Comment protéger son site Joomla des attaques ?

[soweto]

Bonjour,

Suite à une attaque de mon site Joomla (robots qui envoie un nombre impressionnant de requêtes sur mon site), je me demande comment faire à l'avenir pour le protéger. Y a t'il des logiciels ou extensions qui permettent cela s'il vous plait ? Mon Joomla est à jour.

[soweto]

Je viens de voir Admin Tools pro de Akeeba pour la sécurité. Qu'en pensez vous s'il vous plait ?

[Joopas]

Bonjour,
Je ne suis pas un expert mais je connais aeSecure.
Est-ce bien ce que tu recherches ?

[soweto]

Bonjour,
Je ne suis pas un expert mais je connais aeSecure.
Est-ce bien ce que tu recherches ?

Oui c'est cela. Et que penses tu de Admin Tools de Akeeba ?

[woluweb]

Moi j'utilise les deux : aesecure ET admin tools (ce dernier pas pour le htaccess mais p ex pour bloquer less IPs après x tentatives etc)

[roland_d_alsace]

Moi aussi, j'utilise les 2.

Il faut juste configurer admin tools pour ne pas "toucher" au .htaccess.

Aesecure travaille exclusivement sur le htaccess et les repertoires.
Il règle les attaques de 1er niveau (traitement des url et des origines des requêtes) sans faire intervenir php.
A ce niveau Il est bien plus puissant qu'admin tools, et décharge donc le serveur.
Aesecure est assez peu dépendant de Joomla et peut s'installer sur n'importe quel moteur de site.

AdminTools lui est vraiment lié à Joomla et s'occupe des craquage de mot de passe, tentative d'accès multiples, etc.. donc au niveau de php ce qu' AeSecure ne gère pas.
La configuration d'Admin tools est assez délicate et tu peux vite bloquer tes membres un peu "maladroits".

Mais le mariage des 2 donne un résultat qui à mes yeux est intéressant pour les sites exposés aux attaques.

[pmleconte]

J'ai ajouté des bretelles à la ceinture Aesecure + admintools: je passe par une couche Cloudflare https://www.cloudflare.com/ (au début, c'était pour le https) qui, entre autres, intercepte des attaques (hotlink, badbrowser) : 150 attaques sur le mois dernier ont été bloquées par cette couche et ne sont pas arrivées jusqu'à mon serveur.

Cela fait aussi beaucoup d'autres actions au niveau performance.

Pascal

[pmleconte]

Aux bretelles, j'ai ajouté un parachute: au niveau de l'administration, j'ai la double authentification par Akeeba loginguard https://www.akeebabackup.com/products/loginguard.html

OK, cela commence à devenir un peu lourd, mais, j'ai aussi caché l'administration avec KSecure. KSecure n'est plus disponible sur le JED, mais, j'ai une copie (sans warning) : https://www.conseilgouz.com/componen...oad=48:ksecure

Au niveau de l'administration, j'ai aussi sur un site plus sensible implémenté le .htpasswd (c'est prévu dans AESecure).

Dernier point très important: faites des sauvegardes, faites des sauvegardes, faites.......

Pascal

[pmleconte]

J'ai juste failli oublier : la Content Security Policy, mais, c'est une autre discussion.....

[pmleconte]

Suite à une discussion avec Christophe (AESecure) lors des derniers JDays, j'ai aussi mis mes mots de passe, qui sont uniques par site, dans un coffre-fort KeyPass (voir https://keepass.info/)

C'est fait, je pense avoir sécurisé les portes et les fenêtres. J'espère que le plancher est solide : je suis de très près les mises à jour de Joomla, PHP, ....

Tout cela prend un peu de temps, mais, même si ce n'est pas infaillible, je dors mieux la nuit (quand je n'ai pas un bug ou une installation sur le feu).

Bon weekend,

Pascal

[soweto]

Suite à une discussion avec Christophe (AESecure) lors des derniers JDays, j'ai aussi mis mes mots de passe, qui sont uniques par site, dans un coffre-fort KeyPass (voir https://keepass.info/)

C'est fait, je pense avoir sécurisé les portes et les fenêtres. J'espère que le plancher est solide : je suis de très près les mises à jour de Joomla, PHP, ....

Tout cela prend un peu de temps, mais, même si ce n'est pas infaillible, je dors mieux la nuit (quand je n'ai pas un bug ou une installation sur le feu).

Bon weekend,

Pascal

Bonjour,

Merci beaucoup pour tous ces renseignements et conseils. Pour moi, ignorant que je suis,cela fait même beaucoup. Je viens d'investir sur Admin Tools et bataille pour arriver à trouver un tuto en français et simple. Quand j'aurais réussi à l'installer, je pourrais peut être penser à aesecure.