Un nouveau malware menace la sécurité de WordPress

Des chercheurs en cybersécurité ont révélé une grave vulnérabilité sur les sites WordPress, liée à une porte dérobée cachée dans le répertoire ‘mu-plugins’. Ce type de plugins, appelés must-use, s’active automatiquement sur toutes les installations de WordPress et n’apparaît pas dans la liste habituelle des plugins, ce qui en fait une cible attrayante pour les attaquants. Que faire pour l’éviter Le script PHP malveillant, découvert par la société de sécurité web Sucuri, agit comme un chargeur qui obtient un payload distant et le stocke dans la base de données de WordPress. Ce payload permet l’exécution de code […]

Des chercheurs en cybersécurité ont révélé une grave vulnérabilité sur les sites WordPress, liée à une porte dérobée cachée dans le répertoire ‘mu-plugins’. Ce type de plugins, appelés must-use, s’active automatiquement sur toutes les installations de WordPress et n’apparaît pas dans la liste habituelle des plugins, ce qui en fait une cible attrayante pour les attaquants.

Que faire pour l’éviter

Le script PHP malveillant, découvert par la société de sécurité web Sucuri, agit comme un chargeur qui obtient un payload distant et le stocke dans la base de données de WordPress. Ce payload permet l’exécution de code PHP à distance, facilitant un accès persistant pour les attaquants, qui peuvent gérer des fichiers et réinstaller l’infection si elle est supprimée.

Le malware injecte un utilisateur administrateur caché nommé ‘officialwp’, permettant aux attaquants de contrôler le site et d’effectuer des actions malveillantes sans que les autres administrateurs en aient connaissance. De plus, le code malveillant a la capacité de changer les mots de passe des comptes administratifs à une valeur par défaut, bloquant l’accès aux autres administrateurs et garantissant un contrôle total du site.

La menace est amplifiée par la capacité des malwares à voler des données et à rediriger les visiteurs vers des sites frauduleux, ce qui a un impact significatif sur la sécurité du web. Selon les experts, cette porte dérobée permet aux attaquants d’effectuer une variété d’actions, allant de l’installation de malwares supplémentaires à la défiguration du site.

Pour atténuer ces risques, les propriétaires de sites doivent mettre à jour régulièrement WordPress, les thèmes et les plugins, utiliser l’authentification à deux facteurs et auditer régulièrement toutes les sections du site, y compris les fichiers de thèmes et de plugins. Maintenir la sécurité est crucial pour prévenir les attaques qui pourraient compromettre l’intégrité et la confiance du site web.

WordPress: je veux créer mon blog, par où commencer?

Vous avez toujours souhaité avoir votre propre site web, mais vous n’avez jamais osé? Ce guide pour faire ses premiers pas sur WordPress va vous aider à démarrer.

Créer son site web perso est plus facile que jamais. Il suffit de choisir une plateforme de blog, configurer les paramètres de base et se lancer dans le monde du blogging.

Ce tutoriel vous propose de vous accompagner dans vos premiers pas pour créer votre blog personnel. Vous commencerez par vous inscrire sur une plateforme, personnaliser le style de votre blog, et même faire vos grands débuts avec le premier post. C’est parti!

Pour débuter en tant que blogueur, j’ai choisi WordPress. Pourquoi cette plateforme?

  • Elle est facile à utiliser
  • Elle propose beaucoup d’éléments de personnalisation
  • Toutes ses options basiques sont gratuites
  • Si vous souhaitez plus d’options, il existe une version Pro
  • Elle dispose d’une bonne appli pour smartphone (pour iOS, Android et Windows Phone)

1. Inscrivez-vous sur WordPress

Ouvrez la page principale de WordPress et créer un nouveau compte d’utilisateur.

wordpress 1

Entrez vos informations de connexion: adresse email, nom d’utilisateur et mot de passe. Le réseau de blog WordPress est animé par des millions d’utilisateurs, ce qui fait que parfois, il faut plusieurs essais avant de trouver un pseudo disponible. Réessayez jusqu’à trouver le bon, qui sera validé par un petit symbole vert.

Il faut ensuite choisir une adresse pour votre blog. C’est celle que vous devrez taper dans la barre d’adresse du navigateur, à côté de wordpress.com. Cela peut être un nom attrayant, le thème de votre blog, votre nom où une idée que vous souhaitez diffuser… Place à la créativité!

