Le déplacement de wp-config en dehors de la racine Web est-il vraiment avantageux?

Leplusimportantest que le wp-config.php contient desinformations sensibles: votrenom d'utilisateur/mot depasse debase de données,etc.

Donc l'idée: déplacez-le hors de la racine du document,et vousn'aurez à vous soucier de rien. Un attaquantne pourrajamais accéder à cefichier depuis une sourceexterne.

Voici le hic,cependant: wp-config.phpn'imprimejamais rien à l'écran. Ilne définit que diverses constantes utiliséestout au long de votreinstallation WP. Ainsi,la seulefaçonpour quelqu'un de voir le contenu de cefichierest de contourner l'interpréteur PHP de votre serveur -il obtient lefichier .php à restituer sousforme detextebrut. Si cela seproduit,vous avez déjà desproblèmes:ils ont un accès direct à votre serveur (etprobablement des autorisations root)et peuventfaire ce qu'ils veulent.

Je vais continueret dire qu'iln'y a aucun avantage à déplacer wp-configen dehors de la racine du document dupoint de vue de la sécurité -pour les raisons ci-dessuset celles-ci :

1. Vouspouvez restreindre l'accès aufichier via votre configuration d'hôte virtuel ou .htaccess -en limitantefficacement l'accèsextérieur aufichier de lamêmemanière que lefait de sortir de la racine du document
2. Vouspouvez vous assurer que les autorisations defichier sont strictes sur wp-configpourempêchertout utilisateur sansprivilèges suffisants de lire lefichiermême s’il obtient un accès (limité) à votre serveur via SSH.
3. Vosinformations sensibles,lesparamètres debase de données,ne sont utilisées que sur un seul site. Ainsi,même si un attaquant avait accès à cesinformations,le seul site concerné serait l'installation de WordPress à laquelle appartient lefichier wp-config.php. Plusimportantencore,cet utilisateur debase de donnéesn'a que des autorisationspour lireet écrire dans labase de données de cetteinstallation WPet rien d'autre - aucun accèspour accorder des autorisations à d'autres utilisateurs. Autrement dit,si un attaquant accède à votrebase de données,il s'agit simplement de restaurer àpartir d'une sauvegarde (voirpoint 4)et de changer l'utilisateur de labase de données
4. Vous sauvegardez souvent. Souvent unterme relatif: si vouspubliez 20 articles chaquejour,vousferiezmieux de sauvegardertous lesjours outous les quelquesjours. Si vouspostez unefoispar semaine,une sauvegarde unefoispar semaineestprobablement suffisante.
5. Vous avez votre site sous contrôle de version ( comme celui-ci ),ce qui signifie quemême si un attaquant a obtenu l'accès,vouspouvez détecterfacilement lesmodifications de codeet les annuler. Si un attaquant a accès à wp-config,il aprobablementjoué avec autre chose.
6. Lesinformations de labase de données sont vraiment les seules choses sensibles dans wp-config,et parce que vous yfaites attention (voir lespoints 3et 4),cen'estpas ungrosproblème. Les selset autrespeuvent êtremodifiés àtoutmoment. La seule chose qui seproduitest que celainvalide les cookies des utilisateurs connectés.

Pourmoi,déplacer wp-config hors de la racine du documentpue la sécuritépar l'obscurité - ce quiest vraiment un homme depaille.

The biggest thing is the wp-config.php contains some sensitive information: your database username/password, etc.

So the idea: move it outside the document root, and you don't have to worry about anything. An attacker will never be able to access that file from an external source.

Here's the rub, however: wp-config.php never actually prints anything to the screen. It only defines various constants that are used throughout your WP install. Thus the only way someone is going to see that contents of that file is if they circumvent your servers PHP interpreter -- they get .php file to render as just plain text. If that happens, you're already in trouble: they have direct access to your server (and probably root permissions) and can do whatever they like.

