Wordpress Tag

Comment mettre à jour un site web WordPress en toute sécurité (manuellement et automatiquement)

Comment mettre à jour un site WordPress ? Cette action récurrente est essentielle. Pourquoi ? C’est avant tout une affaire de sécurité.

La sécurité de ce CMS (système de gestion de contenu) est primordiale, aussi bien du point de vue des entreprises réalisant du commerce via un ou des sites web WordPress, que de celui des consommateurs qui achètent via ces sites. En premier lieu, la plate-forme WordPress en elle-même est bien construite et bien gérée. Une équipe interne est strictement dédiée à sa surveillance et au développement de mises à jour du logiciel dès que des vulnérabilités sont détectées. Mais la popularité de WordPress en fait par contre une cible privilégiée pour les pirates.

La sécurisation d’un site internet WordPress comporte de multiples tâches, comme l’utilisation d’un certificat SSL, la sécurisation du code PHP et la réalisation d’audits de sécurité réguliers. Cependant, il est impératif que vous donniez la priorité à la mise à jour de WordPress. Si, de plus, vous utilisez des plugins et/ou un thème, vous devez bien entendu également les mettre à jour. Ne pas le faire revient tout bonnement à risquer de compromettre à la fois la vitesse et la sécurité de votre site.

Cet article sur la mise à jour WordPress vous explique tout ce que vous devez savoir sur cet élément essentiel de la stratégie de sécurité de votre site WordPress.

Conception Website aide les propriétaires de sites web à mettre à jour leurs sites WordPress. Que vous ayez besoin de gérer un ou plusieurs sites web, je suis à votre service.

La mise à jour de WordPress

Il est avéré que la plupart des violations de WordPress peuvent être reliées à une erreur de l’utilisateur. Pourtant, on préfère (évidemment) blâmer les développeurs qui ont bâti et maintiennent WordPress ou ses intégrations tierces…

Saviez-vous qu’il est estimé qu’actuellement plus de 70% des installations WordPress dans le monde ne tournent pas sous la version la plus récente et la plus sécurisée de la plateforme ? Or WordPress permet aujourd’hui d’automatiser les mises à niveau de sécurité mineures afin de garantir la sécurité des sites contre des vulnérabilités connues.

En outre, 54% de toutes les vulnérabilités de WordPress peuvent être attribuées à des extensions (ou plugins) et 14% à des thèmes. WordPress demandent aux développeurs de ces extensions et thèmes de créer un correctif et d’envoyer une notification de mise à jour à leurs utilisateurs. C’est donc à ces derniers de procéder à leur mise à jour. C’est seulement si un grave problème de sécurité est détecté dans un plugin ou un thème que WordPress forcera la mise à jour automatique pour tous les utilisateurs.

Au final, vous devez rester vigilant au sujet de votre site internet WordPress, surveiller la disponibilité des mises à jour, et les mettre en œuvre rapidement. C’est le seul moyen de garder WordPress aussi sûr que possible.

Vous pouvez mettre à jour un site web WordPress de deux manières différentes :

• par automatisation
• par mises à jour manuelles.

Comment mettre à jour un site web WordPress de manière automatique

WordPress permet depuis 2013 de faire des mises à jour automatisées. Cela concerne les versions mineures ainsi que, très rarement, des mises à jour d’extensions ou de thèmes nécessitant une mise à niveau urgente. Les versions majeures et toutes les autres mises à jour de plugins et de thèmes doivent encore être traitées par vos soins.

Si vous ne souhaitez pas vous en occuper, sans pour autant compromettre la sécurité de votre site, vous pouvez automatiser ces mises à jour.

 Voici ce que vous devez faire:

1. Planification des sauvegardes

Il est toujours important d’effectuer régulièrement des sauvegardes de votre site, même si vous automatisez les mises à jour. Cela vous apporte la garantie que vous pouvez effectuer une restauration si un problème survient lors de l’une de ces mises à jour automatiques. Pour cela, vous pouvez utiliser un plugin de sauvegarde et restauration.

2. Automatisation à l’aide d’un plugin

Bien sûr,vous pouvez vous connecter chaque jour à votre administration WordPress et regarder si le tableau de bord vous indique que des mises à jour sont en attente. Vous pouvez aussi utiliser un plugin pour faire ça à votre place. Easy UpdatesManager est un plugin gratuit utilisable aussi bien sur un unique site web WordPress ou pour un réseau multisite.

Une fois le plugin installé, il faut configurer ses paramètres. Le tableau de bord d’Easy Updates Manager vous permet d’accéder facilement à l’activation/désactivation de l’automatisation des mises à jour du noyau WP, des extensions et des thèmes de votre site. 

