Si vous achetez la version Premium de WP Security Audit Log, vous pouvez conserver les données encore plus longtemps et même les stocker dans une base de données externe.
Lorsque votre site Web WordPress est petit, il est facile de garder un œil sur tout ce qui s’y passe. Cependant, à mesure qu’il grandit en taille et en complexité, il peut devenir beaucoup plus difficile à maintenir. Ceci est particulièrement vrai si vous permettez aux utilisateurs de s’inscrire sur votre site, de gérer un site d’adhésion ou d’avoir plusieurs contributeurs sur celui-ci.
Quoi qu’il en soit, il est essentiel de savoir ce qui se passe sur votre site en tout temps. Pour ce faire, vous pouvez suivre les activités des utilisateurs telles que les modifications de contenu, les mises à jour de profil, les échecs de connexion, et plus encore. Lorsque vous avez de telles informations à portée de main, vous pouvez localiser rapidement la source de tout problème et maintenir un niveau de sécurité élevé.
Dans cet article, nous allons parler brièvement des raisons pour lesquelles vous devriez suivre l’activité de votre site WordPress. Ensuite, nous vous aiderons à déterminer les types d’activités qu’il est le plus important de surveiller. Allons-y tout de suite !
Pourquoi il est crucial d’utiliser un journal d’activités WordPress
Un journal des activités peut vous aider à garder un œil sur les changements importants apportés à votre site.
Si votre site Web n’a qu’un seul utilisateur – vous – il ne devrait y avoir aucune surprise. A moins que votre site WordPress n’ait été piraté (nous en reparlerons plus tard), chaque modification et mise à jour aura été faite par vous.
Cependant, de nombreux sites permettent beaucoup plus qu’à un seul utilisateur de s’inscrire. Vous pouvez encourager vos visiteurs à ouvrir un compte d’abonné, par exemple. Vous pouvez également faire appel à toute une équipe de rédacteurs, de développeurs, d’éditeurs et d’entrepreneurs tiers qui vous aideront à créer et à gérer le contenu.
D’une façon ou d’une autre, avoir autant de personnes qui accèdent à votre site peut entraîner beaucoup d’incertitude. Il n’est pas toujours facile de savoir qui a supprimé un article ou de comprendre pourquoi un profil d’utilisateur a été modifié. Si vous craignez qu’un changement particulier ait été malveillant, ou si vous voulez simplement savoir pourquoi il s’est produit, vous n’avez peut-être pas une bonne façon de procéder.
C’est pourquoi le suivi de l’activité sur votre site WordPress est si important. La tenue d’un journal des activités pour chaque changement important, ainsi que des détails sur le moment où cela s’est produit et sur les utilisateurs qui y ont participé, facilite la gestion des événements imprévus. Même si vous êtes le seul utilisateur de votre site, ce type de journal peut vous aider à trouver la source des changements qui sont le résultat de tentatives de piratage réussies.
Bien sûr, vous ne pouvez pas gérer un journal d’activités manuellement. Heureusement, vous pouvez utiliser un plugin de journal d’activité WordPress pour gérer ce travail automatiquement. Tout ce que vous aurez à faire, c’est de vérifier votre journal chaque fois que vous aurez besoin des informations qu’il contient.
WP Activity Log
L’un des meilleurs plugins sur le marché pour cela est WP Activity Log. Vous pouvez télécharger la version gratuite sur le dépôt WordPress. Au moment d’écrire ces lignes, il compte plus de 200 000 installations actives avec un impressionnant 4,6 sur 5 étoiles. Il est aussi activement mis à jour sur une base régulière par les développeurs.
Il existe également une version premium (à partir de 99 $ par an) qui vous donne des fonctionnalités supplémentaires telles que des rapports, des alertes instantanées par e-mail et SMS, et des filtres de recherche. Mais toutes les fonctionnalités de journalisation et de recherche textuelle sont entièrement gratuites.