I'm going to go ahead and say there's no benefit to moving wp-config outside the document root from a security perspective -- for the reasons above and these:

1. You can restrict access to the file via your virtual host config or .htaccess -- effectively limiting outside access to the file in the same way that moving outside the document root would
2. You can ensure the file permissions are strict on wp-config to prevent any user without sufficient privileges from reading the file even if they gain (limited) access to your server via SSH.
3. Your sensitive information, database settings, are only used on a single site. So even if an attacker gained access to that information, the only site it would affect would be the WordPress install to which the wp-config.php file belongs. More importantly, that database user only has permissions to read and write to that WP install's database and and nothing else -- no access to grant other users permissions. Meaning, in otherwords, if an attacker gains access to your database, it's simply a matter of restoring from a backup (see point 4) and changing the database user
4. You backup often. Often being a relative term: if you post 20 article every day, you better back up every day or every few days. If you post once a week, backing up once a week is likely sufficient.
5. You have your site under version control (like this), which means even if an attacker gained access, you can easily detect code changes and roll them back. If an attacker has access to wp-config, they've probably messed with something else.
6. The database information is really the only sensitive stuff in wp-config, and because you're careful about it (see point 3 and 4), it's not a huge deal. Salts and such can be changed any time. The only thing that happens is that it invalidates logged in users' cookies.

To me, moving wp-config out of the document root reeks of security by obscurity -- which is very much a straw man.

Jepense que Max'sest une réponsebien informée,et c'est un aspect de l'histoire.Le WordPress Codex aplus de conseils :

Deplus,assurez-vous que seul vous (et le serveur Web)pouvez lire cefichier (cela signifiegénéralement unepermission de 400 ou 440).

Si vous utilisez un serveur avec .htaccess,vouspouvez lemettre dans cefichier (à touten haut)pour refuser l'accès à quiconque surfepour lui:

 <files wp-config.php>
order allow,deny
deny from all
</files>
 

Notez que la définition d'une autorisation 400 ou 440 sur wp-config.phppeutempêcher lesplugins d'écrire ou de lemodifier.Un cas authentique,parexemple,serait lamiseen cache desplugins (W3 Total Cache,WP Super Cache,etc.) Dans ce cas,j'irais avec 600 (l'autorisationpar défautpour lesfichiers dans /home/userrépertoire).

I think Max's is a knowledgeable answer, and that's one side of the story. The WordPress Codex has more advise:

Also, make sure that only you (and the web server) can read this file (it generally means a 400 or 440 permission).

If you use a server with .htaccess, you can put this in that file (at the very top) to deny access to anyone surfing for it:

<files wp-config.php>
order allow,deny
deny from all
</files>

Note that setting 400 or 440 permission on wp-config.php may prevent plugins from writing to or modifying it. A genuine case for example would be, caching plugins (W3 Total Cache, WP Super Cache, etc.) In that case, I'd go with 600 (the default permission for files in /home/user directory).

Quelqu'unnous a demandé debrilleret je répondraiici.

Oui,il y a des avantages de sécurité àisoler votre wp-config.php du répertoire racine de votre site.

1- Si votregestionnaire PHPest cassé oumodifié d'unemanière ou d'une autre,vosinformations DBne serontpasexposées. Et oui,j'ai vu cela seproduireplusieursfois sur des hôtespartagés lors desmises àjour du serveur. Oui,le site serainterrompupendant cettepériode,mais vosmots depasse serontintacts.

2- Lesmeilleurespratiques recommandenttoujours d'isoler lesfichiers de configuration desfichiers de données. Oui,c'est difficile de lefaire avec WordPress (oun'importe quelle application Web),mais le déplacer vers le haut crée unpeu d'isolement.

3- Souvenez-vous de la vulnérabilité PHP-CGI,oùn'importe quipouvaitpasser les? -s à unfichieret voir la source. http://www.kb.cert.org/vuls/id/520827

À lafin,ce sont depetits détails,maisils aident àminimiser les risques. Surtout si vous êtes dans unenvironnementpartagé,oùn'importe quipeut accéder à votrebase de données (tout ce dontils ontbesoinest un utilisateur/pass).

