La sécurité de ton site WordPress, c’est un peu comme celle de ta maison. Tu ne laisserais pas la porte grande ouverte, n’est-ce pas ? Pourtant, beaucoup d’administrateurs laissent des failles béantes sans le savoir, simplement en négligeant un aspect fondamental : les permissions de fichiers. C’est un sujet qui peut sembler un peu aride, technique, et pourtant, maîtriser les droits d’accès de tes fichiers et dossiers WordPress est une des premières lignes de défense contre les intrusions et les mauvaises surprises. Oubliées ou mal configurées, ces permissions peuvent transformer ton site en un véritable boulevard pour les attaquants. Nous allons voir ensemble comment durcir ton WordPress en configurant les bons droits, de manière simple et efficace.
Comprendre le cœur des permissions de fichiers pour WordPress
Avant de plonger dans les chiffres magiques comme 755 ou 644, il est crucial de comprendre ce que sont réellement les permissions de fichiers. En gros, elles définissent qui peut faire quoi avec un fichier ou un dossier sur ton serveur. Il y a trois types d’actions : lire (read, `r`), écrire (write, `w`) et exécuter (execute, `x`). Et il y a trois catégories d’utilisateurs : le propriétaire du fichier (user), le groupe auquel appartient le fichier (group), et tout le monde (others).
Chaque permission (lire, écrire, exécuter) est représentée par une valeur numérique : 4 pour lire, 2 pour écrire, 1 pour exécuter. En additionnant ces valeurs, on obtient un chiffre pour chaque catégorie d’utilisateur. Par exemple, si le propriétaire peut lire (4) et écrire (2), mais pas exécuter, il a la permission 6 (4+2). Si le groupe peut lire (4) et exécuter (1), il a 5 (4+1). Si « tout le monde » peut seulement lire (4), il a 4. Combinées, ces trois valeurs donnent un code à trois chiffres, comme 654 ou le très courant 755.
Pour un site WordPress, le « propriétaire » est généralement l’utilisateur FTP ou SSH que tu utilises pour te connecter à ton serveur. Le « groupe » est souvent le groupe de ton serveur web (par exemple, `www-data` sur Debian/Ubuntu ou `apache` sur CentOS/RHEL). « Tout le monde », c’est littéralement n’importe qui d’autre sur le serveur. L’objectif est de donner le moins de droits possible tout en permettant à WordPress de fonctionner correctement. Un équilibre délicat, mais essentiel pour ta sécurité. Un fichier avec des permissions trop laxistes (comme 777, qui donne tous les droits à tout le monde) est une invitation ouverte aux pirates. Ils pourraient y injecter du code malveillant, modifier tes pages, ou même prendre le contrôle de ton site. À l’inverse, des permissions trop strictes pourraient empêcher WordPress de fonctionner, de télécharger des médias, ou de se mettre à jour.
Les droits d’accès idéaux pour un WordPress sécurisé
Maintenant que tu as compris le principe, passons aux recommandations concrètes. Ces valeurs sont considérées comme les bonnes pratiques pour la grande majorité des installations WordPress. Elles permettent un fonctionnement optimal tout en minimisant les risques de sécurité.
-
- Pour les dossiers : 755
C’est la permission standard pour tous les répertoires de ton installation WordPress. Cela signifie que le propriétaire peut lire, écrire et exécuter (7), tandis que le groupe et les autres ne peuvent que lire et exécuter (5). Pourquoi « exécuter » pour les dossiers ? Parce que cela permet de « traverser » le répertoire, c’est-à-dire d’accéder à son contenu. Sans cela, même si un fichier à l’intérieur est lisible, tu ne pourrais pas y accéder.
Comment l’appliquer ? Si tu utilises un client FTP comme FileZilla, tu peux faire un clic droit sur un dossier, choisir « Permissions de fichier… » et entrer 755. Assure-toi de cocher « Inclure les sous-répertoires » et « Appliquer aux répertoires seulement ».
Si tu es à l’aise avec SSH, c’est encore plus simple et puissant. Connecte-toi à ton serveur, navigue jusqu’au dossier racine de ton WordPress (par exemple, `/var/www/tonsite.com/public_html/`) et exécute la commande suivante :
find . -type d -exec chmod 755 {} ;
Cette commande va chercher tous les dossiers (`-type d`) à partir du répertoire courant (`.`) et leur appliquer les permissions 755.