Enfin, vous pouvez ajuster les niveaux d’accès à cette extension. Pratique si plusieurs utilisateurs ont accès à votre site mais que vous ne souhaitez pas qu’ils puissent contrôler ces paramètres.

3. Ou automatisation de votre flux de travail en externe

Plutôt que d’utiliser un plugin pour gérer les sauvegardes et un second plugin pour gérer les mises à jour, pourquoi ne pas utiliser un seul outil qui prendrait l’ensemble de cette automatisation en charge ? ManageWP est un outil pratique permettant de:

• gérer l’ensemble des mises à jour de sites web (sans limitation de nombre de sites) à partir d’un seul tableau de bord,
• planifier des sauvegardes quotidiennes et les stocker dans une destination hors site.

ManageWP propose également de nombreuses fonctionnalités de sécurité pour vous aider à mieux maintenir la santé et la sécurité générale de votre site web sans trop transpirer.

Comment mettre à jour WordPress manuellement

Vous pouvez mettre à jour manuellement votre site WordPress de deux manières.

Lorsque vous savez que des mises à jour sont en attente de traitement, vous pouvez cliquer sur la notification et les mettre à jour en un clic. Cependant, en les traitant de cette manière, il n’y a pas beaucoup de différence entre les mises à jour automatisées et leur traitement manuel. En assumant cette responsabilité, l’essentiel est de s’assurer que les mises à jour sont traitées avec soin et que votre site ne soit pas exposé à des risques plus grands. Voici comment le faire.

Mettre à jour le noyau WordPress

1. Sauvegarder votre site

Dès que vous constatez qu’une mise à jour WP est prête, effectuez si besoin une sauvegarde de votre site (c’est-à-dire si la sauvegarde quotidienne ou hebdomadaire effectuée par votre plugin ou votre service de maintenance ne vous semble pas assez fraîche). Un plugin de sauvegarde et de restauration vous permettra de le faire manuellement. Vous pouvez de plus enregistrer à un autre endroit une copie zippée du fichier de sauvegarde au cas où vous deviez le restaurer ultérieurement.

2. Désactiver tous vos plugins

WordPress recommande bien de toujours désactiver l’ensemble des plugins avant de mettre à jour manuellement le noyau. Pour ce faire, accédez à la liste des extensions installées dans WordPress, cochez toutes les cases et appliquez l’action Désactiver en bloc.

3. Récupérer les fichiers

La dernière version du noyau de WordPress est toujours stockée à cette adresse. Donc, lorsque vous recevez une notification indiquant qu’une mise à jour WP est disponible, visitez cette page et téléchargez les fichiers. Ensuite, dézippez localement le package sur votre ordinateur. Les fichiers et dossiers contenus dans ce package vont ensuite être téléversés sur votre hébergement dans les étapes suivantes.

4. Mettre à jour le noyau de WP

Connectez-vous à votre répertoire racine (via votre outil FTP, SSH ou via le gestionnaire de fichier fourni dans votre hébergement). Supprimez les fichiers wp-admin et wp-includes, et remplacez les par les nouvelles versions contenues dans le package dézippé au point précédent.

5. Mettre à jour wp-content

Sans supprimer le dossier wp-content existant, il faut téléverser dans ce répertoire une copie de tous les fichiers de la nouvelle version du répertoire wp-content contenue dans le package dézippé au point 3.

6. Mettre à jour tout le reste

Les autres fichiers racine doivent également être copiés, ils vont écraser les précédents.

7. Vérifiez wp-config

Le fichier de configuration wp-config.php étant nommé wp-config-sample.php dans la version de mise à jour, il n’a pas été écrasé à l’étape précédente. Jetez un œil sur le fichier sample pour déterminer si certains des nouveaux paramètres valent la peine d’être sauvegardés dans le wp-config.

8. Mettre à jour la base de données

Une fois vos fichiers mis à jour, reconnectez-vous à l’administration WordPress. Si une mise à niveau de la base de données est nécessaire, vous serez logiquement dirigé vers /wp-admin/upgrade.php. Suivez le lien et les étapes indiquées afin de mettre à jour votre base de données.

9. Réactivez vos plugins

Retournez à la liste des extensions, cochez les toutes et sélectionnez Activer dans les Actions groupées puis validez.

Enfin, pour terminer cette procédure de mise à niveau de WordPress, effacez le cache de votre navigateur et, si vous utilisez un outil de cache comme WP Rocket, effacez aussi le cache.