Configuration de WP Activity Log
Nous utilisons la version gratuite de WP Activity Log dans cet article. Après l’installation, la première chose que vous verrez après l’activation est l’assistant de configuration.
Étape 1
Cliquez sur « Démarrer la configuration du plugin » pour commencer.
Étape 2
Sélectionnez « Basic » ou « Geek ».
- Basic : Choisissez cette option si vous ne voulez que des données de base pour l’enregistrement.
- Geek : Choisissez cette option si vous voulez toutes les données que le plugin a à offrir.
Vous pouvez modifier ces réglages à tout moment par la suite, mais pour cet exemple, nous choisirons l’option « Geek » pour vous afficher le type de journal d’activité que l’extension peut saisir.
Étape 3
Ensuite, vous devez choisir la durée de conservation des données du journal d’activité. Pour cet exemple, nous choisirons 6 mois.
- 6 mois (les données de plus de 6 mois seront effacées)
- 12 mois (les données de plus de 12 mois seront effacées)
- Conserver toutes les données.
Vous pourrez changer cela plus tard. Mais il est important de noter que les données sont stockées dans votre base de données WordPress. Et même si c’est fait d’une manière efficace, vous ne devriez jamais stocker plus de données que ce que vous pensez utiliser. Pour la plupart, 6 mois devraient suffire, surtout si vous êtes assez proactif pour régler les problèmes au fur et à mesure qu’ils surviennent.
Si vous achetez la version premium de WP Activity log, vous pouvez conserver les données encore plus longtemps et même les stocker dans une base de données externe. Vous pouvez également les mettre en miroir avec des systèmes de gestion de logs tiers ou syslog.
Étape 4
Cette étape de l’assistant est très importante. Vous y indiquez si les utilisateurs se connectent à votre site web via la page de connexion par défaut de WordPress ou non. Ceci est un pré-requis pour que l’extension puisse détecter les connexions depuis des pages de connexion frontend tierces, telles que celles créées par des extensions d’adhésion ou d’eCommerce.
Si vous choisissez non et que vous avez une page de connexion personnalisée, cette extension risque de ne pas pouvoir détecter les connexions. Cette option, comme tout le reste de l’assistant, peut être modifiée à tout moment depuis les réglages de cette extension.
Étape 5
Dans la dernière étape de l’assistant, vous devez spécifier si les utilisateurs sont autorisés à s’inscrire ou non sur votre site web. Comme pour l’option précédente, si vous sélectionnez non et que les utilisateurs sont autorisés, il se peut que l’extension ne soit pas en mesure de tenir un journal des inscriptions des nouveaux utilisateurs.
Ce réglage peut également être modifié à tout moment depuis les réglages de cette extension.
Et c’est tout ! Tous les changements sur votre site WordPress sont maintenant enregistrés pour être conservés en lieu sûr. Les données et paramètres de WP Activity Log peuvent être consultés dans le menu » WP Activity Log » de votre tableau de bord WordPress. Pour vraiment plonger en profondeur dans tous les réglages, nous vous recommandons de consulter leur documentation de mise en route.
Le reste de ce post mettra en évidence certains des différents types d’activités que vous devriez inclure dans votre journal.
7 Types de changements que votre plugin WordPress de Logs d’activités devrait surveiller
Il se passe beaucoup de choses, même sur le site Web WordPress le plus simple. Certains de ces changements et événements sont plus importants que d’autres (et sont plus susceptibles d’indiquer des problèmes potentiels ou des atteintes à la sécurité).
Tout au long de cet article, nous allons discuter des sept activités les plus cruciales à suivre sur votre site. Bien qu’il ne s’agisse pas d’une liste exhaustive, voici les éléments que vous devrez absolument inclure dans le journal des activités de WordPress.
