Passer son site internet WordPress en HTTPS

Wordpress sécurisée HTTPS
WordPress HTTPS sécurisé CHC

Vous souhaitez surement passer votre site internet Worpdress en HTTPS pour profiter du cadenas HTTPS vert sur votre site internet !

Deux choses à savoir :

Mettre son site WordPress en HTTPS

La première chose à faire, c’est d’être sur que son site internet fonctionne en HTTPS, ne commencez pas à faire des redirections et à changer des options dans le panel WordPress ou la base de données si vous n’avez pas testé votre site.

https://mon-site.com

(*) Si tout fonctionne bien (la page charge), vous pouvez passer à la suite. C’est normal à ce stade si la feuille de style ne se charge pas !

Si votre hébergeur ne vous propose pas de certificat HTTPS gratuit, sachez qu’il est gratuit chez Cubis-Helios.

Changer les options du site pour mettre WordPress HTTPS

Quelque chose à ne surtout pas faire, modifier les options général de WordPress suivante :

  • Adresse web de WordPress (URL)
  • Adresse web du site (URL)

Pourquoi ? Nous allons directement le faire en base de données. Dans certains cas, votre site WordPress pourrait ne plus fonctionner si vous les changez ici. De plus, certains plugins récupèrent ces deux options pour les stocker en dur en base de données.

Depuis phpMyAdmin ou un autre service, exporter votre base de données, 2 fois.

Sous Linux, utilisez sed pour remplacer à la volée l’ancienne URL par votre nouvelle URL HTTPS.

sed -i.bak 's/http\:\/\/www.votre\-site.com/https\:\/\/www.votre\-site.com/g' export.sql

Sous Windows ou Mac, ouvrez simplement votre éditeur de texte, utilisez la fonction “Rechercher et remplacer” avec vos deux valeurs :

  • http://www.votre-site.com
  • https://www.votre-site.com

Renommez ensuite votre base de données sur MySQL (votre-base en votre-base-old par exemple), puis réimportez votre nouvel import (veillez à ce que les valeurs ai bien été remplacée, au moins pour les premières.

Vous pouvez désormais accéder à votre site WordPress en HTTPS !

Mettre en place une redirection pour rediriger HTTP vers HTTPS

Maintenant que vous avez passé votre site internet WordPress en HTTPS, redirigez tout le trafic vers HTTPS vous permettra d’éviter les erreurs de chargements HTTP.

Forcer son site en HTTPS

Conseils : attention au cadenas HTTPS gris sous WordPress !

Nous avons changés votre site internet de HTTP à HTTPS, le contenu mixte peut donc survenir et provoquer un cadenas HTTPS gris au lieu de vert !

Pour résoudre ce problème, nous vous invitons à consulter un autre article :

Certificat SSL reconnu et « mixed content »

Comment publier automatiquement sur les réseaux sociaux ?

Partager ses derniers articles sur les réseaux sociaux automatiquement

deliver-it, un service pour partager automatiquement ses derniers articles sur les réseaux sociaux

Publier automatiquement sur les réseaux sociaux

Si vous recherchez comment publier automatiquement sur les réseaux sociaux, vous avez deux options :

  • publier automatiquement mes dernières articles sur les réseaux sociaux (Facebook, Twitter, Google Plus, Pinterest, Linkedin) ;
  • publier automatiquement des anciens articles que vous aviez déjà fait (nécessite WordPress).

Attention, n’usez pas trop de ce genre de services, vous ne voudriez pas que les gens cessent de vous suivre car vous les spammez.

Publier automatiquement ses derniers articles sur les réseaux sociaux

Votre flux RSS sert à recenser tous les derniers articles publiés, WordPress par exemple le gère automatiquement. Ce flux RSS peut être lu par n’importe quel outil, comme Feedly par exemple.

Dlvr.it se sert de se flux RSS pour vérifier à intervalle régulier l’arrivée de nouveaux éléments, si nouvel élément il y a, alors il se chargera de publier les derniers articles sur les réseaux sociaux.

Publier automatiquement sur les réseaux sociaux grâce au flux RSS
Rechercher le flux RSS d’un site internet
Partager ses derniers articles sur Facebook, Twitter, Google Plus, Linkedin
Ajouter de nouveaux réseaux sociaux où partager ses derniers articles

Tout simplement, deliver-it se chargera de récupérer les derniers articles depuis votre flux RSS (à noter que vous pouvez utiliser n’importe quel flux), et se chargera de publier automatique un article sur Facebook, Twitter et Google Plus.

A noter que dans la version gratuite, seulement 3 réseaux sociaux sont utilisables pour poster en automatique, ce qui est tout de même pas mal. Nous avons donc délaissé Facebook pour ajouter notre page Linkedin Entreprise.