-
-
- Pour les fichiers : 644
-
C’est la permission standard pour tous les fichiers de ton installation WordPress. Le propriétaire peut lire et écrire (6), tandis que le groupe et les autres ne peuvent que lire (4). Personne d’autre que le propriétaire ne peut modifier les fichiers, et personne ne peut les exécuter (ce qui est crucial pour éviter l’exécution de scripts malveillants par des non-autorisés).
Comment l’appliquer ? Avec un client FTP, tu fais la même manipulation que pour les dossiers, mais tu coches « Appliquer aux fichiers seulement » et tu mets 644.
Avec SSH, tu complètes la commande précédente :
find . -type f -exec chmod 644 {} ;
Celle-ci va chercher tous les fichiers (`-type f`) et leur appliquer les permissions 644.
Attention : Ces deux commandes `find` sont à lancer depuis la racine de ton installation WordPress. Elles sont très efficaces pour réinitialiser toutes les permissions d’un coup.
-
-
-
- Le cas particulier de `wp-config.php` : 600 ou 640
-
-
Ce fichier est le cœur battant de ton WordPress. Il contient les identifiants de ta base de données, les clés de sécurité, et d’autres informations très sensibles. Il doit être protégé au maximum. Les permissions 600 signifient que seul le propriétaire peut lire et écrire. Personne d’autre n’a de droits. C’est la configuration la plus stricte et souvent recommandée. Si ton serveur web a besoin de lire ce fichier pour faire fonctionner WordPress, et qu’il n’est pas le propriétaire du fichier, tu pourrais avoir besoin de 640. Cela donne des droits de lecture au propriétaire du groupe (souvent le serveur web). Si tu as un doute, commence par 600 et si ton site ne démarre plus, passe à 640.
Comment l’appliquer ?
chmod 600 wp-config.php
Ou :
chmod 640 wp-config.php
À exécuter depuis le dossier racine de WordPress.
-
-
-
-
- Le dossier `wp-content/uploads` : souvent 755, parfois 775
-
-
-
Le dossier `uploads` est un peu une exception. C’est là que WordPress stocke toutes les images et autres médias que tu télécharges. Le serveur web a donc absolument besoin d’y écrire. Normalement, 755 devrait suffire si le propriétaire du dossier est l’utilisateur sous lequel tourne le serveur web. Cependant, dans certaines configurations d’hébergement mutualisé où l’utilisateur FTP et l’utilisateur du serveur web appartiennent à des groupes différents, tu pourrais avoir besoin de 775. Cela donne des droits d’écriture au groupe, ce qui permet au serveur web d’y enregistrer des fichiers. Évite à tout prix le 777 ici, c’est une porte ouverte à l’injection de code via l’upload de fichiers malveillants.
Comment l’appliquer ?
find wp-content/uploads -type d -exec chmod 755 {} ;
find wp-content/uploads -type f -exec chmod 644 {} ;
Si tu as des problèmes d’upload après cela, essaie :
find wp-content/uploads -type d -exec chmod 775 {} ;
Mais toujours en laissant les fichiers à 644.
N’oublie pas qu’après avoir effectué des mises à jour importantes de WordPress, de plugins ou de thèmes, ou après avoir migré ton site, il est toujours bon de vérifier et de réappliquer ces permissions. C’est une mesure de précaution simple mais efficace. Certains plugins de sécurité WordPress peuvent t’aider à surveiller ces permissions et à t’alerter en cas de modification suspecte, comme iThemes Security Pro ou Wordfence Security. Tu peux en apprendre plus sur ces outils sur leurs sites officiels iThemes Security ou Wordfence
En fin de compte, la gestion des permissions de fichiers n’est pas une tâche que l’on effectue une fois pour toutes et que l’on oublie. C’est un aspect fondamental de la maintenance et de la sécurité de ton site WordPress qui demande une attention régulière. En adoptant les bonnes pratiques que nous venons de voir, tu ajoutes une couche de protection essentielle à ton site, le rendant bien plus résistant face aux tentatives d’intrusion. Pense à ces permissions comme à des serrures sur les portes et fenêtres de ta maison numérique : plus elles sont solides et bien ajustées, plus tu dors tranquille.
