Les CMS populaires comme WordPress ont un footprint facile à repérer et sont la cible prioritaire des pirates informatiques. Durant cette dernière semaine d’octobre, le nombre d’attaque par brute force a doublé. L’alerte est lancée.
Depuis le début de cette semaine, jusqu’à ce weekend, de nombreux webmasters se sont plaints de violentes attaques par brute force sur les comptes administrateurs des sites sous WordPress. L’alerte est valable pour les sites Web US mais aussi pour les français.
Wordfence, l’éditeur de l’un des principaux plugin dédié à la sécurité des sites WordPress a lancé l’alerte après avoir repéré une énorme pointe sur la courbe montrant le nombre d’attaques par brute force quotidiennes : les attaques ont violemment doublées !
Les attaques par brute force (tentative de test de couples login/mot de passe pour accéder au backoffice des sites) sont passée de 10 000 attaques par minute à environ 20 000 par minute, et ce, dès lundi soir.
Du côté de la France, de nombreux administrateurs de blogs WordPress se sont interrogés sur les forums dédiés au webmastering après avoir été alerté ou vu leur site bloqués s’il utilisaient un plugin de sécurité. D’ailleurs, cette nuit, UnderNews y a eu le droit, et ce matin, notre système anti-brute force du panel admin avait désactivé les accès pour cause de nombreuses tentatives de connexion échouées. Il n’y adonc aucun doute sur l’attaque, elle vise tous les sites WP.
Pour vous protéger, si vous n’êtes pas développeur Web, pensez à installer un plugin de sécurité et configurez-le de façon à ce qu’il limite les tentatives de connexion par heure (entre 3 et 5 par exemple) sur les comptes utilisateurs et administrateurs du site. En plus de cela, pensez à utiliser un compte administrateur sur-mesure et non le fameux « admin » (désactivez-le complètement). De plus, mettez bien à jour le core ainsi que l’ensemble des plugins.
Après la désactivation de l’Admin, on peut utiliser ces plugins
« SF Author Url Control »+ « SX User Name Security » en plus de « SF Move Login » (développés par les francophones notamment Julio Potier et ses potes, très connus et chevronnés en secu wp)
Du moins ça cache et enlève le « /author/ » dans l’URL et le dernier plugin aide à changer le URL.com/wp-login.php !
A tester donc!
C’est noté merci 😉
Y a aussi la solution intégrée au plugin « Theme my Login » pour limiter le nb de tentative de connexion sinon !
Aaah cool, je viens de tester ce « TML », il a l’air cool et efficace . Merci 😉
Les commentaires sont fermés.