Dans la case  de l’adresse du blog, cliquez sur Non merci, j’opte pour l’adresse gratuite.

wordpress

Plus bas, sélectionnez Créer le blog, dans la colonne de WordPress.com Débutant.

wordpress

2. Choisissez les options générales de votre blog

C’est maintenant le moment de décider du titre de votre blog. Celui-ci peut être très explicite, reflétant le sujet dont vous allez parler (par exemple, “Recettes rigolotes et inratables”), ou alors très personnel, et un brin mystérieux. De toute façon, si vous n’êtes pas sûr de vous, vous pouvez choisir un titre provisoire: ce champ peut être modifié à tout moment.

Il en va de même avec le tagline, qui est la description de votre blog en quelques mots. Vous pouvez choisir de la remplir ou de la laisser vide: il sera possible de la modifier également.

Enfin, sur cet écran, sélectionnez la langue dans laquelle vous allez bloguer. Si vous voulez créer un blog polyglotte, préférez la langue dans laquelle vous serez le plus actif.

wordpress

3. Personnalisez votre blog

C’est maintenant le moment de donner à votre blog une apparence attirante. WordPress vous permet de choisir entre plusieurs thèmes gratuits ou payants. Pour ce tutoriel, nous allons en sélectionner un gratuit, comme Flounder. Vous pouvez bien entendu choisir celui qui vous plait le plus. Il sera toujours possible de revenir sur votre décision à l’avenir.

wordpress theme

Une fois sélectionné, cliquez sur l’option Personnaliser ce thème. La page d’édition de thème devrait s’ouvrir.

Wordpress personnaliser le thème

Concentrez-vous sur les 4 options à la droite de l’écran: Couleurs, En-tête, Titre du site et Widgets.

WP les 4 options de personnalisation

Couleurs vous permet de sélectionner les couleurs principales de votre blog. Dans la version gratuite de WordPress, cette option est assez limitée, mais permet tout de même de choisir parmi plusieurs palettes de couleurs. Choisissez celle qui correspond le plus à votre goût, ou bien laissez celle qui habille déjà ce thème par défaut.

WP la palette de couleurs

Dans le menu Couleurs, vous pouvez aussi choisir une image de fond. Elle sera téléchargée depuis votre disque dur. Si vous ne souhaitez pas d’image en fond d’écran, celui-ci restera d’une seule couleur, par défaut.

WP: uploader une image depuis le disque dur

L’option suivante, En-tête, permet de choisir une image principale pour votre blog. Selon le thème, elle apparaîtra aux internautes de façon différente: comme une photo de couverture Facebook, plus petite ou bien dans un coin… Dans tous les cas, au moment de l’uploader (à l’identique que pour la photo de fond d’écran du menu Couleurs), WordPress vous permet de la recadrer pour l’ajuster au thème de votre blog, comme sur l’image ci-dessous.

WP: uploader une photo d'en-tÊte

Le menu Titre du site vous permet de modifier le nom du blog, une option que nous allons sauter dans ce tutoriel. La dernière option disponible, Widgets, permet d’ajouter des modules complémentaires à votre blog. Ainsi, il est possible d’ajouter un module pour Twitter et bien d’autres. Je vous conseille d’explorer à fond les widgets et de choisir ceux que vous souhaitez voir sur votre blog. Le système vous explique comment les configurer et, s’ils ne vous plaisent pas, vous pourrez toujours les supprimer.

WP: choix des widgets

4. Connectez votre blog avec les réseaux sociaux

Une fois la personnalisation effectuée, cliquez sur le bouton Sauvegarder en haut de l’écran pour passer à la prochaine étape. Si vous le souhaitez, vous pouvez y connecter votre blog avec vos comptes Twitter et/ou Facebook. Suivez les étapes à l’écran: ces options permettent qu’à chaque nouveau post que vous publiez, votre statut Facebook ou Twitter sera mis à jour, faisant ainsi la publicité de vos articles.

WP: connexion réseaux sociaux

5. Commencez à publier

Tout est prêt pour que vous puissiez commencer à publier des articles de blog. WordPress affiche alors l’écran Créer le premier article, mais je vous recommande de ne pas le faire maintenant et de cliquer sur Ignorer cette étape, afin de vous familiariser avec l’éditeur de WordPress.

WP éditer son premier post

Avant tout, ouvrez votre boîte de réception d’emails : vous devriez avoir reçu un message similaire à celui de l’image ci-dessous. Activez votre blog pour pouvoir commencer à utiliser pleinement votre compte WordPress.

WP confirmation email

Maintenant, vous pouvez commencer à poster en cliquant sur Ajouter un article, ce qui devrait ouvrir la page de l’éditeur.

WP compte validé

Voilà maintenant à quoi ressemble l’éditeur de WordPress. Comme vous allez voir, il dispose d’une infinité d’options sur la partie droite de l’écran, mais en tant que débutant, vous pouvez les laisser pour plus tard. Nous allons plutôt nous concentrer sur la manière d’éditer un post.