Publier automatiquement des anciens articles sur les réseaux sociaux

Nous parlions de Revive Old Posts dans notre article sur les plugins WordPress indispensables à avoir en 2017.

Le plugin est très simple d’utilisation, la démarche à suivre pour s’identifier sur Facebook est très simple, sur Twitter c’est automatique avec l’openid.

Pensez à exclure des catégories à ne pas republier automatiquement (comme par exemple la catégorie actualité, il n’y a plus de sens de publier ses articles trop longtemps après ladite actualité).

Publier automatiquement ses anciens articles sur Facebook et Twitter
Revive Old Post, republier automatiquement sur les réseaux sociaux des anciens articles

Le seul côté négatif de ce plugin c’est qu’il n’y ai que la possibilité de publier automatiquement sur Facebook et Twitter... On aurait aimé avoir davantage de réseaux sociaux sur lesquels publier dans la version gratuite.

WordPress : Comment modifier correctement son thème ?

Modifier un thème WordPress via le CSS
Capture d’écran de l’inspecteur CSS de Google Chrome sur mon thème WordPress

Pour bien modifier votre thème WordPress, et le modifier correctement, vous allez avoir besoin de créer un thème enfant.

Un thème enfant vous permettra de modifier votre thème WordPress courant sans pour autant vous priver de ses mises-à-jour.

1 – Créer un thème enfant sous WordPress

Un excellent plugin existe pour créer un thème enfant sous WordPress, il s’agit de Child Theme Configurator, nous en parlions dans notre article : Les meilleurs plugins WordPress en 2017.

En un clic, il vous permet de créer la copie conforme de votre thème actuel WordPress.

Une fois installé, Child Theme Configurator se trouve dans Outils > Thèmes enfants.

Pour créer un nouveau thème enfant WordPress il suffit de voir l’option : “CRÉER un nouveau thème enfant“. Une fois analysé, votre thème est prêt à être copié dans un thème enfant, cliquez sur le bouton en bas “Create new child theme“, laissez toutes les options proposées par défaut.

Modifier son thème WordPress avec un thème enfant
Thème enfant du thème WordPress par défaut : Tweenty Seventen

2 – Activer son thème enfant pour modifier son thème WordPress

Une fois le thème enfant créé, dans Apparence, un nouveau thème s’est créé, votre thème enfant. Activez-le.

A ce stade retournez sur votre site, vous devriez avoir exactement la même chose qu’avec le thème parent.

Si ce n’est pas le cas, la feuille de style a probablement sauté, essayez de changer cette option dans Child Theme Configurator ou laissez-nous un commentaire pour que l’on puisse vous aider.

Maintenant que le thème enfant de votre thème WordPress est activé, nous allons pouvoir modifier le thème sans casser les mises à jour du thème parent.

3 – On peut maintenant customiser son thème WordPress

Dans Apparence > Editeur, vous voyez que la structure a changé, un seul fichier CSS existe, le fichier style.css dont vous allez vous servir pour réécrire les propriétés de votre thème parent. Ne touchez pas au fichier functions.php.

/*
Theme Name: Twenty Seventeen Child
Theme URI: https://wordpress.org/themes/twentyseventeen/
Template: twentyseventeen
Author: the WordPress team
Author URI: https://wordpress.org/
Description: Twenty Seventeen brings your site to life with header video and immersive featured images. With a focus on business sites, it features multiple sections on the front page as well as widgets, navigation and social menus, a logo, and more. Personalize its asymmetrical grid with a custom color scheme and showcase your multimedia content with post formats. Our default theme for 2017 works great in many languages, for any abilities, and on any device.
Tags: one-column,two-columns,right-sidebar,flexible-header,accessibility-ready,custom-colors,custom-header,custom-menu,custom-logo,editor-style,featured-images,footer-widgets,post-formats,rtl-language-support,sticky-post,theme-options,threaded-comments,translation-ready
Version: 1.1.1488900103
Updated: 2017-03-07 15:21:43
*/

C’est ici que vous placerez votre nouveau CSS, le fichier est vide, c’est normal ! Par exemple, vous allez pouvoir changer la couleur de fond de l’entête votre thème WordPress ici, grâce au CSS.

Modifier le code CSS de son thème WordPress

Modifier un thème WordPress via le CSS
Capture d’écran de l’inspecteur CSS de Google Chrome sur mon thème WordPress

Sur Google Chrome (CTRL+MAJ+I), sur Firefox (F12).

  • La petite flèche en haut à gauche de la console permet de sélectionner un élément (passez votre souris sur la page).
  • En bas à gauche, on peut modifier notre code CSS à la volée pour voir ce que cela donne.

