Sécurité Joomla : Comment sécuriser & protéger site Joomla?

Votre site internet est créé avec joomla. Tout excellent, voire meilleur CMS à ce jour sur le marché, il est indispensable de le sécuriser

Quelques règles pour sécuriser un site joomla

• Vos mots de passe doivent êtres de type complexe.(au minimum 10 caractères, incluant chiffres et caractères spéciaux); il faut les changer régulièrement. Vos mots de passes doivent être uniques;
  • Si vous gérez plusieurs sites internet joomla : Tous vos mots de passe doivent être différents!;
  • Ne mettez pas le même mot de passe pour votre base de données que pour le super admin de votre site ou le compte ftp;
  • Créez toujours un user par site dans votre gestionnaire de bdd si vous gérez plusieurs sites sur le même serveur;
  • Ne jamais laisser admin comme login du super user;
  • Si votre hénergeur le permet, sortez vos répertoire tmp et install de votre répertoire principal de votre site;
  • Préférez des hébergeurs capable de proposer une réelle isolation.

• Lorsque l'on parle de mots passe complexes à mettre en place, comprenez :
  • Mot de passe utilisateur dans la basse de données Mysql;
  • Mot de passe utilisateur FTP (un compte unique par site, et pensez à le supprimer le dès que vous n'en avez plus besoin); Votre client FTP quelqu'il soit est un super outil certes. Mais les hackeurs peuvent venir aussi jouer à récupérer l'ensemble des comptes ftp que vous avaez renseignés dans votre client FTP. Sur filezilla par exemple une attaque courante, revient à voler le fichier XML qui contient toutes ces données. Au moindre doute, changez tous les mots de passes...
  • Mot de passe super admin de joomla;
• Si vous confiez un acces super admin à un tiers :
  • Ne lui communiquez JAMAIS votre propre acces, créez lui un autre login / mot de passe TEMPORAIRE
  • Des que possible supprimez cet user (Sous joomla, redescendez d'abord le niveau du user à administrator);

Tenir à jour son site Joomla, et les éléments qui le composent

• Votre cms joomla doit être à jour dans la dernière version proposée par le site officiel de Joomla.org (seul site officiel...).
  • Très important : Veillez à bien vérifier la bonne mise à jour de tous les composants tiers de Joomla (composants, modules, etc...). Voici quelques pistes pour les portes d'entrées les plus courantes : editeur de textes, composants de forum, composants ou modules de slides, gestionnaires de boutiques en lignes.  ;
  • Si votre .htacess est modifié, vous ne réglerez pas votre problème en vous contentant de restaurer la bonne version du fichier .htacess. Le cheval de Troie est ailleurs qu'à la racine, et sera activé par des automates. Si vous avez l'heure exacte de votre attaque, checkez vos fichiers logs, vous devriez trouver l'adresse interne dans votre site du dit cheval de Troie;

• Sécuriser les répertoires (chmod sur 555); de vérrouiller vos fichiers de config (chmod 444); de supprimer les templates non utilisées;

• C'est natif depuis la version 2.5 de joomla,changez le préfixe des tables de la base de données;

N'installer que des extensions qui sont sûres que vous avez testé préalablement, sécurisées et réputées de qualité. Faites une éventuelle recherche sur suciri.net pour connaître l'état de ce composant...

• Vos mails mettent plus de temps qu'habituellement à parvenir chez vos interlocuteurs? Vous pouvez raisonnablement suspecter votre site internet d'héberger à votre insue un maileur... et souvent un script hameçonnage.

Bon plan : des outils dédiés la lutte contre les sites joomla hackés existent, utilisez les! Par exemple n'hésitez pas à installer des outils comme Crawltrack pour protéger vos sites joomla, il vous suffit pour cela de mettre le code dans le fichier index de la template;

Sécuriser un site venant de subir une attaque est un travail réel, bon courage!