Posts Tagged ‘wordpress’

Mise-a-jour WordPress par l’interface web via SSH

Wednesday, October 13th, 2010

J’ai eu l’occasion de m’intéresser à la mise-à-jour de WordPress par l’interface web, et notamment via SSH car un Pack Web Evolix active uniquement un accès SSH/SFTP/RSYNC pour un compte web par défaut. Pour cela, il faut installer le paquet php5-ssh2 (disponible sur http://pub.evolix.net/lenny/ en version amd64 pour Debian Lenny), ce qui active automatiquement la possibilité de choisir SSH2 pour la mise-à-jour. Attention, il faut également activer allow_url_fopen pour que cela fonctionne correctement (merci à ce blog-post). Bien sûr, cela permet également de réaliser les mises-à-jour des plugins comme Akismet par exemple.

Voilà, il ne reste plus qu’à rentrer votre identifiant et mot de passe lors d’une mise-à-jour (évidemment cela ne dispense pas de tester en pré-production, de faire des sauvegardes, de désactiver puis réactiver ses plugins, etc.)… vous n’avez donc plus de raison d’avoir une version de WordPress avec des failles de sécurité !

upgrade wordpress via sftp

Tags: , , , ,
Posted in Evolix, french, planet-libre | 4 Comments »

Mise-à-jour WordPress et sécurisation basique

Thursday, August 13th, 2009

Une faille de sécurité sur le logiciel WordPress permet de réinitialiser le mot de passe d’un utilisateur connu (admin par exemple…). Cela consiste à faire une requête du type http://SERVERNAME/wp-login.php?action=rp&key[]= (soumettre une key[] vide permet apparemment de rendre inutile la vérification par mail). Il est donc conseillé de mettre à jour WordPress en version 2.8.4 (voici le patch pour passer de la version 2.8.3 à 2.8.4).

J’en profite pour rappeler quelques notions basiques pour sécuriser une installation d’un logiciel PHP, surtout quand il est très répandu : si possible, limiter les accès aux parties backoffice via Apache (restriction par adresses IP et/ou authentification HTTP), utiliser des identifiants originaux (pas forcément admin…), des mots de passes complexes, éviter les modules/plugins non fiables, suivre les notifications de mises-à-jour et les appliquer rapidement (cela implique de limiter les modifications intrusives empêchant des futures mises-à-jour, ou du moins les préparer sous forme de patch pour les ré-appliquer très rapidement), etc. Pour le premier point, voici un exemple de sécurisation de WordPress via Apache :

<LocationMatch "^/wordpress/wp-(admin|login)">
Deny from all
Allow from YOUR_IP
</LocationMatch>

Tags: , , ,
Posted in Evolix, french | 2 Comments »

Hack to have share items from Google reader in WordPress

Monday, April 7th, 2008

I migrate my blog to WordPress 2.5 and there is a cool feature: widget to have a feed in the sidebar. In the same time, I use now Google reader and I have the possibility to share blog entries with friends: when I find a nice blog entry, I tag it Share and Google reader aggregates all my favorite posts. Unfortunately RSS parser of WordPress is buggy with this Atom feed from Google reader. You can find a description of the problem in WordPress forum (titles and links are incorrect because Atom feed could have many tags per item). I write a dirty hack to correct this problem and now you can find “My blogosphere” on the right of my blog.

Tags: ,
Posted in English | Comments Off on Hack to have share items from Google reader in WordPress