Ces conseils vous seront très utiles pour prévenir un grand nombre d’attaques répandues dans le web, qui touchent des sites propulsés par ce CMS Open Source. En plus de nos conseils, la documentation officielle offre une importante checklist de sécurité, à lire par tous les développeurs qui souhaitent utiliser Joomla.

#1 – Mettez votre installation Joomla régulièrement à jour

On ne le répétera jamais assez, la mise à jour régulière du CMS Joomla est indispensable pour la sécurité de votre site, l’équipe Joomla fournit régulièrement des mises à jour qui comprennent des correctifs de sécurité. Pensez également à mettre à jour vos composants, modules et plug-ins.

Pour vous tenir informé des mises à jour de Joomla, vous pouvez vous abonner à ce flux RSS officiel.

#2 – Personnalisez votre login et mot de passe

Pendant l’installation de Joomla, l’identifiant admin est attribué par défaut au propriétaire du site, ce compte est Super Administrateur, qui a donc tous les droits sur le site. Il est recommandé de le modifier par un identifiant de votre choix.

Concernant le mot de passe, les règles élémentaires à suivre sont de le créer en 8 caractères ou plus, y utiliser des chiffres, caractères spéciaux et lettres en majuscule/minuscule. Il existe des outils en ligne qui vous permettent de générer rapidement des mots de passe comme le site Strong password generator.

#3 – Sauvegardez votre site et votre base de données de façon régulière

Sauvegarder régulièrement vos fichiers via FTP est une action recommandée, mais le plus important reste à sauvegarder votre base de données Joomla de façon continue, vous pouvez le faire à partir de PHPMyAdmin en format .sql, la taille de ce fichier dépendra du nombre d’informations contenues sur votre site.

Vous pouvez également effectuer la sauvegarde entière ou partielle de votre site web, en utilisant la fonction de sauvegarde de cPanel offerte à nos clients sur tous nos packs d’hébergement.

Gardez  vos fichiers générés bien en sécurité, il vous sera très utile en cas de problème.

#4 – Utilisez des extension utiles pour la sécurité

• jSecure sécurise l’accès à la console d’administration de joomla par le biais d’une clé à rentrer dans l’url d’accès au bandeau d’administration joomla (payante).
• Akeeba backup est une extension qui permet de créer des copies de sauvegarde ou la restauration facile de votre site Joomla.
• JMonitoring est utile pour les webmasters qui ont plusieurs sites sous Joomla, cette extension vous alerte en cas de sortie de nouvelle version de Joomla ou des extensions installées sur vos sites.

#5 – Changez le préfixe de votre base de données Joomla

L’une des recommandations officielles Joomla, est la modification du préfixe par défaut des tables de votre base de données, pendant l’installation du CMS, il vous propose jos_ comme préfixe par défaut, n’hésitez pas à le modifier et utiliser un préfixe de votre choix.

Vous avez déjà installé Joomla avec le préfixe jos_ ? pas de problème, vous pouvez le modifier manuellement en deux étapes (opération réservée aux développeurs confirmés) :

• Modifier le nom de toutes les tables sur PHPMyAdmin en remplaçant jos_ par votrePrefixe_
• Modifier manuellement le fichier configuration.php (sur la racine de votre site web) en remplaçant jos_ par votrePrefixe_  dans la variable $dbprefix

#6 – Utilisez le bon CHMOD pour vos dossiers et fichiers

La configuration CHMOD idéale pour votre site Joomla :

• Fichiers PHP : 644
• Fichiers de configuration : 400
• Autres dossiers : 755

Vous pouvez effectuer le CHMOD des fichiers et dossiers en utilisant votre client FTP.

#7 – N’utilisez pas trop les iFrames

Joomla propose des menus ou des modules qui sont installés sur des iFrames afin d’inclure du contenu externe directement sur le site. Cette pratique rend votre site web à la merci de ce contenu non vérifié et dont vous ne maitrisez pas tous les aspects de sécurité.

#8 – Téléchargez Joomla du site officiel

Ne téléchargez jamais Joomla à partir de sites non officiels,  utilisez plutôt les fichiers d’installation téléchargés des sites Joomla.fr et Joomla.org.

