PHP est la surface d’attaque la plus exposée d’un hébergement WordPress. Par défaut, son comportement est orienté développement : il bavarde, il autorise, il expose. En production, l’objectif est inverse — réduire la surface d’attaque, taire les informations utiles à un attaquant, et limiter ce qu’un éventuel code malveillant peut faire sur le système.
Ce billet fait le tour des directives essentielles, regroupées par catégorie.
(suite…)Un serveur web bien configuré ne se contente pas de servir des pages, il communique aussi avec le navigateur du visiteur via des en-têtes HTTP. Ces en-têtes peuvent soit révéler des informations sensibles sur l’infrastructure, soit au contraire instruire le navigateur sur la manière de traiter le contenu de façon sécurisée. Configurer les bons en-têtes de sécurité est une mesure simple, rapide à mettre en place et efficace contre plusieurs catégories d’attaques web courantes.
(suite…)Un serveur exposé sur internet est une cible permanente. Bots, scanners automatisés, tentatives de force brute. Le rapport Logwatch du premier jour après mise en production peut être édifiant : des milliers de tentatives de connexion SSH en quelques heures, des centaines de scans de fichiers sensibles sur le serveur web. Fail2ban est la première ligne de défense active contre ces attaques.
(suite…)Cet article retrace l’ensemble des étapes pour configurer un VPS Ubuntu 24.04 LTS, installer une stack nginx + PHP + MariaDB, configurer un domaine avec HTTPS via Let’s Encrypt, et déployer WordPress.
(suite…)