Vous trouverez ci-dessous une liste des actions de maintenance préventives à mettre en place pour limiter les dégâts en cas de piratage de votre site internet. La sécurité d'un site internet n'est pas l'affaire de "M. tout le monde" et toute bonne agence web qui se respecte doit maîtriser ces différents aspects afin de garantir aux clients la protection de leurs données.

1 - Sauvegardez, sauvegardez, sauvegardez !

L'une des actions les plus importantes à mon sens est la sauvegarde périodique de vos données, car à défaut de pouvoir empêcher le piratage, il faut être capable à minima de restaurer le site internet ...

Pour cela l'agence web YakaMama de Saint Jean de Luz vous conseille d'utiliser l'excellent composant de sauvegarde Akeeba Backup. Avec lui vous allez pouvoir :

• Sauvegarder un site internet d'un simple clic ou d'une simple adresse URL
• Copier un site internet (ou le dupliquer)
• Restaurer une copie de sauvegarde (faite avec Akeeba)
• ...

1.1 - Présentation officielle de Akeeba Backup

 

2 - Mettez à jour votre site Joomla, ses composants et modules

Les principales attaques réussies sont issues de failles de sécurité connues. La mise à jour de Joomla et de ses composants permet donc de limiter les attaques sur les failles connues.

2.1 - La mise à jour de Joomla

Chaque nouvelle sortie d'un version de Joomla est traduite et mise à la disposition du public sur le site Joomla.fr. Vous trouverez ainsi les fichiers de mise à jour sur le site français de Joomla.

2.2 - Quelle est la version de Joomla sur votre site internet ?

Dans l'administration de votre site, le numéro de version est indiqué en haut à droite.

2.3 - La mise à jour des composants et modules de Joomla

Certaines versions de composants ne sont pas fiables, c'est pourquoi il faut mettre à jour vos composants et modules. il se peut d'autant plus que des failles existent mais qu'elles ne soient pas connues !

Pour mettre à jour, il n'y a pas (encore) de miracle, il faut vérifier sur le site de chaque extension le numéro de la dernière version stable (ne pas prendre de béta, équivalent à "brouillon") et la télécharger. Pour vous aider dans cette tâche fastidieuse, vous pouvez utiliser JMonitoring pour identifier la version de VOS extensions.

3 - Bloquez l'utilisateur 62

... C'est le numéro de l'urilisateur "super-administrateur" par défaut qui est créé avec l'installation du site. C'est une des cibles des pirates, il suffit donc de créer un nouvel utlisateur avec les droits "super-administrateur" et de supprimer le n°62. Simple mais efficace.

4 - Compliquez l'accès à l'administration de votre site

Tout accès au panneau d'administration sans ce code se soldera soit par un retour à la page d'accueil de votre site ou un message personnalisé (par exemple une erreur 404). Bien-sûr le code ainsi que le choix de redirection sont paramétrables directement dans le plugin.

5 - Régissez les droits d'accès à l'administration

Soyez plus strict avec les droits et permissions accordés aux personnes ayant accès à l'administration de votre site, cela limitera leurs erreurs et donc la création de potentielles failles de sécurité. Pour cela vous disposez de nombreux composants "ACL" à votre disposition.

6 -Vérifier vos droits sur les répertoires FTP

Là, ça se complique, car vous devez  vous assurer que chaque fichier transféré sur votre site a comme "propriétaire" votre nom d'ulisateur (FTP). Ensuite,  il faut vous assurer que tous les répertoires ont des permissions "755" et que tous les fichiers réguliers ont une autorisation "644".

vous pourrez enfin "Activer le FTP" dans la configuration générale de Joomla afin de limiter certaines attaques par script PHP sur le serveur.

7 - Epluchage des log

Cette technique est surtour utile après le piratage, elle consiste à analyser les fichiers txt dans le répertoire "log" de votre site afin de déterminer comment le hacker a pénétré. Pour vous aider dans votre tâche, il existe des logiciels d'édition spécialisés.

Il faut alors rechercher les lignes de code qui "ne devraient pas être là" :

• Données codées en Base64
• Commandes SQL
• Script tags
• Caractère Unicode Non-imprimables

8 - Avez-vous été piraté ?

Plusieurs outils sont utilisés par notre agence web de St Jean de Luz :

• Google Webmaster Tools qui dispose d'un outil de diagnostic
• Les alertes Google Analytics qui signalent un trafic qui tombe à zéro
• Aremysitesup.com qui vous avertit lorsque votre site deviens HS

Cet article est une adapation libre de l'article "Things to do before your site gets hacked"