Maisne laissezpas depetites distractions (optimisationsprématurées)prendre le dessus sur ce quiest vraimentnécessairepour sécuriser correctement un site:

1- Gardez-letoujours àjour

2- Utilisez desmots depasseforts

3- Restreindre l'accès (via lespermissions). Nous avons un article à ce sujetici:

http://blog.sucuri.net/2012/08/wordpress-security-cutting-through-the-bs.html

merci,

Someone asked us to shine in, and I will reply here.

Yes, there are security benefits from isolating your wp-config.php from the root directory of your site.

1- If your PHP handler gets broken or modified in some way, your DB information will not be exposed. And yes, I saw this happen a few times on shared hosts during server updates. Yes, the site will be broken during that period, but your passwords will be intact.

2- Best practices always recommend isolating configuration files from data files. Yes, it is hard to do that with WordPress (or any web app), but moving it up does a bit of isolation.

3- Remember the PHP-CGI vulnerability, where anyone could pass the ?-s to a file and view the source. http://www.kb.cert.org/vuls/id/520827

At the end, those are small details, but they do help to minimize risk. Specially if you are on a shared environment, where anyone can access your database (all they need is a user/pass).

But don't let small distractions (premature optimizations) get in front of what is really necessary to get a site properly secure:

1- Keep it always updated

2- Use strong passwords

3- Restrict access (via permissions). We have a post about it here:

http://blog.sucuri.net/2012/08/wordpress-security-cutting-through-the-bs.html

thanks,

Certainement OUI.

Lorsque vous déplacez wp-config.php en dehors du répertoirepublic,vous leprotégez de la lecture à l'aide dunavigateur lorsque legestionnairephpestmodifié demanièremalveillante (ou accidentelle!).

La lecture de votre login/mot depasse DBestpossible lorsque le serveurest àpeine infectépar unefaute d'un administrateurboiteux.Facturez une amende à l'administrateuret obtenez un hôte de serveurmieuxentretenuet plusfiable.Bien que celapuisse êtreplus cher.

Definitely YES.

When you move wp-config.php outside public directory you protect it from reading using browser when php handler gets maliciously (or accidentally!) changed.

Reading your DB login/password is possible when server is hardly infected through a fault of lame administrator. Charge the administrator a fine and get a better-tended and more reliable server host. Though that may be more expensive.

Je veuxjuste clarifier,pour des raisons d'argumentation,que déplacer votrefichier wp_config.phpne signifiepasnécessairement que vous devez le déplacer uniquement vers le répertoireparent. Disons que vous avez une structuretelle que/root/html,où html contient l'installation WPet tout votre contenu HTML. Au lieu de déplacer wp_config.php vers/root,vouspouvez le déplacer vers quelque chose comme/root/secure ... quiest à lafoisen dehors du répertoire htmlet égalementpas dans le répertoire racine du serveur. Bien sûr,vous devez vous assurer quephppeut égalementfonctionner dans ce dossier sécurisé.

Puisque WPne peutpas être configurépour rechercher wp_config.php dans un dossierfrèretel que/root/secure,vous devezfaire une étape supplémentaire. J'ai laissé le wp_config.php dans/root/html,et j'ai découpé lesparties sensibles (connexion à labase de données,sel,préfixe detable)et les ai déplacées vers unfichier séparé appelé config.php. Ensuite,vous ajoutez la commande PHP include à votre wp_config.php,comme ceci: include('/home/content/path/to/root/secure/config.php');

C'estessentiellement ce quej'aifait dansma configuration. Maintenant,sur labase de la discussion ci-dessus,j'évaluetoujours si c'estnécessaire oumême unebonneidée. Maisje voulaisjuste ajouter que la configuration ci-dessusestpossible. Iln'exposepas vos sauvegardeset autresfichiers racine,et tant que le dossier sécurisén'estpas configuré avec sapropre URLpublique,iln'estpasnavigable.