Mettre à jour les plugins et les thèmes

La procédure de mise à jour manuelle des plugins et thèmes est similaire à celle du noyau, mais nécessite cependant un peu moins de travail.

1. Sauvegarder le site

Voir ci-dessus.

2. Récupérer les fichiers

Après avoir téléchargé une copie compressée (.zip) des fichiers d’une extension (ou d’un thème) dans le répertoire WordPress ou directement chez le développeur, décompressez l’archive sur votre ordinateur.

3. Supprimer les anciens fichiers

L’adresse du dossier d’un plugin ressemble à ceci: wp-content/plugins/nom_de_l_extension/.

Celle du dossier d’un thème ressemble à ceci: wp-content/themes/nom_du_theme/.

Via votre outil FTP, SSH ou via le gestionnaire de fichier fourni dans votre hébergement, supprimez l’ancien dossier de l’extension ou du thème concerné.

4. Téléverser les nouveaux fichiers

Ajoutez le nouveau dossier dans le répertoire /wp-content/plugins/ ou wp-content/themes/ selon le cas de figure.

5. Passez en revue les modifications

Retournez dans votre administration WordPress et visitez votre liste de plugins ou de thèmes. Il vous dira si vous avez ou non effectué la mise à jour avec succès. Bien sûr, à ce stade, veillez à consulter votre site pour vous assurer que rien ne se soit cassé au cours du processus.

Mettre à jour un site web WordPress : le mot de la fin

Voilà, vous avez maintenant toutes les cartes en mains pour réaliser sans crainte vos mises à jour WP. Vous savez comment mettre à jour un site web WordPress. Vous avez aussi une dernière option à votre disposition si vous ne souhaitez pas le faire vous-même : embaucher une entreprise de maintenance WordPress telle que Conception Website. Outre la création de site et la rédaction de contenu web orienté SEO, cette fonctionnalité de sécurité et de mise à jour figure parmi mes services. Si vous appréciez l’idée qu’un expert gère en votre nom les sauvegardes WordPress quotidiennes et le traitement des mises à jour de thèmes et de plugins, n’hésitez pas à me solliciter !

Référencement WordPress bancal : 5 raisons basiques

Comment installer WordPress sur votre hébergement

Installer WordPress est rapide et facile. Il suffit, paraît-il, de 5 minutes pour être à même de publier votre premier article. C’est vrai, encore faut-il avoir préparé un tantinet son affaire. Tout d’abord, nous allons voir comment installer le CMS automatiquement via un module proposé par votre hébergeur. Si ce n’est pas le cas, nous verrons comment le faire manuellement.

Pré-requis avant d’installer WordPress

Vous souhaitez installer WordPress, c’est très bien. Pour cela, vous avez besoin :

• de souscrire un hébergement sur un serveur en ligne, qui sera l’emplacement qui contiendra votre WordPress,
• de réserver un nom de domaine, qui sera l’adresse (URL) que les internautes visiteront. Alors choisissez-le simple à écrire et facilement mémorisable. Ce sera par exemple monsupersite.com.

Vous aurez également besoin, dans le second processus que nous détaillerons, d’un client FTP pour téléverser des fichiers depuis votre disque dur vers votre hébergement en ligne. Filezilla (Windows, Mac et Linux) ou Cyberduck (Mac, Windows) sont des exemples de clients FTP gratuits.

 

Comment installer WordPress automatiquement via un module de votre hébergeur

Le module d’installation automatique varie, s’il existe, selon les hébergeurs. Softaculous et Quick Install sont parmi les plus populaires. Ces utilitaires s’occupent de la plus grande partie du travail, sur la base des indispensables indications que vous leur fournissez au départ.

Mon hébergeur me proposant le module Softaculous, en voici le détail. Sachez que le processus diffère très peu d’un module à l’autre.

Une fois connecté à votre hébergeur, rendez-vous dans le panneau d’administration à la section Softaculous Apps Installer.

Cliquez alors sur le logo de WordPress puis sur Installer maintenant.

Vous devez saisir les informations permettant au script d’installation de lancer la configuration de WordPress. Les plus importantes sont :

• le protocole (SSL ou non),
• le nom de domaine,
• le dossier où seront déposés les fichiers de WordPress,
• le nom ainsi que la description de votre site,
• les informations concernant l’administrateur (identifiant, mot de passe, email),
• dans l’onglet des options avancées, le nom ainsi que le préfixe de la base de données.

 

L’installateur automatique propose également tout un tas d’options complémentaires, comme les mises à niveau automatique du CMS, du thème et des plugins, et l’activation du multi-site.