Ecrivez ce que vous souhaitez et formatez le texte avec les différentes icônes (si vous utilisez Word ou un autre traitement de texte, ces options devraient vous être familières).

WP interface éditeur de textes

Si vous le souhaitez, vous pouvez ajouter des images, de la vidéo, etc… Avec l’option Ajouter des médias, qui vous guidera pas à pas.

WP ajouter du contenu multimédia

Un conseil: de temps à autre, cochez Brouillon et cliquez sur le bouton Enregistrer, pour éviter de perdre votre article en cours d’édition.

WP sauvegarder ses brouillons

Une fois que votre texte est prêt, vous pouvez aller plus loin en ajoutant des Catégories ou des Tags, mais si vous ne voulez pas vous compliquer la vie, cliquez directement sur le bouton Publier… Ca y est! Voici un exemple de ce que cela peut donner, avec un fond d’écran et des photos.

6. Explorez les autres options de WordPress

Maintenant que votre blog est actif, c’est le moment d’explorer toutes les options de la partie supérieure de l’écran. La barre grise vous permet de créer d’autres articles de blog, de consulter les commentaires des internautes, de revenir vers le menu de personnalisation, et bien plus encore. N’ayez pas peur d’explorer toutes les options.

7. Terminez de compléter votre profil

Maintenant que vous avez fait vos grands débuts comme blogueur, c’est le moment de vous faire connaître. Sur la barre en haut de l’écran, cliquez sur votre pseudo: les options du profil apparaitront. Prenez le temps de renseigner les données que vous souhaitez rendre visibles pour tous les internautes, comme une mini-biographie. Quoi qu’il arrive, ces informations sont optionnelles, mais je vous recommande de mettre au moins une photo de profil.

WP éditer son profil

Écrivez, explorez, partagez et amusez-vous

A partir de maintenant, vous êtes prêt à faire partie de la planète des blogueurs et à connaître le succès en partageant vos goûts, vos passions et vos réflexions.

Dans ce tutoriel, nous vous avons expliqué les premiers pas pour démarrer votre blog. Plus tard, nous vous montrerons comment utiliser des fonctionnalités plus avancées, ainsi que des conseils pour que vos posts soient lus et appréciés par plus d’internautes.

Qu’est-ce que vous souhaiteriez lire dans nos futurs tutoriels sur WordPress?

Article original de María Baeta – Softonic.com. Traduit et adapté de l’espagnol.

Quels sont les principaux sites affectés par la faille Heartbleed?

La faille de sécurité Heartbleed fait couler beaucoup d’encre sur le web. Mais quels sont les principaux sites affectés? Voici une première liste. Il est recommandé de changer votre mot de passe si vous êtes un utilisateur de ces sites même si la probabilité que quelqu’un ait accès à vos données sensibles soit très faible.

Pour rappel, nous parlons d’une des failles de sécurité les plus importantes jamais découvertes sur le web. Baptisée Heartbleed, il s’agit d’un bug qui met en danger les deux tiers des sites web dans le monde. Heartbleed est une erreur qui affecte la bibliothèque de chiffrement OpenSSL, un des systèmes les plus utilisés pour crypter le trafic. En théorie donc, cette faille de sécurité permet le vol des noms d’utilisateur, des mots de passe et le contenu sans laisser de traces.

Les grands acteurs du web ont été massivement touchés par cette faille: Google (dont Gmail, YouTube, Wallet,Play) Yahoo, Yahoo Mail, Facebook, Instagram, Pinterest, Amazon Web Services et ironie du sort, LastPass, le fameux gestionnaire de mot de passe.

Les services de stockage en ligne ont aussi souffert de Heartbleed, comme Dropbox et Box. Enfin le très populaire jeu Minecraft est lui aussi une des victimes de la faille.

De son côté, Apple ne serait pas affecté ni Twitter et les services de Microsoft. Les équipes de WordPress seraient, quant à eux, encore au travail pour résoudre la faille.

Vous avez un doute au sujet d’un site que vous utilisez? Le site Filippo.io a créé une page de test. Vous entrez l’adresse URL du site et vous pouvez vérifier tout de suite si il a été victime de cette faille. Une liste complète est aussi disponible sur le site Github.com

On estime que les deux tiers du trafic Internet utilise OpenSSL. En attendant, nous vous recommandons de mettre à jour votre mot de passe mais seulement après s’être assuré que le site a mis à jour OpenSSL.

Sur le même sujet:

Suivez-moi sur Twitter: @xophe

WordPress fête ses 10 ans!