#9 – Installer des extensions de confiance

Joomla vous permet d’étendre ses fonctionnalités à travers des extensions développées par des développeurs tiers dont une partie ne se soucie pas beaucoup de la sécurité, prenez l’habitude de télécharger les extensions à partir du site officiel Joomla :

• Toutes les extensions sur Joomla.org
• Les extensions en français sur Joomla.fr

Joomla fournit également une liste des extensions vulnérables sur sa documentation officielle.

#10 – Supprimez les fichiers et dossiers non utilisés

Après chaque installation de Joomla, supprimer le dossier d’installation et ne vous contentez pas de le renommer, supprimez également tous les fichiers non utilisés de votre template.

#11 – Visitez les forums officiels de sécurité sur joomla.fr

Des forums spéciaux qui traitent de la sécurité du CMS Joomla sont disponibles sur le site officiel Joomla.fr, voici leurs liens directs :

• Sécurité Joomla 1.5.x et ultérieures
• Sécurité Joomla 1.6.x / 1.7.x

Nous vous présentons sur ce billet, une série de conseils et astuces vous permettant de mieux sécuriser votre site WordPress, ou limiter les dégâts potentiels.

#1 – Gardez votre installation WordPress à jour

90% des sites web qui se font pirater sont des sites dont les webmasters n’ont pas fait de mise à jour pendant des semaines ou des mois, les équipes WP fournissent des mises à jour régulières, qui comprennent en grande partie des correctifs de sécurité, il en va de même pour les plugins qui doivent également être mis à jour régulièrement.

Notez que WordPress offre un système de mise à jour et de réinstallation entièrement automatisé. Une notification est disponible sur votre tableau de bord à chaque fois qu’une mise à jour est disponible, suivez-là! et en deux clic, votre mise à jour sera installée.

#2 – Bien choisir son login et mot de passe

Au début de votre installation WordPress, évitez de créer votre compte avec le login par défaut “admin”, choisissez plutôt un nom générique à votre blog.

Concernant le mot de passe, les règles élémentaires à suivre sont de le créer en 8 caractères ou plus, y utiliser des chiffres, caractères spéciaux et lettres en majuscule/minuscule. Il existe des outils en ligne qui vous permettent de générer rapidement des mots de passe comme le site Strong password generator.

#3 – Utilisez les clés secrètes dans wp-config.php

Vous avez la possibilité d’inclure des clés secrètes dans le fichier wp-config.php, comme suit :

define('AUTH_KEY', '{zSq`#=nO*rE~~#;3.Z{3Bm_x7; A`>m_B%9');
define('SECURE_AUTH_KEY', '#,1-PL;:KBGqbsm7~P3>_W?g![L1nc?kC');
define('LOGGED_IN_KEY', 'NbwnZfZ_4?i%#h8sgmtKeOm;Tki+2g}NLi+T9');

Vous pouvez générer des clés aléatoires à l’aide de ce lien : https://api.wordpress.org/secret-key/1.1/

#4 – Protégez votre fichier wp-config.php

Modifiez votre fichier .htaccess situé à la racine de votre serveur FTP en y ajoutant les lignes ci-dessous. Ces commandes empêcheront un hacker de récupérer votre identifiant et mot de passe MySQL en cas de problèmes avec PHP.

<FilesMatch ^wp-config.php$>
deny from all
</FilesMatch>

Vous pouvez renforcer la sécurité de ce fichier en le mettant sous CHMOD 400 (Lecture pour le propriétaire), ceci interdira sa lecture par le public en cas de problème PHP.

#5 – Modifiez le préfixe des tables WP

Le préfixe wp_ est proposé au début de l’installation WordPress, il est préférable de le modifier en n’importe quel autre préfixe.

#6 – Sauvegardez régulièrement votre site ou blog WordPress

Pensez à effectuer une sauvegarde régulière de votre site web, WP est livré avec un outil d’exportation qui sauvegarde tout votre site en un seul fichier XML. Il est disponible sur le menu Outils > Exporter. Cette opération sauvegarde les articles, pages, commentaires, champs personnalisés, termes, menus et contenus personnalisés.

Vous pouvez également effectuer la sauvegarde entière ou partielle de votre site web, en utilisant la fonction de sauvegarde de cPanel offerte à nos clients sur tous nos packs d’hébergement.

