Comment bien protéger un site joomla

[Therion]

Bonjour,

Je viens vers vous car j'ai un site web sous joomla 3.6.5 installé avec le kit joomla chez Ovh qui en ce moment subit des attaques. Pour le moment elles sont bloquées et contenues mais je pense que ça risque de pas durer.

Le seul outil que j'ai pour le moment est admintools qui me signale justement ces attaques, et celles-ci viennent pour le moment pour la plupart de la Pologne

Les hackers pour le moment ont essayé de spammer, en remplissant des fiches de contact mais comme sur celles-ci il y a des captcha partout ils ne sont pas allé loin. Ils ont aussi essayé de passer par un module de connexion qu'il y a sur la partie "front" du site (connexion réservée aux membres). Plusieurs tentatives infructueuses ont été faite par ce biais, cette fois ci venant des Etats-unis.

Que me conseillez comme bon outils pour vraiment sécuriser mon site ? Pour le moment ils n'ont pas réussi, mais j'ai peur que plus tard ils trouvent la faille ? Quels sont les conseils que vous pouvez me donner à ce sujet ?

Merci d'avance pour vos réposes,

Bonne journée

[pmleconte]

Re : Comment bien protéger un site joomla

Bonjour,

La chose primordiale à faire est de maintenir à jour Joomla et ses extensions.

Des tentatives d'intrusion sont le quotidien de tous les sites du monde (pas uniquement Joomla) et, dès qu'une faille est connue, tous les hackeurs "testent" les sites.

Les tentatives de login correspondent à la faille découverte avant la version 3.6.4, mais, dans mes logs, je vois passer pas mal de tests sur des pages wordpress qui, naturellement, n'existent pas sur mes sites.

Personnellement, j'ai mis en place aesecure qui, entre autres belles choses, cache le fichier administrator/manifests/files/joomla.xml et la partie administrator en général (j'utilise aussi ksecure pour cacher l'accès au répertoire administrator). Ainsi, les hackeurs n'ont pas accès à la version de Joomla (d'ailleurs, dès que quelqu'un pose une question, je vérifie ainsi quelle version Joomla il utilise pour lui rappeler l'importance d'être à jour...).

Pascal

[flou81]

Re : Comment bien protéger un site joomla

Salut

Essaye, bien qu'il ne soit plus suivi, Crawltrack et Crawlprotect

http://www.crawltrack.fr/crawlprotect/

Pour le moment j'en suis content.

Marc

[manu93fr]

Re : Comment bien protéger un site joomla

Salut
Essaye, bien qu'il ne soit plus suivi, Crawltrack et Crawlprotect

http://www.crawltrack.fr/crawlprotect/

Pour le moment j'en suis content.
Marc

Bonsoir Marc
tu le dis toi même ... ce script n'est PLUS suivi ! donc aucun intérêt de le conseiller.
Moi aussi je m'en suis servi pendant des années avant de l'abandonner pour du script suivi ... c'est beaucoup plus rassurant
Dans même genre, très suivi et gratuit dans sa version de base .. tu as Aesecure, developpé par un admin de ce forum
Le plus de ce script est aussi d'accelerer ton site web ... et ça, Google adore

[RobertG]

Re : Comment bien protéger un site joomla

+1 : Crawltrack et CrawlProtect ont été abandonnés (donc les bibliothèques de sites néfastes ne sont probablement plus à jour depuis longtemps) et ne sont pas compatibles avec PHP 7. Il faut donc passer à autre chose.
Personnellement, utilisateur depuis longtemps de ces scripts, je suis passé à aeSecure.

[flou81]

Re : Comment bien protéger un site joomla

Bon , je vous écoute !!!
Je passe a aeSecure que je ne connaissais pas.

Merci à vous deux

[didier l]

Re : Comment bien protéger un site joomla

Bonsoir,

la sécurité c'est 3 axes :
- se protéger des attaques, c'et l'objet des posts précédents,
- détecter les attaques ; le plus simple est de regarder régulièrement ton site ; sinon il existe des robots qui font des tests plus ou moins poussés (certains cherchent des objets sur des pages précises, déroulent des cripts, c'est payant et c'est peut être trop luxueux pour toi)
- être capable de réagir rapidement en cas d'attaque avérée ..

Sur ce dernier point, un outil comme akeeba permet de faire des sauvegardes régulières et de les stocker sur ton micro par transfert de fichiers (si ton site est attaqué, il est vraisemblable que la sauvegarde journalière faite par ton hébergeur soit contaminée ..., les attaques se préparant généralement quelques jours avant).

Donc, en cas d'attaque, la solution brutale est la plus sûre : on efface tout et on réinstalle une sauvegarde réputée fiable ; ceci oblige à conserver une trace de toutes les modifications faites depuis la dernière sauvegarde, pour ne rien perdre.