- Modifications du contenu
- Nouveaux utilisateurs et utilisateurs supprimés
- Tentatives de connexion échouées
- Modifications apportées aux thèmes ou aux plugins
- Modifications du noyau et des paramètres de WordPress
- Modifications de profil utilisateur
- Modifications apportées aux sites Web et aux utilisateurs sur les configurations multisites
1. Modifications du contenu
Le contenu est le cœur de tout site Web réussi. Votre site sera au moins composé d’une ou plusieurs pages, qui devront être mises à jour périodiquement avec des informations nouvelles ou révisées si vous voulez qu’elles restent pertinentes.
En outre, de nombreux sites WordPress publient fréquemment de nouveaux contenus sous forme d’articles. Vous pouvez utiliser votre site pour tenir un blog, publier des articles sur votre entreprise ou autre chose. Une fois que votre site a été en place pendant un certain temps, le nombre d’articles peut monter en flèche rapidement.
La qualité et l’exactitude de tout ce contenu est essentielle pour donner de la valeur à vos visiteurs, renforcer votre autorité et vous assurer que votre public a confiance en ce que vous avez à dire. Tout cela signifie qu’il est essentiel de garder un œil attentif sur votre contenu. Vous devrez vous assurer que le nouveau contenu et les changements apportés au contenu existant reflètent bien l’image de votre site et/ou de votre entreprise.
C’est pourquoi vous devrez suivre toutes les modifications liées au contenu dans WordPress. Cela inclut :
- La création de nouvelles pages, nouveaux articles ou autres types de contenu.
- Modification du titre, de la date, de l’URL, des champs personnalisés ou d’autres variables clés d’une page ou d’un article existant.
- Contenu modifié dans le contenu existant – si quelque chose a été ajouté, édité ou supprimé.
- Les changements de statut, tels qu’un publié ou remis dans les brouillons.
Le SEO est une autre grande raison de toujours garder un oeil sur les changements de contenu. Par exemple, si une URL change sur un article populaire avec du trafic et des backlinks, et que vous ne le savez pas, cela pourrait être désastreux. Bien que WordPress ait intégré des redirections et fera de son mieux pour essayer de rediriger vers le contenu mis à jour, cela ne fonctionne pas toujours. Vous devez toujours ajouter des redirections 301, au niveau du serveur si possible pour des raisons de performances. L’outil de redirection de Kinsta rend cela super facile !
Tous les changements ci-dessus se produisent assez régulièrement sur un site WordPress actif, et ne sont généralement pas un problème. Cependant, vous devez toujours être prêt à faire face à l’imprévu. Un article peut être publié trop tôt, par exemple, ou une section d’une page peut être supprimée. Dans ces scénarios, si vous avez suivi les changements de contenu sur votre site, vous saurez exactement qui a fait la modification et quand (et vous serez bien placé pour savoir pourquoi).
2. Nouveaux utilisateurs et utilisateurs supprimés
Comme nous l’avons mentionné précédemment, de nombreux sites WordPress finissent par ajouter un certain nombre d’utilisateurs à leurs rangs. C’est généralement le signe d’un site florissant, car il y a plus de gens qui s’y impliquent et y travaillent.
Cependant, vous devrez garder un certain niveau de contrôle sur la base d’utilisateurs de votre site. Même si vous activez les enregistrements ouverts, vous devez savoir qui détient chaque compte utilisateur et pourquoi. Par conséquent, vous devrez à tout le moins en être conscient lorsque des utilisateurs sont ajoutés ou supprimés de votre site.
Le suivi de ces deux activités est important. Si un nouvel utilisateur s’inscrit inopinément sur votre site, vous devrez le savoir tout de suite. Si vous n’activez pas les inscriptions ouvertes, cela peut être le signe d’une tentative de piratage. Il en va de même pour les utilisateurs supprimés – encore une fois, ce n’est pas le genre de chose que vous voulez qui se produise de façon inattendue.