Une solution payante de sauvegarde spécial WP VaultPress est aussi disponible, créée par Automattic (la société éditrice de WordPress).

#7 – Augmentez votre sécurité avec des plugins spécialisés

• Login LockDown est un plugin qui vous protège contre des attaques de type Brut Force en faisant diminuer le nombre d’essai de login/password sur votre page de connexion.
• Secure WordPress est un plugin complet qui permet d’activer des fonctions spéciales pour sécuriser au maximum votre blog ou site sous WP.
• WP Security Scan vous permets de tester la vulnérabilité de votre installation WordPress et vous suggère des corrections à effectuer.

#8 – N’utilisez que les plugins téléchargeables sur le site officiel WordPress

Des milliers de plugins sont disponibles pour WordPress, cependant, gardez la bonne habitude les choisir et les télécharger à partir du Plugin Directory officiel de WordPress, ou bien à partir de votre tableau de bord au menu Plugin > Ajouter.

La solution que je vous propose ici est d’utiliser la classe SALAT que j’ai trouvée sur le site phpclasses.org ajoutée par le développeur syrien Khaled Al Shamaa. Nous avons utilisé cette classe pour afficher l’horaire des prières sur le site Eljadida.ma

Extrait :

The prayer times for any given location on earth may be determined mathematically if the latitude and longitude of the location are known. However, the theoretical determination of prayer times is a lengthy process. Much of this tedium may be alleviated by using computer programs.

Pour télécharger la classe utilisée ainsi que notre exemple pour al ville d’El Jadida :
» Téléchargez le fichier salat.class.rar

Ce site regroupe un newsgroup, des liens pour participer à des projets de portails en arabe comme Tadwen ou Muslimedia, des projets qui visent à créer des portails web arabes de qualité et touchant différents domaines de connaissance.

Adresse du projet : http://www.projectsarabia.com

Une initiative louable, à encourager.

Via : Blog du développeur syrien Khaled Al-Shamaa

// Liste des pays en Anglais (countries list in a PHP Array)
$tab_pays = array(“Afghanistan”, “Albania”, “Algeria”, “Andorra”, “Angola”, “Antigua and Barbuda”, “Argentina”, “Armenia”, “Australia”, “Austria”, “Azerbaijan”, “Bahamas”, “Bahrain”, “Bangladesh”, “Barbados”, “Belarus”, “Belgium”, “Belize”, “Benin”, “Bhutan”, “Bolivia”, “Bosnia and Herzegovina”, “Botswana”, “Brazil”, “Brunei”, “Bulgaria”, “Burkina Faso”, “Burundi”, “Cambodia”, “Cameroon”, “Canada”, “Cape Verde”, “Central African Republic”, “Chad”, “Chile”, “China”, “Colombi”, “Comoros”, “Congo (Brazzaville)”, “Congo”, “Costa Rica”, “Cote d’Ivoire”, “Croatia”, “Cuba”, “Cyprus”, “Czech Republic”, “Denmark”, “Djibouti”, “Dominica”, “Dominican Republic”, “East Timor (Timor Timur)”, “Ecuador”, “Egypt”, “El Salvador”, “Equatorial Guinea”, “Eritrea”, “Estonia”, “Ethiopia”, “Fiji”, “Finland”, “France”, “Gabon”, “Gambia, The”, “Georgia”, “Germany”, “Ghana”, “Greece”, “Grenada”, “Guatemala”, “Guinea”, “Guinea-Bissau”, “Guyana”, “Haiti”, “Honduras”, “Hungary”, “Iceland”, “India”, “Indonesia”, “Iran”, “Iraq”, “Ireland”, “Israel”, “Italy”, “Jamaica”, “Japan”, “Jordan”, “Kazakhstan”, “Kenya”, “Kiribati”, “Korea, North”, “Korea, South”, “Kuwait”, “Kyrgyzstan”, “Laos”, “Latvia”, “Lebanon”, “Lesotho”, “Liberia”, “Libya”, “Liechtenstein”, “Lithuania”, “Luxembourg”, “Macedonia”, “Madagascar”, “Malawi”, “Malaysia”, “Maldives”, “Mali”, “Malta”, “Marshall Islands”, “Mauritania”, “Mauritius”, “Mexico”, “Micronesia”, “Moldova”, “Monaco”, “Mongolia”, “Morocco”, “Mozambique”, “Myanmar”, “Namibia”, “Nauru”, “Nepa”, “Netherlands”, “New Zealand”, “Nicaragua”, “Niger”, “Nigeria”, “Norway”, “Oman”, “Pakistan”, “Palau”, “Panama”, “Papua New Guinea”, “Paraguay”, “Peru”, “Philippines”, “Poland”, “Portugal”, “Qatar”, “Romania”, “Russia”, “Rwanda”, “Saint Kitts and Nevis”, “Saint Lucia”, “Saint Vincent”, “Samoa”, “San Marino”, “Sao Tome and Principe”, “Saudi Arabia”, “Senegal”, “Serbia and Montenegro”, “Seychelles”, “Sierra Leone”, “Singapore”, “Slovakia”, “Slovenia”, “Solomon Islands”, “Somalia”, “South Africa”, “Spain”, “Sri Lanka”, “Sudan”, “Suriname”, “Swaziland”, “Sweden”, “Switzerland”, “Syria”, “Taiwan”, “Tajikistan”, “Tanzania”, “Thailand”, “Togo”, “Tonga”, “Trinidad and Tobago”, “Tunisia”, “Turkey”, “Turkmenistan”, “Tuvalu”, “Uganda”, “Ukraine”, “United Arab Emirates”, “United Kingdom”, “United States”, “Uruguay”, “Uzbekistan”, “Vanuatu”, “Vatican City”, “Venezuela”, “Vietnam”, “Yemen”, “Zambia”, “Zimbabwe”);

