuisible dans les répertoires de votre site WordPress.

Résolu Empêcher l'exécution de PHP.
Résolu Empêcher l’exécution de PHP.

Vous pouvez également ajouter des exceptions aux fichiers PHP que vous souhaitez exécuter et contourner les mesures de protection de Defender.

Où les fichiers PHP exemptés peuvent être placés.
Où les fichiers PHP exemptés peuvent être placés.

Pare-feu

Le pare-feu de Defender ajoute une couche de protection renforcée contre les tentatives d’un pirate informatique d’accéder à votre site via des attaques par force brute.

Il comprend un certain nombre de mesures de sécurité, notamment:

Verrouillage de connexion

Defender verrouille tout utilisateur qui essaie de se connecter et échoue à plusieurs reprises à obtenir les bonnes informations d’identification.

Tableau de bord de verrouillage des connexions.
Tableau de bord des verrouillages de connexion de Defender.

Vous pouvez configurer des options de verrouillage de connexion telles que l’heure de verrouillage, le message de verrouillage et l’interdiction des noms d’utilisateur.

Réglage du seuil vous permet de spécifier le nombre de tentatives de connexion infructueuses autorisées par le défenseur au cours d’une période donnée avant de déclencher un verrouillage.

Seuil de verrouillage de la connexion
Dans cet exemple, Defender bannira les utilisateurs dont 5 tentatives de connexion ont échoué dans un délai de 5 minutes.

Vous pouvez définir durée du verrouillage ou du verrouillage permanent des utilisateurs incriminés.

Durée de verrouillage de la connexion.
Bannissez les utilisateurs temporairement ou définitivement.

Comme la plupart des fonctionnalités de Defender, vous pouvez personnaliser le message qui sera affiché pour les utilisateurs verrouillés.

Message de verrouillage de connexion personnalisable.
Personnalisez votre message pour les utilisateurs verrouillés.

Vous pouvez également verrouiller et interdire automatiquement les utilisateurs s’ils tentent de se connecter en utilisant des noms d’utilisateur courants (par exemple, admin).

Message de nom d'utilisateur interdit.
Defender se verrouille et interdit aux utilisateurs qui tentent de se connecter à l’aide d’un nom d’utilisateur interdit.

Détection 404

Le défenseur garde un œil sur les récidivistes. Ce sont généralement des robots qui explorent chaque lien de votre site essayer de trouver une zone d’administration principale pour qu’ils puissent faire des ravages ou des demandes à partir des mêmes adresses IP pour les pages de votre site WordPress qui n’existent pas.

Si cela se produit trop fréquemment, Defender empêchera les utilisateurs d’accéder à votre site.

Vous pouvez spécifier combien d’erreurs 404 au cours d’une période spécifique déclencheront un verrouillage et choisir la durée d’interdiction pour les utilisateurs incriminés, soit pour une période spécifique (en secondes, minutes ou heures) ou de manière permanente.

Pare-feu Defender - Détection 404.
Pare-feu Defender – Détection 404.

Vous pouvez également personnaliser le message affiché pour les utilisateurs verrouillés.

Message bloqué.
Ne laissez pas les pirates informatiques deviner pourquoi ils ont été exclus.

Défenseur Liste de blocage interdit automatiquement aux utilisateurs et aux robots d’accéder aux fichiers et dossiers que vous spécifiez.

Si un fichier ou un dossier commun de votre site Web est manquant, vous pouvez l’enregistrer dans le Liste d’autorisation zone. Toute tentative d’accès à ces informations ne comptera pas pour un verrouillage.

Pare-feu Defender - Détection 404 - Section Fichiers et dossiers
Interdisez ou autorisez les utilisateurs à accéder aux fichiers et dossiers.

Spécifier les types de fichiers et les extensions à interdire ou autoriser automatiquement est aussi simple que de les saisir dans les champs du plugin.

Pare-feu Defender - Détection 404 - Section Types de fichiers et extensions.
Interdisez automatiquement ou autorisez l’accès aux types de fichiers et aux extensions.

Defender surveille toutes les interactions sur votre site Web. Cependant, d’un simple clic, vous pouvez également choisir d’inclure ou d’exclure la surveillance des 404 des utilisateurs connectés.