3. Tentatives de connexion échouées
Tout le monde doit se connecter avant de pouvoir accéder à vos pages d’administration WordPress – même vous. En fait, votre écran de connexion constitue une première ligne de défense cruciale lorsqu’il s’agit de protéger votre tableau de bord de site ou vos pages « réservées aux clients ». Bien qu’il existe plusieurs façons d’essayer de forcer l’accès à votre site, la plupart des attaquants concentreront leurs efforts à essayer d’entrer par l’écran de connexion.
Généralement, ces tentatives ne réussiront pas du premier coup. Les pirates écrivent des programmes qui vont essayer des milliers de combinaisons de connexion, jusqu’à ce qu’ils en trouvent une qui fonctionne. Par conséquent, le suivi des tentatives de connexion échouées peut vous donner un avertissement lorsque quelqu’un essaie de forcer votre site de cette façon.
Bien sûr, chaque site aura de temps en temps des erreurs d’ouverture de session. La plupart des utilisateurs oublient leurs mots de passe de temps en temps, ou orthographient mal leurs identifiants. Ce que vous devrez rechercher, ce sont les tentatives échouées répétées provenant de la même adresse IP. Si quelqu’un d’un endroit a essayé et échoué à se connecter plus d’une poignée de fois de suite, il se peut qu’il n’ait pas que de bonnes intentions.
Heureusement, si vous surveillez les connexions échouées dans votre journal d’activités, vous saurez combien de tentatives ont été faites, quand et d’où elles sont venues. Cela peut vous aider à trouver la source et à déterminer s’il s’agit d’une tentative de piratage ou simplement d’un utilisateur persistant. Vous pouvez également bloquer temporairement l’adresse IP en question, par mesure de sécurité.
Bien sûr, vous devrez aussi prendre d’autres mesures pour protéger votre écran de connexion WordPress. Changer votre URL de connexion WordPress est facile. Plus vous pouvez en faire pour renforcer la « porte d’entrée » de votre site, moins vous aurez à vous soucier des utilisateurs malveillants qui s’introduisent de force.
4. Modifications apportées aux thèmes ou aux plugins
A ce stade, prenons un moment pour parler des rôles des utilisateurs de WordPress. Chaque personne autorisée à accéder à votre site se voit attribuer un rôle particulier. Bien qu’il existe des plugins qui ajoutent des options supplémentaires, les rôles par défaut dans WordPress sont Administrateur, Éditeur, Auteur, Contributeur et Abonné (et Super Admin sur les installations multi-sites).
Chaque rôle a son propre ensemble de permissions – en d’autres termes, les actions que l’utilisateur est autorisé à prendre. Les administrateurs peuvent faire à peu près tout ce qu’ils veulent, par exemple, tandis que les abonnés ne peuvent gérer que leur profil personnel. Les autres rôles se situent quelque part entre les deux.
Ceci est important parce qu’il y a certaines actions que seuls les utilisateurs de haut niveau devraient être capables d’effectuer. Par exemple, sur un site régulier (non multi), seul un administrateur peut installer, supprimer ou mettre à jour des plugins et des thèmes.
Puisque les administrateurs peuvent apporter de telles modifications importantes à votre site, il est recommandé que vous n’ayez qu’un seul utilisateur avec ce niveau d’accès (vous, très probablement). La possibilité d’installer ou de supprimer des plugins sur votre site donne à un utilisateur la possibilité d’apporter d’énormes changements à sa fonctionnalité, ou même de casser le site entièrement s’il ne fait pas attention.
Cela signifie que si quelqu’un d’autre apporte des modifications aux plugins et aux thèmes, quelque chose ne va probablement pas. Soit un utilisateur malveillant effectue ces actions (par exemple, il essaie d’installer quelque chose qui lui est propre sur votre site), soit un utilisateur approuvé a un niveau de permissions qui est trop élevé.
Quoi qu’il en soit, ce sont des problèmes que vous devrez régler immédiatement. Si vous remarquez un changement dans les plugins ou les thèmes de votre site dans votre journal d’activités WordPress que vous n’avez pas fait vous-même, vous serez en mesure de retrouver la source immédiatement. De plus, vous verrez exactement quelles modifications ont été apportées, de sorte que vous pouvez les annuler si nécessaire.