// Liste des pays en Français
$tab_pays = array(“Afghanistan”, “Afrique du Sud”, “Albanie”, “Algérie”, “Allemagne”, “Andorre”, “Angola”, “Anguilla”, “Antarctique”, “Antigua-et-Barbuda”, “Antilles néerlandaises”, “Arabie saoudite”, “Argentine”, “Arménie”, “Aruba”, “Australie”, “Autriche”, “Azerbaïdjan”, “Bahamas”, “Bahreïn”, “Bangladesh”, “Barbade”, “Bélarus”, “Belgique”, “Belize”, “Bénin”, “Bermudes”, “Bhoutan”, “Bolivie”, “Bosnie-Herzégovine”, “Botswana”, “Brésil”, “Brunéi Darussalam”, “Bulgarie”, “Burkina Faso”, “Burundi”, “Cambodge”, “Cameroun”, “Canada”, “Cap-Vert”, “Chili”, “Chine”, “Chypre”, “Colombie”, “Comores”, “Congo”, “Corée du nord”, “Corée du sud”, “Costa Rica”, “Côte d’Ivoire”, “Croatie”, “Cuba”, “Danemark”, “Djibouti”, “Dominique”, “Egypte”, “El Salvador”, “Emirats arabes unis”, “Equateur”, “Erythrée”, “Espagne”, “Estonie”, “Etats-Unis d’Amérique”, “Ethiopie”, “Fédération de Russie”, “Fidji”, “Finlande”, “France”, “Gabon”, “Gambie”, “Géorgie”, “Ghana”, “Gibraltar”, “Grèce”, “Groenland”, “Guadeloupe”, “Guam”, “Guatemala”, “Guinée”, “Guinée équatoriale”, “Guinée-Bissau”, “Guyana”, “Guyane française”, “Haïti”, “Honduras”, “Hong Kong”, “Hongrie”, “Ile De Bouvet”, “Ile Norfolk”, “Iles Caïmanes”, “Iles Cook<”, “Iles d’Aland”, “Iles Falkland”, “Iles Féroé”, “Iles Mariannes septentrionales”, “Iles Marshall”, “Iles Salomon”, “Iles Svalbard et Jan Mayen”, “Iles Turques et Caïques”, “Iles Vierges américaines”, “Iles Vierges britanniques”, “Iles Wallis et Futuna”, “Inde”, “Indonésie”, “Iran”, “Iraq”, “Irlande”, “Islande”, “Israel”, “Italie”, “Jamaïque”, “Japon”, “Jordanie”, “Kazakhstan”, “Kenya”, “Kirghizistan”, “Kiribati”, “Koweït”, “Laos”, “Lesotho”, “Lettonie”, “Liban”, “Libéria”, “Libye”, “Liechtenstein”, “Lituanie”, “Luxembourg”, “Macao”, “Madagascar”, “Malaisie”, “Malawi”, “Maldives”, “Mali”, “Malte”, “Maroc”, “Martinique”, “Maurice”, “Mauritanie”, “Mayotte”, “Mexique”, “Micronésie”, “Moldovie”, “Monaco”, “Mongolie”, “Montserrat”, “Mozambique”, “Myanmar”, “Namibie”, “Nauru”, “Népal”, “Nicaragua”, “Niger”, “Nigéria”, “Nioué”, “Norvège”, “Nouvelle-Calédonie”, “Nouvelle-Zélande”, “Oman”, “Ouganda”, “Ouzbékistan”, “Pakistan”, “Palaos”, “Panama”, “Papouasie-Nouvelle-Guinée”, “Paraguay”, “Pays-Bas”, “Pérou”, “Philippines”, “Pitcairn”, “Pologne”, “Polynésie française”, “Porto Rico”, “Portugal”, “Qatar”, “République centrafricaine”, “République démocratique du Congo”, “République dominicaine”, “République tchèque”, “Réunion”, “Roumanie”, “Royaume-Uni”, “Rwanda”, “Saint-Kitts-et-Nevis”, “Saint-Marin”, “Saint-Pierre-et-Miquelon”, “Saint-Siège”, “Saint-Vincent-et-les Grenadines”, “Sainte-Hélène”, “Sainte-Lucie”, “Samoa”, “Samoas américaines”, “Sao Tomé-et-Principe”, “Sénégal”, “Serbie-et-Monténégro”, “Seychelles”, “Sierra Leone”, “Singapour”, “Slovaquie”, “Slovénie”, “Somalie”, “Soudan”, “Sri Lanka”, “Suède”, “Suisse”, “Suriname”, “Swaziland”, “Syrie”, “Tadjikistan”, “Taiwan”, “Tanzanie”, “Tchad”, “Territoire palestinien occupé”, “Thaïlande”, “Timor-Leste”, “Togo”, “Tokélaou”, “Tonga”, “Trinité-et-Tobago”, “Tunisie”, “Turkménistan”, “Turquie”, “Tuvalu”, “Ukraine”, “Uruguay”, “Vanuatu”, “Venezuela”, “Viet Nam”, “Yémen”, “Zambie”, “Zimbabwe”);

