Quelques modifications à apporter à WordPress après l’avoir installé

Vous pouvez installer WordPress en quelques clics facilement, mais il est recommandé de modifier certains des paramètres par défaut pour optimiser les performances et améliorer la sécurité de votre site WordPress.

Optimisez votre installation WordPress

Ces suggestions ne s’appliquent qu’aux sites WordPress.org et non aux blogs WordPress.com. Aussi, je suppose que vous exécutez WordPress sur Apache sous Linux.

Bien sûr vous pouvez déjà avoir déplacé le dossier de téléchargement de médias comme indiquer dans notre article précédent : déplacer ce dossier en dehors du dossier principal de WordPress.

1. Allongez la période où vous restez logué

Si vous cochez l’option « Se souvenir de moi », WordPress vous laissera connecté pendant 2 semaines. Si vous ne vous connectez à WordPress qu’à partir d’un ordinateur personnel, vous pouvez prolonger la date d’expiration du cookie de connexion d’autorisation en l’ajoutant à votre fichier functions.php.

add_filter( 'auth_cookie_expiration', 'logue_1an' );
function logue_1an( $expire ) {
  return 31556926; // 1 an en secondes
}

2. Supprimez les métabalises inutiles de l’en-tête WordPress

Si vous regardez le code source HTML de votre site WordPress, vous trouverez quelques métabalises dans l’en-tête qui ne sont pas vraiment nécessaires. Par exemple, la version du logiciel WordPress s’exécutant sur votre serveur peut être facilement récupérée en regardant votre en-tête source.

Cette information est un bon indice pour les pirates de WordPress qui cherchent à cibler les blogs qui utilisent les versions plus anciennes et moins sûres du logiciel WordPress. Pour supprimer complètement le numéro de version et d’autres méta-données non essentielles de votre en-tête WordPress, ajoutez cet extrait au fichier functions.php qui se trouve dans votre dossier de thèmes WordPress.

remove_action('wp_head', 'rsd_link');
remove_action('wp_head', 'wlwmanifest_link');
remove_action('wp_head', 'wp_generator');
remove_action('wp_head', 'start_post_rel_link');
remove_action('wp_head', 'index_rel_link');
remove_action('wp_head', 'adjacent_posts_rel_link');

3. Empêchez les gens de naviguer dans vos dossiers

Pour éviter que quelqu’un ne parcoure vos fichiers et dossiers WordPress, ajoutez la ligne suivante à votre fichier .htaccess qui existe dans votre répertoire d’installation WordPress.

Options All -Indexes

Assurez-vous également qu’il y a un index.php vierge dans le dossier wp-content/themes et wp-content/plugins de votre répertoire WordPress.

4. Désactivez le HTML dans les commentaires WordPress

WordPress permet aux commentateurs d’utiliser des balises HTML et ils peuvent même ajouter des hyperliens dans leurs commentaires. Les commentaires ont par défaut l’attribut rel=nofollow mais si vous souhaitez interdire complètement le HTML dans les commentaires WordPress, ajoutez cet extrait à votre fichier functions.php.

add_filter( 'pre_comment_content', 'esc_html' );

 

5. Désactivez le message d’erreur lors d’un mauvais login

Lorsque vous tapez un nom d’utilisateur inexistant ou un mot de passe incorrect lorsque vous vous connectez à WordPress, un message d’erreur très détaillé sera affiché. Il vous indique exactement si votre nom d’utilisateur est erroné ou si le mot de passe ne correspond pas. Cela pourrait offrir un indice aux personnes qui essaient de s’introduire dans votre blog. Il est préférable de désactiver cela.

//supprime infos login
function no_wordpress_errors(){
return 'PAS DE BOL !! REESSAIE !!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );

6. Supprimez les flux RSS inutiles

L’installation de WordPress génère de multiples flux RSS comprenant des flux blog, des flux d’articles, des flux de commentaires, des flux de catégories, des flux d’archives. Comme ces flux sont inclus dans l’en-tête HTML des pages de votre blog, ils sont auto-découvrables.

a. Via le fichier functions.php

Si vous souhaitez supprimer d’autres flux et conserver votre flux RSS principal, ajoutez le code suivant à votre fichier functions.php.

remove_action( ‘wp_head’, ‘feed_links’, 2 );
remove_action( ‘wp_head’, ‘feed_links_extra’, 3 );

b. Via htaccess

Dans l’étape précédente, nous avons simplement supprimé les flux RSS de l’intérieur de l’en-tête du site mais les flux RSS existent toujours. Si vous souhaitez n’avoir qu’un seul flux RSS délivré par FeedBurner et désactiver tous les autres flux il suffit de fair eune redirection 301 dans le fichier.htaccess.

7. Supprimez les Emojis

WordPress insère des fichiers relatifs aux Emojis dans l’en-tête de votre site Web. Si vous ne prévoyez pas d’utiliser les émoticônes et emojis dans votre blog, vous pouvez facilement vous débarrasser de ces fichiers supplémentaires en ajoutant les lignes suivantes à votre fichier functions.php :

remove_action( 'wp_head', 'print_emoji_detection_script', 7 );
remove_action( 'admin_print_scripts', 'print_emoji_detection_script' );

 

8. Désactivez l’édition de fichiers dans WordPress

Lorsque vous êtes connecté à votre tableau de bord WordPress en tant qu’administrateur, vous pouvez facilement éditer les fichiers PHP associés à vos plugins et thèmes WordPress. Vous pourriez vouloir supprimer la fonctionnalité d’édition de fichiers par exmeple si vous devez mettre un autre administrateur. En ce cas, ajoutez cette ligne à votre fichier wp-config.php :

define( 'DISALLOW_FILE_EDIT', true );

 

9. Modifiez l’intervalle de sauvegarde automatique

Lorsque vous éditez un billet de blog dans l’éditeur WordPress, il sauvegardera automatiquement vos brouillons au fur et à mesure que vous les tapez, ce qui vous aidera à récupérer votre travail en cas de panne du navigateur. Les brouillons sont sauvegardés toutes les minutes mais vous pouvez changer la durée par défaut pour 90 secondes ou plus en ajoutant une ligne à votre fichier wp-config.php.

define( 'AUTOSAVE_INTERVAL', 90 );

 

10. Supprimez les paramètres des URLs

L’adresse Web de ce site WordPress est iiro.eu, les gens peuvent toujours accéder au votre site s’ils ajoutent quelques paramètres de requête à l’URL. Par exemple, iiro.eu/?utm=email est, techniquement parlant, une URL complètement différente mais qui affiche très bien la page.

C’est mauvais parce qu’il dilue le SEO et vous aimeriez que toutes les URLs pointent vers la version canonique. Ajoutez ce petit extrait à votre fichier.htaccess et il supprimera les paramètres inutiles de toutes les requêtes entrantes.