Bloquer les IP qui tentent de forcer l’entrée de votre blog WordPress

Cet article était déjà rédigé et prêt à être publié lorsque j’ai trouvé ce matin deux articles (en anglais) relatant des attaques massives qui se déroulent en ce moment même contre les blogs WordPress. À voir ici et ici.

Mon sujet tombe donc juste à propos. Car il s’agit bien de bloquer les IPs qui diffusent des robots agressifs cherchant à pénétrer à l’intérieur de nos blogs pour y mettre le bazar. Et j’ai bien constaté depuis quelques jours que ça y allait grave… 🙁

La solution que je donne plus loin n’est pas forcément LA solution ultime, mais pour ce qui me concerne, je la trouve plutôt efficace (en temps normal) bien qu’un peu contraignante.

À la toute fin de cet article, je vous donnerai une autre solution, pas encore testée, mais que je vais m’empresser d’essayer histoire de ne plus perdre trop de temps à bloquer cet afflux massif d’IPs malveillantes.

Pourquoi faut-il sécuriser son blog WordPress ?

La sécurité sur WordPress, plus on en parle et mieux c’est. Seulement, comment appréhender un problème dont on n’a même pas idée ?

Ceux qui se sont fait hacker l’ont compris après-coup, mais qui les avait prévenus avant que ça n’arrive ? Il paraît même qu’il existe des « formations » pour WordPress qui n’abordent même pas les questions de sécurité… on croit rêver !

De fait, quand on n’est pas au courant que WordPress ressemble à un gruyère, on n’a aucune raison de s’inquiéter. Pourtant, des articles ou des tutos qui abordent les problèmes de sécurité, dès lors qu’on s’intéresse un peu à WordPress et si on se donne un peu la peine de chercher, il y en a plein !

Alors bien sûr, aucun d’entre eux n’est super complet ou parfait, et d’ailleurs, qui pourrait prétendre à cela ? Il existe plusieurs catégories de problèmes de sécurité dans WordPress et il est très difficile, voire impossible, de tout couvrir dans un seul article.

Il existe aussi une quantité phénoménale de plugins gratuits dédiés à la sécurité de nos chers blogs dont certains offrent des fonctionnalités avancées moyennant finance. La plupart des plugins gratuits répertoriés dans la majorité des articles un peu sérieux sont suffisants pour protéger un blog. Ensuite, c’est à chacun de voir selon son degré de paranoïa ! 😀

De toute façon, tôt ou tard, une digue que l’on croyait bien protégée cède sous les attaques d’un développeur plus rusé que les autres… c’est malheureusement inhérent à Internet, il faut faire avec. 🙁

Une liste de plugins de sécurité à installer sur vos blogs

Bien que ce ne soit pas le sujet central de cet article, je peux vous donner tout de suite la liste des plugins de sécurité que j’utilise moi-même sur tous mes blogs. Je n’ai jusqu’à présent eu aucun problème, mais je ne peux en aucun cas garantir que mes blogs sont protégés à 100 %. Disons prudemment qu’ils sont mieux protégés que beaucoup d’autres blogs.

Voici donc cette liste et ensuite je vous expliquerai par quel moyen je bloque les IPs qui cherchent à forcer l’entrée de mes blogs par l’intermédiaire de « robots ».

Je précise que j’installe ces plugins en priorité avant de faire quoi que ce soit d’autre chaque fois que j’installe un blog. C’est devenu un réflexe.

• AntiVirus
• Limit Login Attempts
• Secure WordPress
• Sucuri Security – SiteCheck Malware Scanner
• TimThumb Vulnerability Scanner
• Wordfence Security
• WP Security Scan

Plusieurs de ces plugins ont des fonctionnalités qui font double emploi, mais chacun d’eux peut apporter des informations complémentaires, donc des garanties supplémentaires.

Mais avant même de parler d’installer une batterie de plugins défensifs, il faut commencer par le commencement.

Trois choses à faire pour limiter ou bloquer l’accès à votre blog

#1

Installer WordPress, c’est facile. Mais la première précaution à prendre, il est toujours bon de le rappeler, c’est de ne JAMAIS laisser « admin » comme nom d’utilisateur par défaut. Vous comprendrez mieux pourquoi plus loin dans cet article.

Lorsque vous faites une installation, créez tout de suite un nom d’utilisateur compliqué d’une dizaine de caractères alphanumériques, minuscules et majuscules mélangées.

Si vous avez créé votre blog avec « admin », je ne peux que vous encourager à vous créer un nouveau profil d’administrateur avec un nouveau nom d’utilisateur et à supprimer ensuite votre ancien profil. Faites-le tout de suite si vous pouvez, ça vous prendra exactement 5 minutes. Voilà déjà une bonne chose de faite.