Il vous est même loisible de définir un thème graphique autre que le thème par défaut.

Pour conclure, précisez la messagerie où vous souhaitez recevoir les informations à conserver à propos de cette installation, puis valider.

 

Comment installer manuellement WordPress sur un hébergement en ligne

Vous avez souscrit un hébergement et disposez donc d’une base de données et de PHP.

Premier point : les fichiers WordPress

La première action à réaliser est d’aller télécharger le fichier .zip qui rassemble l’intégralité des fichiers du logiciel WordPress. Vous trouverez la dernière version en français à cette adresse : https://fr.wordpress.org. Ensuite, décompressez ce fichier archive sur votre ordinateur.

Vous avez ensuite le choix d’installer WordPress :

• directement à la racine du site, comme https://www.nom-de-domaine.fr/: pour cela, à l’aide du client FTP, envoyez à la racine de votre hébergement tous les fichiers que vous venez de décompresser.
• dans un sous-répertoire du site, comme https://www. nom-de-domaine.fr/mon-blog/, envoyez les fichiers que vous venez de décompresser dans le sous-répertoire /mon-blog/ de votre hébergement.

Second point : la base de données

Une base de données MySQL est nécessaire pour accueillir les tables de données propres à WordPress. Sur votre hébergement, créez une table reliée à un utilisateur auquel vous accorderez tous les privilèges.

A titre d’exemple, chez l’hébergeur OVH, la procédure est la suivante :

• dans la section hébergement de l’espace personnel, choisissez Gestion SQL,
• choisissez Nouvelle base puis la base incluse dans l’hébergement ; nommez-là avant de valider,
• un email vous est envoyé, qui comprend les informations de la base de données : nom, identifiant et mot de passe de connexion.

Troisième point : le script d’installation

Pour lancer le script automatique d’installation de WordPress, il vous faut maintenant saisir dans un navigateur web l’adresse précise où vous avez envoyé les fichiers WordPress.

Si vous suivez bien, vous savez qu’il s’agit de https://www. nom-de-domaine.fr/mon-blog ou de https://www. nom-de-domaine.fr/ (avec votre propre nom de domaine bien entendu !)

Le navigateur vous affiche un bouton « C’est parti ! »,  que vous vous empresserez de cliquer pour suivre les instructions affichées à l’écran.

Il vous est demandé de saisir les informations de la base de données créée à l’étape précédente : nom, identifiant et mot de passe, ainsi que deux autres informations :

• adresse de la base de données (par défaut localhost). A modifier si votre hébergeur vous donne une information différente.
• préfixe des tables de données (par défaut wp_). Il est conseillé de le modifier pour des raisons de sécurité et aussi pour vous y retrouver facilement au cas où vous voudriez installer plusieurs WP sur la même base de données. Exemple  de préfixe: monblog2017_

Le script d’installation peut maintenant inscrire ces données dans le fichier wp_config.php qui n’est autre que le fichier de configuration de WP. La base et les autres fichiers de WordPress sont désormais reliés.

Voilà, la page de bienvenue apparaît maintenant. Il ne reste plus qu’à  saisir quelques informations supplémentaires :

• un titre pour votre site,
• des identifiants de connexion à l’administration du site (identifiant, mot de passe et email),
• indiquer à Google et comparses si vous souhaitez que votre site soit immédiatement indexé ou non.

Après validation, l’installation est terminée et le panneau de connexion de l’administration s’affiche. Saisissez votre identifiant et votre mot de passe pour vous y connecter. Un e-mail aide-mémoire vous est également envoyé pour vous rappeler votre identifiant et l’URL de connexion.

Cette procédure pour installer WordPress sur un hébergement en ligne est donc aisée à mettre en œuvre et effectivement très rapide. N’est-ce pas ce qu’on appelle un jeu d’enfant ?

A suivre : installer WordPress en local.

Pourquoi et comment limiter les tentatives de connexion à WordPress

Il peut arriver que des pirates tentent de pénétrer votre site WordPress en essayant de deviner votre mot de passe administrateur . Par défaut, WordPress autorise les utilisateurs à renouveler les tentatives de connexion en essayant différents mots de passe autant de fois qu’ils le souhaitent. Les hackers peuvent donc utiliser cette faiblesse. Ce mode de piratage est connu sous le nom d’attaque par force brute (brute force attack) . Cependant, vous pouvez modifier ce comportement par défaut et ajouter une couche de sécurité supplémentaire à votre site WordPress. Dans cet article, vous allez apprendre pourquoi et comment vous devriez limiter les tentatives de connexion dans votre WordPress.

(suite…)