Une fois le code CSS modifié, il n’y a plus qu’à le reporter dans notre feuille de style (style.css que l’on a vu plus haut).

body:not(.home) header#masthead { background-color: white; }

Depuis ce que j’ai pu constater dans mon code CSS, ce code devrait fonctionner car au niveau de l’inclusion du code du thème enfant dans WordPress, cette inclusion est faite après le thème parent, donc prend le dessus.

Si ce n’est pas le cas, ne pas hésiter les variantes suivantes, en rajoutant “html” devant ou “!important” après la propriété (en dernier recourt ou pour overrider ce qui est écrit avec la balise html “style”.

html body:not(.home) header#masthead { background-color: white; }
body:not(.home) header#masthead { background-color: white !important; }

Bon courage ! N’hésitez pas à nous poser vos questions sur la modification de thèmes WordPress en commentaire !!

WordPress : Notification si quelqu’un se connecte sur l’admin

Alerte connexion admin Wordpress

Alerte connexion admin WordPress

Alerte de connexion à l’administration de WordPressPour augmenter la sécurité de son site internet WordPress, nous avons choisi d’être averti en cas de logging d’un administrateur sur le backoffice de WordPress.

Recevoir une notification si un administrateur se connecte sur votre site WordPress vous permettra de réagir rapidement en cas d’attaque !

Alerte de connexion sur l’admin WordPress

Le plugin WordPress que nous utilisons s’appelle tout simplement “Email notification on admin login“. Il fonctionne à merveille, voir la capture d’écran en haut de l’article.

Vous n’avez qu’à l’installer et il fait tout tout seul !

Configurer le plugin d’alerte de connexion à l’administration de WordPress

Le plugin très simple comporte deux fichiers situés dans :

/wp-content/plugins/email-notification-on-admin-login/

Changer le destinataire de l’adresse e-mail de notification de connexion

Ligne 13 du fichier config.php, la ligne suivante permet d’utiliser l’e-mail du responsable du site :

 define("ADMIN_EMAIL", "$admin_email");

Vous pouvez remplacer “$admin_email” par une autre adresse e-mail.

Personnaliser la notification de connexion à l’administration de WordPress

Dans le fichier index.php, vous trouverez sous format texte le message du plugin de notification de connexion WP.

$message = <<<MESSAGE
 An admin logged in your WordPress website {$website_name} on {$get_time_of_login}
 with the IP: {$get_ip}
MESSAGE;

Vous pouvez aménager cela comme vous voulez, tant que vous gardez les variables.

WordPress : Désactiver WP REST API (faille de sécurité)

Désactiver WordPress REST API
WP-JSON, l’API REST pour WordPress

Désactiver WordPress REST API

Désactiver WordPress REST API est la chose à faire pour éviter les problèmes de sécurité à venir sur WordPress > 4.6. En effet les dernières failles WordPress concernent cette API ouverte.

WordPress a choisi de mettre en ligne sa WP REST API et son protocole XML RPC depuis la version 3.5. Ils servent à des applications de communiquer avec votre site internet WordPress, le célèbre plugin JetPack s’en sert.

Certaines thèmes (récents) s’en servent aussi. Alors une fois l’API REST de WordPress désactivée, pensez à vérifiez que votre site est bien fonctionnel !

Pourquoi autoriser la WP REST API est dangereux ?

Dans les architecture logiciel actuelles (c’est la mode), les développeurs codent avec un côté front (ce que l’utilisateur voit) et un côté back (ce avec quoi l’utilisateur interagi (base de données, articles…)). Une API REST sert justement à cette architecture, on propose au front une interface pour communiquer avec le back.

Jus-qu’il y a quelques années on utilisait tout sur le même projet pour les projets web, cette nouvelle approche apporte une grande flexibilité, mais un peu moins de sécurité…

Désactiver WP REST API sur son site internet WordPress

Un simple plugin pour désactiver l’API WordPress

Si vous ne souhaitez désactiver que l’API REST de WordPress, cette option est toute trouvée pour vous.

Désactiver WP REST API WordPress
Désactiver la REST API de WordPress pour les utilisateurs non enregistrés

https://fr.wordpress.org/plugins/disable-json-api/

Attention, car ce plugin ne désactive que le REST API WP pour les utilisateurs anonymes, si un bot s’est inscrit sur votre site internet les failles seront toujours exploitables.

SecuPress, désactiver l’API REST de WordPress

SecuPress est un très bon plugin de sécurité dont nous avions parlés dans notre article “Les meilleurs plugins gratuits de WordPress en 2017“.

Dans SecuPress > Modules > Données sensibles, cochez les deux cases :

  • Désactiver toutes les fonctionnalités de XMP-RPC
  • Désactiver les fonctionnalités de l’API REST
Désactiver WP REST API et XML RPC
Désactiver l’API REST de WordPress ainsi qu’XML-RPC

https://fr.wordpress.org/plugins/secupress/