5. Modifications du noyau et des paramètres de WordPress
D’une certaine façon, ces types d’activités sont très semblables à celles de la dernière section. Il y a plusieurs autres choses que seuls les administrateurs peuvent faire, en plus de l’installation des plugins et des thèmes. En fait, à peu près tous les privilèges réservés aux administrateurs valent la peine d’être suivis sur votre site.
Les plus cruciaux, cependant, sont les changements apportés à la plateforme WordPress de base et aux paramètres généraux de votre site. Il devrait être assez clair sur les raisons pour lesquelles ces deux catégories sont si importantes. Les deux peuvent affecter votre site dans son ensemble d’une manière très dramatique.
Les modifications apportées au noyau WordPress, par exemple, peuvent entraîner une incompatibilité avec les plugins, les thèmes et d’autres parties de votre site. En ce qui concerne les paramètres, il y a beaucoup de choses qui peuvent créer des problèmes si elles ne sont pas utilisées avec soin. Changer les permaliens de votre site peut faire des ravages avec son référencement naturel (SEO), d’une part. Il existe également des paramètres qui modifient la page d’accueil de votre site, activent ou désactivent les commentaires, et bien plus encore.
En d’autres termes, les modifications apportées au noyau de WordPress et à vos paramètres ne doivent être effectuées qu’avec le plus grand soin. Vous devrez donc absolument savoir tout de suite si ces éléments de votre site sont modifiés par quelqu’un d’autre. Comme dans la section précédente, cela signifie probablement que votre site est attaqué ou que quelqu’un a plus de permissions que nécessaire.
6. Modifications du profil utilisateur
Nous avons déjà parlé des utilisateurs dans un sens large – les nouveaux utilisateurs et les utilisateurs supprimés sont des choses que vous devrez savoir tout de suite. Cependant, il est tout aussi essentiel de se tenir au courant des changements apportés aux profils d’utilisateurs existants.
Chaque personne ayant un compte d’utilisateur sur votre site est en mesure d’apporter au moins quelques modifications de base à son propre profil. Toutefois, les rôles utilisateur déterminent les types d’activités que chaque personne peut effectuer. La plupart des utilisateurs ne pourront pas modifier le compte de quelqu’un d’autre, par exemple. De plus, seuls les administrateurs peuvent modifier le rôle d’un utilisateur.
Il n’est pas rare de voir des changements assez fréquents aux détails des utilisateurs sur un site WordPress très fréquenté. Cependant, il y a encore quelques activités à surveiller, notamment :
- Changements de mot de passe, de courriel et de nom d’affichage. Bien qu’il soit normal pour un utilisateur de modifier ces informations de temps en temps (et intelligent dans le cas des mots de passe), un nombre inhabituel de changements dans un court laps de temps peut indiquer un problème.
- Le rôle de l’utilisateur change. C’est l’activité numéro un à suivre en ce qui concerne les profils d’utilisateurs. En tant qu’administrateur, le rôle d’utilisateur de personne ne doit être modifié sur votre site à votre insu.
Si vous autorisez l’inscription ouverte sur votre site, vous devrez particulièrement être au courant des niveaux d’activité inhabituels sur les nouveaux comptes. Cela peut être un signe que le propriétaire du compte n’est pas un utilisateur légitime.
7. Modifications apportées aux sites Web et aux utilisateurs sur les configurations multisites
Tout à l’heure, nous avons brièvement mentionné les installations multisites. C’est l’une des fonctionnalités les moins connues mais les plus utiles de WordPress. Grâce à la fonctionnalité multisite, vous pouvez gérer plusieurs sites Web individuels mais connectés dans un réseau organisé.