WordPress, le CMS certainement plus populaire au monde, célèbre son dixième anniversaire. La plateforme de publication open source a su s’imposer en 10 ans comme la référence du secteur et a réussi son passage de service de blogging à un service de communication et de publication web.

Une des clefs du succès est d’avoir allier esthétique, standards du Web et ergonomie absolue. De plus, WordPress est gratuit, et la large communauté de développeurs associée lui a permis de prendre une ampleur incroyable au sein du phénomène blog… Que vous cherchiez à créer un journal intime, un site pour que vos amis vous suivent à distance, un portfolio professionnel, WordPress est la solution pour beaucoup de gens.

Commencé par Matt Mullenweg et Mike Little, WordPress a vu le jour en 2003 comme une évolution du logiciel “b2” créé par Michel Valdrighi en 2001.

La première version de WordPress était la 0.7 et était sortie le 27 mai 2003. Depuis, les versions de WordPress se sont succédés. Pour la petite histoire, toutes sont nommées d’après de grandes vedettes du jazz.

WordPress n’est pas prêt de s’arrêter là pour autant. La société américaine a même reçu il y a quelques jours un investissement de 50 millions de dollars. De quoi rester numéro 1 pour quelque temps encore.

WordPress: de nombreux blogs victimes d’un piratage massif

Selon de nombreux hébergeurs, WordPress, le CMS le plus connu et le plus utilisé sur le web, est victime d’une vague de piratage. Les hackers pirateraient les mots de passe des blogs WordPress des personnes ayant conservé le nom d’utilisateur d’origine “admin“.

Pour ce faire, les hackers utiliseraient un réseau de PC zombies (botnet) contaminés par un malware. Des milliers de mots de passe sont alors essayés afin d’accéder au panel de contrôle du blog pour y récolter des informations et y installer un virus qui leur permet ensuite de revenir sur le blog, même après un changement de mot de passe. Continue reading “WordPress: de nombreux blogs victimes d’un piratage massif”

5 sites de micro-blogging au banc d’essai

L’internet a horreur du vide : entre le tweet et le blog, il manquait un format intermédiaire, pour ceux qui se sentent à l’étroit sur Tweeter mais n’ont pas la vocation de créer un blog. C’est là que se sont nichés les microblogs.

Plus facile qu’un blog, plus parlant qu’un tweet, les sites comme Tumblr ou Posterous sont parfait pour créer une vitrine pour ses créations, partager ce qui nous fait sourire ou pas sur le web, commenter l’actu ou partager ses pensées. Un peu comme le mur Facebook, à la différence qu’un microblog est public, et plus riche dans les types de contenu proposés.

Si vous aussi, vous voulez franchir le pas et créer votre microblog, il existe de nombreux sites permettant de sauter à pieds joints dans l’aventure. Nous en avons sélectionné 5 que nous estimons les plus intéressants : Tumblr, Posterous, Publr, Gelato et Soup.io. Voici notre comparatif des sites de « microblogging » !

Tumblr

Tumblr est la plate-forme de microblog la plus populaire. Avec plus de 12 millions de pages créées et 2 millions de publications quotidiennes, c’est la star de la catégorie. Sur Tumblr, vous pouvez créer des posts à partir d’un texte, d’un lien d’une image, d’une vidéo, d’extrait de conversation ou de citation.

L’outil de publication est ultra-intuitif (comme sur toutes les plate-formes de microblog) et permet de créer un post en quelques secondes. On apprécie énormément la publication de posts au « goutte-à-goutte » : Tumblr permet de stocker un grand nombre de posts qu’il publiera à intervalles réguliers, horaire ou journalier.

Tumblr vous permet d’avoir un sous-domaine à votre nom (nom.tumblr.com) ou de lier votre blog à un domaine 100% personnel. Attention, trouver un nom de domaine libre et qui vous plaît peut s’avérer difficile, vue la popularité du service.

On aime :

  • La publication de posts au goutte-à-goutte
  • La personnalisation de la page et du nom de domaine

Posterous

Posterous est le principal concurrent de Tumblr. Sa différence ? Outre a publication « normale », sur le site de Posterous, il permet de créer un post en envoyant un mail à l’adresse post@posterous.com! Le sujet du mail sera le titre, le corps devient le texte, et si vous passez une photo en pièce jointe, elle sera ajoutée au post.

L’autre différence majeure est qu’il permet de connecter une douzaine d’autres réseaux sociaux, pour y répercuter automatiquement ce que vous publiez sur Posterous. Twitter, Facebook, YouTube, Flickr, Picasa, Vimeo, Tumblr, Blogger, WordPress et d’autres : si vous êtes actifs sur plusieurs de ces réseaux, plus besoin de passer son temps à publier sur chacun, un par un. Publiez une fois sur Posterous et tous les comptes compatibles sont mis à jour.

