Après avoir publié une première partie de comment sécuriser son blog WordPress, voici quelques autres astuces et conseils trouvés sur noupe.com :

Eviter d’effectuer des recherches sur tout le serveur

Au lieu d’utiliser ce code pour votre formulaire de recherche :

<?php echo $_SERVER [‘PHP_SELF’]; ?>

Mettez à la place :

<?php bloginfo (‘home’); ?>

Protéger le répertoire wp-admin

Il est possible que des personnes malveillantes utilisent des attaques par force brute, afin de découvrir le mot de passe pour accèder à l’administration de votre blog. Pour diminuer les risques, il existe quelques solutions :

• Limiter l’accès au dossier wp-admin par adresse IP via le fichier .htaccess. Cette méthode a ses défauts, surtout si vous avez une adresse dynamique. En effet, à chaque changement d’IP, il faut ré-éditer votre fichier .htaccess et changer les paramètres. Plus de détails sur : Protecting the Wordpress wp-admin folder.
• Utiliser le plugin AskApache Password Protect. Ce plugin ajoute une deuxième couche de protection à votre blog, en demandant un mot de passe pour accèder à n’importe quelle ressource de votre répertoire wp-admin. Il génère pour cela un fichier .htaccess et un autre .htpasswd (pour les mots de passes). Pour télécharger ce plugin :
  WordPress Plugin - htaccess password protection for wp-admin.
• Utiliser le plugin Login Lockdown. Ce plugin enregistre l’adresse IP et l’heure de chaque tentative d’accès incorrecte à votre interface d’administration. Si le nombre de tentatives est supérieur à une certaine valeur pour la même adresse IP et pendant une courte période, ce dernier bloque l’accès à la page de connexion. Un bon moyen pour éviter les attaques par force brute. Pour télécharger ce plugin : Login Lockdown plugin.

Utiliser SSH au lieu de FTP

Si votre hébergeur autorise l’accès à votre site via SSH, et que vous vous souciez de la sécurité, pourquoi se priver d’un tel service ! Surtout que c’est beaucoup plus sécurisé que le protocole FTP, en raison du chiffrement des données.

Protéger le fichier de configuration de WordPress

Ce fichier stocke en clair les informations de connexion à votre base de données, et pour en limiter l’accès il suffit d’ajouter la ligne suivante à votre fichier .htaccess :

<FilesMatch ^wp-config.php$>deny from all</FilesMatch>

N’oubliez pas que la prévention reste le meilleur moyen de sécurité. Mettez donc à jour les versions de WordPress et les plugins que vous utilisez, effectuez des backups réguliers de votre base de données et n’hésitez pas à changer vos mots de passe de temps à autre !