Lorsque vous exécutez une configuration multisite, chaque site est sa propre entité. En même temps, ils peuvent tous être gérés via un tableau de bord central. Un ou plusieurs super-administrateurs supervisent l’ensemble du réseau, prenant des décisions à grande échelle sur les utilisateurs, les paramètres, les plugins et les thèmes. Ensuite, chaque site Web a son propre administrateur, qui ne peut apporter des modifications qu’à ce site particulier.
Les configurations multisites peuvent être particulièrement difficiles à organiser et à sécuriser. Après tout, vous avez maintenant plusieurs sites dont vous devez vous préoccuper, chacun avec son propre groupe d’utilisateurs. Cela signifie que le suivi des activités sur chaque site (ainsi que sur l’ensemble du réseau) est plus important que jamais.
Voici quelques-unes des activités auxquelles vous devrez porter une attention particulière si vous gérez un réseau multisites :
- Sites ajoutés ou supprimés. C’est le plus important. En tant que super administrateur, vous êtes le seul à pouvoir créer ou supprimer des sites – aucun autre utilisateur ne devrait effectuer une action aussi importante.
- Ajout ou suppression d’utilisateurs des sites. Pour les mêmes raisons que celles évoquées plus haut, le suivi des utilisateurs enregistrés sur chaque site du réseau est une bonne idée.
- Modifications des paramètres réseau. Dans le cas d’une configuration multisite, vous aurez accès à un écran spécial avec des options spécifiques au réseau. Ces réglages ont des effets de grande portée et ne doivent pas être modifiés à la légère.
L’utilisation d’un journal d’activités pour les réseaux WordPress Multisite vous permet de suivre les activités dans toutes les directions possibles. Cela vous permet de garder un œil sur le comportement des utilisateurs sur chaque site individuel, ainsi que sur les changements apportés au réseau dans son ensemble.
N’oubliez pas votre compte d’hébergement
Outre vos sites WordPress, il est également conseillé de suivre ce qui se passe sur votre compte d’hébergement WordPress. C’est bien sûr ce qui alimente tout en arrière plan.
Si vous êtes un client Kinsta, vous pouvez facilement voir les changements depuis l’écran d’activité de l’utilisateur dans le tableau de bord MyKinsta. Tout, de la création à la suppression de sites, en passant par les changements de domaines, les redirections, etc. Si vous avez plusieurs utilisateurs sur votre compte, il est connecté globalement pour que vous puissiez voir qui a fait quelle action.
Résumé
Les plus petites modifications apportées à un site Web WordPress peuvent avoir des résultats spectaculaires. Une simple modification des paramètres peut modifier le fonctionnement de votre site, et l’installation d’un plugin ou d’un thème qui n’est pas compatible avec vos autres outils peut casser des fonctionnalités importantes. C’est pourquoi, surtout si vous avez beaucoup d’utilisateurs, vous devrez garder une trace de tout ce qui se passe sur votre site. Voici comment supprimer un thème WordPress en toute sécurité.
L’une des meilleures façons d’y parvenir est d’obtenir un plugin WP Activity Log qui compile les informations sur chaque modification apportée à votre site dans un journal pratique. Ce journal devrait suivre tous les changements les plus importants (et potentiellement problématiques), tels que :
- Modifications du contenu.
- Nouveaux utilisateurs et utilisateurs supprimés.
- Échec des tentatives de connexion.
- Modifications de thèmes ou de plugins.
- Modification du noyau et des paramètres de WordPress.
- Modifications du profil de l’utilisateur.
- Modifications apportées aux sites Web et aux utilisateurs sur les configurations multisites.
Avez-vous des questions sur la façon de suivre l’activité des utilisateurs sur votre site Web WordPress ? Demandez dans la section commentaires ci-dessous !
Brian a une grande passion pour WordPress, l'utilise depuis plus de dix ans et développe même quelques plugins de qualité. Brian aime les blogs, les films et les randonnées. Connectez avec Brian sur Twitter.
Laisser un commentaire