On aime :

  • Créer un post en envoyant un mail à Posterous
  • La publication automatisée sur ses autres réseaux sociaux

Soup.io

Soup.io est assez proche de Tumblr. Moins fréquenté, il offre plus d’opportunités de trouver le nom de domaine qui vous plait, du moins pour l ‘instant. Il propose tous les mêmes types de contenu que Tumblr, avec en prime, le fichier : vous pouvez créer un post à partir d’un fichier à partager, jusqu’à 10Mo, que tout le monde pourra télécharger.

La simplicité est le maître mot de Soup.io. Quelques secondes suffisent pour se créer un compte et commencer à partager ses intérêts. Les fonctions sociales, similaires à Tumblr et Posterous, permettent de devenir ami d’autres utilisateur et de suivre leur contenu.

On apprécie la possibilité de créer un post en réaction à un autre post, ce qui atténue un peu l’absence de commentaires (commune à tous les microblogs).

On aime :

  • La simplicité
  • Poster 8 types de contenu, y compris un fichier jusqu’à 10Mo

Publr

Publr est le service de microblog idéal pour ceux qui ne veulent pas se compliquer la vie. Chacun des 10 types de contenu peut être posté en quelques secondes.

Outre la publication de vidéos, de photos, de texte ou de musique, Publr permet de poster une zone de carte Google. On peut également associer un nom de domaine à sa page, et utiliser des outils de publication externe (dont Ubiquity de Mozilla) pour poster sur Publr.

On aime :

  • L’interface épurée
  • Poster 10 types de contenu différent

Gelato CMS

Gelato est une plate-forme Open-Source qui permet d’héberger son module de microblogging. Réservé aux utilisateurs avancés (son installation est compliquée), cette solution est à suivre car elle est soutenue par une communauté de développeurs qui travaillent sur de nouvelles fonctions intéressantes (voir le Wiki de Gelato ici).

Gelato permet de poster les mêmes types de contenu que Tumblr : vidéo, musique, texte, lien… Son interface est personnalisable dans les détails. Cependant, une fonction manque encore à l’appel, l’intégration avec les autres réseaux sociaux.

On aime :

  • Open Source

Et vous, quel service de microblog avez-vous choisi? N’hésitez pas à nous faire part de vos préférences dans les commentaires!

Portrait de Blogueur: Korben

korben-manuel-dorne-portrait

Sur Korben.info, le blogueur à lunettes Korben – de son vrai nom Manuel Dorne – partage des vidéos à tendance geek, présente des tutoriels techniques ou débat sur les sujets de l’actualité informatique avec une communauté de fidèles qui s’élargit sans cesse.

Korben est un blogueur “historique” puisque les pages de son blog sont accessibles à tous depuis mars 2004, et même avant, sous une autre forme, comme il nous l’a confié…

OnSoftware a voulu en savoir un peu plus sur le personnage.

 

OnSoftware: Quelle était l’idée de départ de ce blog?
Korben: L’idée était de promouvoir les petits logiciels en Delphi que je développais à l’époque. Puis j’ai vite dérivé sur le partage de mes petites trouvailles logicielles/web/high tech… Avant ça j’avais, depuis 1998, un site perso entièrement en HTML que je mettais à jour tous les jours un peu comme un blog (mais en statique). J’écrivais sur des sujets plus personnels.
Continue reading “Portrait de Blogueur: Korben”

Softonic présent au Cebit, venez nous rencontrer!

Venez nous rencontrer! Softonic est présent au salon international des TIC. L’occasion était trop belle: le pays invité est cette année l’Espagne (Softonic est une entreprise espagnole, installée à Barcelone) et nous avons énormément de chose à annoncer…

zapatero-merkel-cebit_FR
Mais ce sera surtout l’occasion pour notre équipe de couvrir le salon et de partir à la rencontre de nombreux acteurs du marché. Au programme, des interviews avec les équipes de WordPress, Kaspersky, Nero, etc.

Une opportunité aussi de parler de vive voix avec des développeurs et d’en apprendre un peu plus sur le futur de leurs applications. Et qui sait, avec un peu de chance nous saurons ce que M. Zapatero et Mme Merkel installent sur leur PC le dimanche…

 

Si vous avez envie d’engager la discussion, rendez-vous sur nos blogs dans les jours à venir, ou en chair et en os sur le salon, sur le stand Softonic D17-10 dans le Hall 3. Nous vous attendons!

 

softonic-cebit