Cliquez pour surveiller les 404 des utilisateurs connectés.
Cliquez pour surveiller les 404 des utilisateurs connectés.

Verrouillage IP de géolocalisation

Defender vous permet d’interdire le trafic de n’importe quel endroit, même d’une nation entière, si vous ne voulez pas que le trafic arrive sur votre site à partir de certains endroits. Le verrouillage IP de géolocalisation est un excellent bonus de sécurité supplémentaire qui empêche les utilisateurs situés dans des emplacements indésirables de se placer à proximité de votre site.

Interdiction IP dans Defender » Pare-feu arrête les visiteurs indésirables en quelques clics.

Defender - Firewall - IP Banning - Section Emplacements.
Bannissez les pays dont vous ne souhaitez pas que le trafic provienne pour protéger votre site contre les pirates informatiques à cet endroit.

Tu devras ouvrir un compte gratuit avec MaxMind pour accéder à la base de données GeoLite2 gratuite.

Après avoir confirmé votre compte et créé un mot de passe, vous pouvez générer une clé de licence.

Maxmind - Générer une clé de licence
Générez une clé de licence pour accéder à la base de données GeoIP.

L’ajout de cette clé de licence à Defender vous permet de télécharger, d’ajouter et d’accéder à la base de données GeoLite 2.

Defender - Section Emplacements - Licence de base de données GeoIP
Ajoutez votre clé de licence de base de données GeoIP pour télécharger la liste des pays.

Après l’activation réussie de la licence, la section Emplacement vous permettra de spécifier les pays à bloquer ou à laisser passer le trafic à partir d’un menu déroulant.

Defender Locations - Menu déroulant de la base de données GeoIP
Bloquer ou autoriser le trafic en provenance de pays sélectionnés.

Interdiction IP

Vous pouvez bloquer les adresses IP en les ajoutant à la liste noire de Defender. Les utilisateurs possédant ces adresses IP ne pourront pas visiter votre site WordPress et seront plutôt accueillis avec un message personnalisable.

Message de blocage IP.

Defender vous permet d’ajouter toutes les adresses que vous souhaitez interdire dans son IP bloquées et prend en charge les formats IPv4 et IPv6.

Adresses IP bloquées
Saisissez les adresses IP interdites que vous souhaitez bloquer.

Vous pouvez également autoriser les adresses IP et exempter les utilisateurs des règles d’interdiction pour la protection de la connexion, la détection 404 ou les listes d’interdiction IP.

Adresses IP autorisées.
Ajoutez des adresses IP autorisées.

Une fois que vous avez ajouté une liste active, Defender surveille ces IP. Il vous permet également de libérer toutes les adresses IP bloquées qui ont été interdites par inadvertance.

Defender - Pare-feu - Interdiction IP - Verrous actifs.
Débloquez les adresses IP interdites.

De plus, vous pouvez facilement importer et exporter toutes les données de liste que vous avez déjà compilées vers et depuis Defender en un seul clic.

Defender - Firewall - IP Banning - Importer et exporter des listes d'adresses IP.
Importez et exportez facilement des listes d’adresses IP.

Pare-feu d’application Web (WAF)

Si vous hébergez votre site Web avec WPMU DEV, un pare-feu d’application Web est activé via Defender, ajoutant une couche initiale de protection contre les pirates et les robots avant même qu’ils ne puissent atteindre votre site.

Si des vulnérabilités correspondent à nos Jeu de règles de filtres WAF couvrant les attaques courantes, tous les fichiers vulnérables de votre cœur, plug-ins ou thèmes WordPress seront virtuellement corrigés, tout en respectant toutes les règles définies dans le pare-feu de Defender.

Pare-feu d'application Web Defender
WAF bloque les pirates et les attaques de robots avant même qu’ils n’atteignent votre site!

Authentification à deux facteurs (2FA)

Defender améliore la sécurité de votre site WordPress en ajoutant une étape supplémentaire dans le processus de connexion avec une authentification à deux facteurs. Cela rend extrêmement difficile pour un pirate de se connecter à votre compte.