Attention, plusieurs paramètres des tables de la DB ont changé, peut être ne faut-il pas s’aventurer prématurément à remplacer les anciens fichiers de wordpress par les nouveaux, attendons un manuel ou utilitaire d’upgrade officiel.

A première vue, on découvre la simplicité de l’interface, pas beaucoup de boutons ni de menus, le tableau de bord revisité devient plus convivial, tout a été centralisé et minimisé sur quelques liens en haut, et quelques boîtes en bas qui contiennent les derniers commentaires et liens, plus les actus de WP. En haut en retrouve des liens vers la doc en français (toujours utile même si incomplète) et le forum d’entraide français. On s’y retrouve facilement avec un sommaire des articles publiés ou en attente et l’on peut même y ajouter des fils RSS ou éditer la façon avec laquelle la page est représentée.

La navigation sur deux niveaux permet aux utilisateurs un confort inégalé alors que les versions précédentes présentaient une prise en main moins évidente. Notons les couleurs légères et conviviales à la mode 2.0

Pour écrire

Très joli espace d’écriture et d’édition des billets, les menus ont été redessinés, un léger changement du menu droit qui va en bas du formulaire d’édition, un formulaire revu (selon les dires des développeurs de WP) et s’est fait un lifting avec les outils d’insertion média (image, audio, vidéo), une des grandes fonctions manquantes de wordpress a été amélioré, la gestion des images où maintenant il est possible de régler la taille des images en miniature ou moyennes via le panneau de réglages; Un mode plein écran a été ajouté au formulaire d’écriture pour un grand confort d’utilisation, aussi le formulaire se dote d’un gestionnaire de tags amélioré (avec complétion de texte SVP).
Le menu “écrire” reçois désormais la gestion des liens et leurs catégories, le lien “blogoliste” se voit supprimé de l’interface d’administration.
Ce panneau de vient “intelligent” dans la mesure où il garde la dernière “vue” des sous menus étendus ou dernièrement utilisés.