En laissant « admin », vous facilitez le boulot de tous les robots qui s’amusent à vouloir entrer sur votre blog : en somme, vous leur épargnez de se casser les dents sur la première devinette, la seconde étant de trouver votre mot de passe.

#2

Maintenant, vous allez comprendre pourquoi c’est important de ne laisser aucun profil avec « admin » comme nom d’utilisateur. Lorsque vous installez Limit Login Attempts, au bout d’à peine quelques jours, vous allez vous rendre compte que la page de connexion à votre blog a reçu de la visite.

Soit dit en passant, si vos statistiques explosent de manière inattendue, c’est suspect. Posez-vous les bonnes questions avant de vous caresser l’ego. 😉

Regardez plutôt…

…

Etc. En tout, ce sont 94 adresses IPs différentes qui ont envoyé des robots pour tenter de s’introduire plusieurs fois sur ce blog depuis sa réinstallation… qui date de moins de quinze jours !!! C’est dément !

Et vous pouvez facilement voir que tous ces indésirables ont utilisé « admin » pour forcer l’entrée. Donc voilà : CQFD.

Pas vraiment malins les machins. Et un peu bas de plafond. Mais cela démontre aussi que de très nombreux blogs ont été installés avec « admin » par défaut.

Quand on ne sait pas, on ne peut pas deviner. Cette erreur, je l’ai faite aussi dans mes premières installations. J’avais même trouvé à l’époque des tutos qui disaient que laisser « admin », ça n’avait pas grande importance. Les temps ont bien changé depuis.

Pour continuer à l’étape suivante, copiez toutes ces adresses IP, collez-les sur un bloc-notes et sauvegardez ce fichier sur votre ordinateur. Vous serez contents de le retrouver si un jour vous devez réinstaller votre blog.

Continuons.

#3

Si vous avez installé Wordfence Security, vous allez trouver un onglet dans le menu du plugin qui indique Blocked IPs. Rendez-vous sur la page en question.

Maintenant, si votre liste d’IPs est importante, réservez-vous un bon moment de détente, vous allez voyager pour pas cher ! Installez-vous au coin du feu, branchez-vous sur une série américaine, écoutez votre émission de radio préférée… zou, c’est parti !

Inscrivez chaque IP dans le champ signalé dans l’image ci-dessous et cliquez sur le bouton « Manually block IP ». Vous allez voir, c’est assez jouissif. 😀

***

Fastidieux aussi, oui, je vous l’accorde. Mais bigrement efficace. Parce que ces IPs bloquées n’auront plus accès à votre blog du tout.

Mais n’ayez aucun regret, car ces « visiteurs » n’ont aucun intérêt pour vous, ce ne sont pas des lecteurs/prospects/clients potentiels. Et de toute façon, qu’auriez-vous à faire de « gens » qui ne cherchent qu’à forcer l’entrée de votre blog ?

D’ailleurs, si vous revenez sur cette page quelque temps après avoir bloqué ces IPs, vous verrez dans la colonne de droite qu’elles ont été effectivement bloquées plusieurs fois, ce qui montre à quel point « elles » sont têtues en plus d’être stupides. Jusqu’au moment où – on peut toujours rêver ! – les petits robots (ou quoi que ce soit d’autre) envoyés par ces IPs iront jouer ailleurs.

Alors, même si cette petite manipulation est en soi assez barbante, amusez-vous plutôt à regarder défiler les pays d’origine des robots… Vous allez rapidement vous prendre au jeu « tiens, j’l’avais pas encore çui-là ». Vous savez, un peu comme quand on était gosses et qu’on s’échangeait des images… 😉

Trêve de plaisanterie, c’est un truc de dingue… et c’est sans fin ! Car vous en trouverez toujours de nouvelles. Donc, en fonction de la quantité d’attaques que vous subissez, prenez régulièrement un moment pour que la mise à jour des blocages ne vous bloque pas à votre tour pendant une heure…

Plusieurs autres solutions

En faisant une petite recherche rapide, j’ai trouvé aussi ces plugins (que je n’ai pas testés), à vous de voir ce qui va vous convenir le mieux :

• WangGuard
• Best WP Security
• IP Filter

Pour finir, comme je le disais au début de cet article, en passant une bonne partie de la journée à fouiller le Web pour trouver les meilleures ressources possibles, je suis tombée sur ça : www.cloudflare.com. Il s’agit d’un dispositif permettant entre autres d’optimiser l’affichage de n’importe quel site Web et d’en assurer la protection. Ça me semble pas mal du tout, je vais tester.

Voilà, c’était ma petite astuce à moi pour laisser à la porte les IPs qui n’ont rien d’amical. Il doit y avoir plusieurs autres façons de faire, si vous en connaissez une qui fonctionne bien, ce serait sympa de nous en parler. 😉

***