Activer l’authentification à deux facteurs

Avec un clic du Activer , vous pouvez configurer les paramètres d’authentification. Tous les paramètres recommandés sont activés par défaut et vous aurez de nombreuses options.

Vous pouvez attribuer Rôles d’utilisateur qui nécessitera 2FA en cliquant sur chacun d’eux.

Section des rôles d'utilisateur 2FA
Defender vous permet de spécifier quels rôles d’utilisateur nécessitent 2FA.

Si tu as un Téléphone perdu, vous pouvez activer ce paramètre pour envoyer le code d’authentification à l’adresse e-mail de l’utilisateur à la place. Vous pouvez également Forcer l’authentification qui forcera les utilisateurs à activer 2FA et à créer Graphiques personnalisés au lieu d’utiliser l’icône Defender par défaut.

Options de téléphone perdu, d'authentification forcée et de graphique personnalisé.
Configurez les options Téléphone perdu, Forcer l’authentification et Graphique personnalisé.

Defender utilise le Google Authenticator app. Les instructions de téléchargement et de configuration se trouvent dans le tableau de bord du profil utilisateur, vous permettant d’installer facilement l’application sur votre appareil depuis l’App Store ou Google Play.

Instructions de configuration 2FA.
Activez 2FA sur votre profil utilisateur pour accéder aux instructions de configuration.

2FA fonctionne en scannant le code-barres et en entrant le code d’accès à 6 chiffres affiché sur votre appareil.

Authentificateur Google.
Écran d’authentification Google.

La fonction 2FA de Defender ajoute la première couche de sécurité et de protection impénétrable contre les pirates.

Zone d'authentification bidirectionnelle pour Defender.
Pas de mot de passe, pas d’accès.

Defender fournit deux outils avancés pour améliorer la sécurité du site et empêcher les pirates d’accéder à votre site:

  • Zone de connexion masquée: Remplacez le chemin URL de votre écran de connexion par autre chose que la valeur par défaut wp-admin.
  • En-têtes de sécurité: Activez les en-têtes de sécurité pour ajouter une couche de sécurité supplémentaire à votre site Web.

Jetons un coup d’œil à la facilité avec laquelle il est difficile pour les pirates de trouver votre écran de connexion:

Masquage de connexion

Avec Defender, vous pouvez facilement modifier votre URL par défaut pour masquer (masquer) votre zone de connexion, empêchant les pirates et les robots de localiser et d’accéder à votre URL de connexion.

Vous pouvez choisir votre propre URL de connexion au masque et saisir le slug que vous souhaitez (par exemple, “my-awesome-login”). Nous vous recommandons de choisir une URL de connexion que les bots trouveront presque impossible à deviner.

Zone de connexion du masque - Masquage inactif.
Créez une nouvelle URL de connexion que les bots ne pourront pas deviner.

Configurer votre nouvelle URL de connexion sécurisée renforcée est aussi simple que d’entrer un nouveau slug et de cliquer Sauvegarder les modifications.

Zone de connexion du masque - Masquage actif.
Votre site WordPress dispose désormais d’une nouvelle URL de connexion.

Defender rend plus difficile le piratage de WordPress et plus facile pour les pirates d’aller ailleurs

Avec Defender surveillant votre site WordPress 24/7, les pirates n’ont aucune raison de rester.

Defender renforce votre sécurité et arrête les pirates sur leurs traces. En fait, Defender résout automatiquement de nombreux problèmes de sécurité courants dès que vous activez le plugin.

Defender protège votre site contre les pirates et les robots malveillants avant même de visiter votre site avec WAF, vous permet d’effectuer des ajustements de sécurité en un clic, puis de surveiller et de surveiller en permanence le périmètre avec des fonctionnalités avancées de renforcement de la sécurité comme le masquage de connexion, l’authentification à deux facteurs, les logiciels malveillants l’analyse, la journalisation d’audit et la protection par pare-feu.

Pour en savoir plus sur la sécurité WordPress, consultez notre Guide ultime de la sécurité WordPress.

Pour plus d’informations sur le fonctionnement de Defender, consultez la documentation du plug-in.

Gardez également un œil sur notre feuille de route pour toutes les nouvelles fonctionnalités passionnantes à venir bientôt sur Defender, le plugin de sécurité WordPress ultime.