Pour protéger la sécurité des sites WordPress, nous devons nous concentrer sur la protection des fichiers WP-Config.php. 1. Restreindre l'accès externe à WP-Config.php via la configuration du serveur (telles que la configuration .htaccess ou nginx d'Apache); 2. Définir les autorisations de fichiers et de répertoires raisonnables, et il est recommandé que l'autorisation WP-Config.php soit définie sur 600; 3. Déplacez WP-Config.php vers le répertoire non public au-dessus du répertoire racine du site Web pour améliorer la sécurité; 4. Ignorez ce fichier dans le système de contr?le de version pour éviter la fuite d'informations sensibles; 5. Mettez régulièrement à jour la clé de sécurité dans WP-Config.php pour éviter le risque de détournement de session. Ces mesures peuvent efficacement améliorer la sécurité WordPress et fonctionner sans complexité.

Protégez la sécurité de votre site WordPress, en commen?ant par les fichiers les plus basiques. WP-Config.php est l'un des fichiers de configuration les plus critiques de WordPress, qui contient des contenus sensibles tels que les informations de connexion de la base de données, les clés de sécurité, etc. Si ce fichier est acquis par l'attaquant, l'ensemble du site Web peut être contr?lé. Par conséquent, la protection du fichier WP-Config.php est une étape importante dans la protection de la sécurité WordPress.

Restreindre l'accès à wp-config.php

La pratique la plus courante consiste à interdire l'accès externe à ce fichier via une configuration de serveur (comme .htaccess ou nginx Configuration).
Pour les utilisateurs utilisant Apache, l'ajout du code suivant au fichier .htaccess peut empêcher quiconque d'accéder directement via le navigateur:

 <Fichiers wp-config.php>
    Commande permettre, nier
    Nier de tous
</pichiers>

Si vous utilisez Nginx, vous pouvez l'ajouter à la configuration du site:

 Emplacement ~ /wp-config.php {
    nier tout;
}

De cette fa?on, même si d'autres connaissent le chemin du fichier, ils ne peuvent pas y accéder directement.

Assurez-vous également que vos autorisations de répertoire d'installation WordPress sont définies raisonnablement:

• Définir les autorisations de dossier sur 755
• Définir les autorisations de fichiers sur 644
• En particulier, WP-Config.php lui-même est recommandé de régler 600, et seul le propriétaire peut lire et écrire.

Déplacer WP-Config.php vers un répertoire non public

WordPress vous permet de placer le fichier wp-config.php en dehors du répertoire racine du site Web. De cette fa?on, même si l'erreur de configuration du serveur se produit, le fichier ne sera pas exposé.

Par exemple, vous pouvez placer WP-Config.php dans un répertoire supérieur au répertoire racine du site Web, par exemple:

• Chemin d'origine: /var/www/html/wp-config.php
• Nouveau chemin: /var/www/wp-config.php

WordPress recherchera ce fichier dans le répertoire actuel par défaut. S'il n'est pas trouvé, il recherchera le répertoire précédent jusqu'à ce qu'il soit trouvé. Donc, tant que vous mettez le fichier au bon emplacement, WordPress s'exécutera toujours normalement et que l'extérieur ne peut pas être accessible via l'URL.

Bien que cette méthode soit un peu gênante, elle améliore considérablement la sécurité.

N'exposez pas wp-config.php au système de contr?le de version

De nombreux développeurs sont habitués à soumettre le code du site Web aux systèmes de contr?le de version tels que GIT, mais une fois que le nom d'utilisateur de la base de données, le mot de passe, la clé de sécurité et d'autres informations dans WP-Config.php sont divulgués, les conséquences seront graves.

La solution est simple:

• Ajouter wp-config.php dans le fichier .gitignore
• Si vous utilisez des fichiers de configuration de modèle dans la collaboration d'équipe, vous pouvez utiliser wp-config-sample.php comme modèle et remplir manuellement la configuration réelle pendant le déploiement

De plus, certaines plates-formes d'hébergement (telles que WP Engine et Kinsta) ont caché WP-Config.php par défaut, et ils configurent les bases de données et les clés via des variables d'environnement, ce qui est plus s?r et plus facile à gérer.

Vérifiez régulièrement les clés de sécurité dans wp-config.php

WordPress utilise un ensemble de "clés de sécurité" pour chiffrer les informations de connexion des utilisateurs. Si vous n'avez pas touché WP-Config.php depuis longtemps, la clé à l'intérieur peut toujours être par défaut ou a été divulguée.

Vous pouvez aller au générateur de sel WordPress pour obtenir la nouvelle clé aléatoire et remplacer l'ancienne. Cela n'affectera pas l'état de connexion des utilisateurs existants (sauf si vous effacez les cookies), mais empêchera les risques de détournement de session potentiels.

La méthode de remplacement est très simple:

• Ouvrez le lien ci-dessus pour générer une nouvelle valeur de sel
• Copiez et remplacez la définition constante correspondante dans wp-config.php
• Enregistrer et télécharger des fichiers

Bien que cette opération soit simple, elle est très efficace.

Fondamentalement, c'est tout. Tant que vous faites du bon travail dans le contr?le d'accès, l'emplacement du stockage, la gestion de la version et la mise à jour des clés, la sécurité de WP-Config.php peut être considérablement améliorée. Pas compliqué mais facile à ignorer.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!