(1 vote(s), 
Loading...Tout le monde sait qu'il faut masquer la version de votre CMS WordPress, surtout s'il est faillible, et vous n'avez pas besoin de 410 000 euros du contribuables...
Parmi les méthodes les plus connues on trouve celle du remove_action mais de nombreux blogs contiennent aussi un fichier readme.html à la racine du blog, dans laquelle la version WordPress est présente (et en gros) :
J'ai fait un tour sur le top e-buzzing et le nombre de blogs qui ne sont pas à jour et dont la version s'affiche grâce au readme est juste hallucinante : aucun des dix premiers blogs n'est à jour et le plus faillible est en version 3.3.2 (avril 2012 !).
Que faire ?
C'est une connerie de la part de WP de laisser ce fichier après l'installation, il faudrait au minimum le renommer en readme_xxxx.html avec xxx une chaine de caractères aléatoire.
Vous pouvez bien sûr supprimer le fichier mais il reviendra à chaque mise à jour de WordPress, le mieux est donc d'interdire son accès via un fichier .htaccess à la racine de votre blog en ajoutant :
<Files readme.html> deny from all </Files>
Vous obtiendrez ainsi une erreur 403, même si le fichier est absent. Vous pouvez aussi bloquer license.txt et wp-config-sample.php qui ne servent pas en production.
A vos FTP, corrigez !
MàJ 19/02/2014 : je vous invite à utiliser les directives de Djerfy, plus complètes
8 commentaires
Merci Mr Xhark pour ce petit truc tout simple à mettre en place mais qui peut éviter bien des désagréments. Je conseille également l'installation de ce plugin : http://gotmls.net/ (Anti-Malware) qui m'a débarrassé mes scripts de webshell bien planqués. A utiliser sans modération !
Franchement je n'utilise pas WP mais ça vaudrait le coup d'envoyer quelques petits mails pour insister sur ce point dans les prochaines versions, non ?
@zatmania: de mon côté j'utilise Wordfence et mon wp-admin est protégé
@Simon Tripnaux: les utilisateurs n'ont qu'à faire les màj, c'est très facile
Il est vrai qu'anti-malware est plus là à titre curatif, au niveau préventif, j'utilise : Better WP Security, Wordfence et Total Security.
Meuh non ce n'est pas de la paranoia :). Je tiens juste à dire que malgré l'utilisation de ces 3 dernières extensions, mon site était "infecté". Les causes probables, un thème acheté chez rockettheme qui après les 3 mois de souscription ne donne pas droit au mises à jour !
Merci pour tes infos toujours à la pointe !!!
Pour nginx, le fichier htaccess aura le contenu suivant :
location ~ readme.html { deny all; }
Hello, pour le Nginx je vous recommande plutôt de mettre cela :
location ~ (readme|license|wp-settings|wp-config-sample)\.(php|txt|html|htm)$ { deny all; };🙂
@Djerfy: thx