Pour gérer

Une bibliothèque de médias apparaît, et prends la place du menu “fichiers envoyés”, sinon le changement a touché juste le côté design de la chose.
Petite note : Si vous êtes sur le menu “écrire > articles” et vous cliquez sur “gérer” vous gérerez automatiquement les articles, et c’est valide pour les liens et pages.

Apparence

On déplore le “drug and drop” des widgets sur le menu de gestion de ces dernières, mais la gestion reste conviviale quand même avec l’apparition d’un nouveau widget “pages”.

Réglages et Extensions

Les plugins sont renommés “extensions”, et les réglages sont revus par quelques petites nouveautés: permaliens qui reçoivent une option des plus courantes “mois et titre” mieux que (date et titre).

N’hésitez pas à tester cette nouvelle version :

Téléchargement (français) : http://fr.wordpress.org/releases
Mailing list spéciale testeurs : http://lists.automattic.com/mailman/listinfo/wp-testers

Publicité

Blog Search

Blogging

Bookmarks

Agenda & Calendriers

Chat

Communautés

Email

Enterprise

Evenements

Finances

Gouvernement

Internet

Recherche Emploi

Cartes

Media

Medecine

Messagerie

Musique

News

Business

Photos

Recommendations

Reference

Recherche

eCommerce

Stockage de données

Video

Widgets

WIKI

Via http://www.techmagazine.ws

Quand vous écrivez un billet, les bots et les sillons d’Internet le font parcourir jusqu’à celui qui l’a demandé ou même celui qui n’a rien demandé, qu’ill soit un simple bloggeur que vous connaissez ou pas, ou bien un chef d’entreprise ou marketteur intéressé par le billet ou juste une portion qui l’intéresse.

Le Wired magazine nous fait un joli graphique en flash décrivant le parcours d’un billet avant son arrivée au lecteur final…

http://www.wired.com/special_multimedia/2008/ff_secretlife_1602

Enjoy !

L’imbrication des tableaux pour les besoins de mise en page, le nombre hallucineux des balises TABLE, TD, TR, ainsi que la difficulté les mettre en un style modulable… tant de choses qui font que l’utilisation des tableaux est devenue une pratique à proscrire, surtout pour les grands sites ou portails. Le but de ce billet n’est pas de décrire concretement le fonctionnement et la façon avec laquelle on peut conçcevoir des sites avec des < div >, plusieurs sites proposent des tutoriaux à ce sujet, mais juste de montrer un peu l’utilité de travailler de cette façon ainsi que de partager quelques ressources qu’on utilise nous même dans nos travaux.

On peut toutefois, énumérer quelques bienfaits de l’utilisation de cette technique:
– Economiser sur la taille des fichiers HTML.
– La séparation du code HTML de celui de mise en page qui sera mis sur une feuille de style CSS externe.
– La simplicité dans la mise en forme générale d’un site, au lieu de changer sur plein de pages, on ne changera que sur la feuille de style et le tour est joué.

Voici quelques liens pour une documentation coplète à ce sujet:
– HTML: http://www.yoyodesign.org/doc/w3c/css2/cover.html
– PDF: http://syntaxorror.free.fr/Css/css2.pdf

Pour les futuristes, la version CSS3 (en développement):
– http://www.w3.org/Style/CSS/current-work

Voici un exemple de fichier .docx : Exemple-docx.zip

L’intêret pour les concepteurs de sites web est de pouvoir générer à partir de scripts côté serveur PHP, ASP, CFM… etc, trés facilement des fichiers compatibles Office 2007, loin d’avoir des librairies et modules côté serveur comme c’est le cas pour les swf, pdf ou zip sur le serveur Apache, on codera nous même ces types de fichiers avec des données statiques dynamiques ou issus de base de données, avec images et animations à volonté.

Visitez aussi ces liens :
>> Tutorial OpenXML – PHP: OpenXML et PHP (fr)
>> Ecma Office Open XML File Formats Standard: Final draft – 09/11/06 (eng)

Le lien : http://www.brandsoftheworld.com