Deplus,vouspouvez limiter l'accès au dossier sécuriséen créant unfichier .htaccess avec:

 order deny,allow
deny from all
allow from 127.0.0.1
 

I just want to clarify, for the sake of argument, that moving your wp_config.php file does not necessarily mean you have to move it only to the parent directory. Let's say you have a structure like /root/html, where html contains the WP installation and all of your HTML content. Instead of moving wp_config.php to /root, you could move it to something like /root/secure ... which is both outside the html directory and also not in the server root directory. Of course, you would need to make sure that php can run in this secure folder as well.

Since WP cannot be configured to look for wp_config.php in a sibling folder like /root/secure, you have to take an additional step. I left the wp_config.php in /root/html, and cut out the sensitive portions (database login, salt, table prefix) and moved them to a separate file called config.php. Then you add the PHP include command to your wp_config.php, like this: include('/home/content/path/to/root/secure/config.php');

This is essentially what I've done in my setup. Now, based on the above discussion, I am still evaluating whether it is necessary or even a good idea. But I just wanted to add that the above configuration is possible. It does not expose your backups and other root files, and so long as the secure folder is not set up with its own public URL, it is not browsable.

Furthermore, you can limit access to the secure folder by creating an .htaccess file in there with:

order deny,allow
deny from all
allow from 127.0.0.1

Il y abeaucoup demauvaisthèmeset plugins écrits quipermettent aux atatckers d'injecter du code (rappelez-vous leproblème de sécurité avec Timthumb). Sije devais être un attaquant,pourquoi devrais-je rechercher le wp-config.php? Injectez simplement ce code:

 var_dump( DB_NAME, DB_USER, DB_PASSWORD );
 

Vouspouvezessayer demasquer votre wp-config.php. Tant que WordPress rendtoutes lesinformations sensibles accessibles auniveaumondial,iln'a aucun avantage à cacher le wp-config.php.

Lamauvaisepartie de wp-config.phpn'estpas qu'il contient des données sensibles. Lamauvaisepartieest de définir les données sensibles comme une constanteglobale accessible.

<❯Mise àjour

Je veux clarifier lesproblèmes avec define()et pourquoi c'est unemauvaiseidée de définir des données sensibles comme une constanteglobale.

Ilexiste denombreusesfaçons d'attaquer un site Web. L'injection de scriptn'est qu'unmoyen d'attaquer un site Web.

En supposant que le serveur a une vulnérabilité quipermet à un attaquant d'accéder à un vidagemémoire. L'attaquanttrouvera dans le vidagemémoiretoutes les valeurs detoutes les variables. Si vous définissez une constante accessibleglobale,elle doit resteren mémoirejusqu'à lafin du script. En créant une variable au lieu d'une constante,il y a debonnes chances que legarbage collector écrase (ou libère) lamémoire unefois que la variablen'estplusnécessaire.

Unemeilleurefaçon deprotéger les données sensiblesest de les supprimerimmédiatement après leur utilisation:

 $db_con = new stdClass();
$db_con->db_user = 'username';
$db_con->password = 'password';
$db_con->host = 'localhost';

$db_handler = new Database_Handler( $db_con );

$db_con = null;
 

Après avoir utilisé les données sensibles,l'attribution de null écrasera les donnéesen mémoire. Un attaquant doit récupérer le vidage de lamémoirejuste aumoment où $db_con contient les données sensibles. Et c'est untempstrès court dans l'exemple ci-dessus (si la classe Database_Handlern'enenregistrepas une copie).

There are a lot of bad written themes and plugins out there which allow atatckers to inject code (remember the security issue with Timthumb). If I would be a attacker, why should I search for the wp-config.php? Simply inject this code:

var_dump( DB_NAME, DB_USER, DB_PASSWORD );

You can try to hide your wp-config.php. As long as WordPress make all the sensitive information global accessible, it have no benefit to hide the wp-config.php.

The bad part in wp-config.php is not that it holds sensitive data. The bad part is to define the sensitive data as a global accessible constant.

Update

I want to clearify the problems with define() and why it is a bad idea to define sensitive data as a global constant.

There are a lot of ways to attack a website. Script injection is only one way to atack a website.

Assuming the server has a vulnerability that let an attacker access a memory dump. The attacker will find in the memory dump all values of all variables. If you define a global accessible constant, it have to stay in memory until the script ended. Creating a variable instead of a constant, there is a good chance that the garbage collector will overwrite (or free) the memory after the variable is not longer needed.

A better way to protect sensitive data is to delete them immediately after using it:

$db_con = new stdClass();
$db_con->db_user = 'username';
$db_con->password = 'password';
$db_con->host = 'localhost';

$db_handler = new Database_Handler( $db_con );

$db_con = null;

After using the sensitive data, the assigning to null will overwrite the data in memory. An attacker have to get the memory dump just in the moment when $db_con contains the sensitive data. And that is a very short time in the example above (if the class Database_Handler do not save a copy of it).

Désolé demodifier un ancienmessage,maisn'y a-t-ilpas qu'une solution évidente àtout cela? Nous savons qu'il y a des avantages de sécurité à déplacer lefichier wp-config.php hors du répertoire de route wordpress. Certains diront que les avantages sontminimes,d'autresnon.

D'un autre côté,ilpeut y avoir desinconvénients à déplacer lefichier hors de sonemplacementpar défaut,comme la rupture de certainsplugins quin'ontpas lafonctionnalité de rechercher lefichier wp-config.php dans d'autresemplacements.

La chose laplus évidentepourmoiest de créer unfichier secret-info.phpen dehors du répertoire de route wordpress qui contient des variablespourtous vosnoms d'utilisateuret mots depasse,c'est-à-dire

$ userName=& quot; utilisateur & quot ;;

$ databasePassword=& quot; 12345 & quot ;;

Laissez lefichier wp-config.php dans le répertoire de route wordpresspar défaut,supprimez les valeurs denom d'utilisateuret demot depasse de wp-config.phpmais laisseztout le reste. Ensuite,faites simplement référence aux variables $ userNameet $ databasePassworden demandant secret-info.php dans wp-config.php,c'est-à-dire

< retourrequire('PATH-TO-FILE/secret-info.php');

Semble la chose évidente àfaire,est-ce queje manque quelque choseici?

Sorry to bump an old post but is there not just an obvious solution to all this. We know there is some security benefits from moving the wp-config.php file out of the wordpress route directory. Some would argue that the benefits are minimal others would not.

On the flip side there can be some drawbacks to moving the file out of it's default location such as breaking some plugins that do not have functionality to look for the wp-config.php file in other locations.

Most obvious thing to me is to create a secret-info.php file outside of the wordpress route directory which contains variables for all your usernames and passwords i.e.

$userName = "user";

$databasePassword = "12345";

Leave the wp-config.php file in the default wordpress route directory, remove the username and password values from wp-config.php but leave everything else. Then just simply reference the $userName and $databasePassword variable by requiring secret-info.php in wp-config.php i.e.

require('PATH-TO-FILE/secret-info.php');

Seems the obvious thing to do, am I missing something here ?

Outre les avantages de sécurité,il vouspermet également degarder votreinstance WordPress sous contrôle de versiontouten conservant lesfichiers WordPress debaseen tant que sous-module/externe.C'est ainsi que Mark Jaquith amisen place sonprojet WordPress-Skeleton.Voir https://github.com/markjaquith/WordPress-Skeleton#assumptions pourplus de détails.

Apart from the security benefits, it also allows you to keep your WordPress instance under version control while keeping the core WordPress files as a submodule/external. This is how Mark Jaquith has setup his WordPress-Skeleton project. See https://github.com/markjaquith/WordPress-Skeleton#assumptions for details.