Comprendre la surveillance continue de la s\u00e9curit\u00e9 et la conformit\u00e9<\/h2>\n
Votre site web a une valeur immense pour certains groupes. Les utilisateurs malveillants ne voient pas vos produits et services, ils voient des donn\u00e9es et des opportunit\u00e9s de gain. En 2022, SiteLock a constat\u00e9<\/a> que le site moyen subissait environ 100 attaques par jour.<\/p>\n Il est donc essentiel de surveiller votre s\u00e9curit\u00e9 en permanence et de v\u00e9rifier votre niveau de conformit\u00e9. Les intentions malveillantes sont dynamiques, ce qui signifie que vous devez \u00e9valuer, suivre et traiter vos dispositions en mati\u00e8re de s\u00e9curit\u00e9 sur une base en constante \u00e9volution. Par exemple, le Top 10 de l’OWASP<\/a> surveille les types d’attaques malveillantes les plus populaires, et cette liste change \u00e0 chaque enqu\u00eate.<\/p>\n Il existe de nombreuses autres raisons de mettre en place une surveillance continue de la s\u00e9curit\u00e9 :<\/p>\n Pour les sites WordPress, votre strat\u00e9gie de surveillance et de conformit\u00e9 rev\u00eat une importance et des d\u00e9fis encore plus grands :<\/p>\n La bonne nouvelle est que vous pouvez facilement int\u00e9grer la surveillance de la s\u00e9curit\u00e9 dans votre flux de travail existant et la combiner avec les notifications de mise \u00e0 jour de WordPress. Mieux encore, vous pouvez contr\u00f4ler cela gr\u00e2ce \u00e0 l’API de Kinsta<\/a>.<\/p>\n Pour les clients de Kinsta, l’API<\/a> repr\u00e9sente le meilleur moyen d’automatiser et d’exploiter de nombreux aspects de votre serveur d’h\u00e9bergement. Nous proposons de nombreux points de terminaison pour toutes sortes de t\u00e2ches. Par exemple, vous pouvez g\u00e9rer les sites, les utilisateurs et les d\u00e9pendances telles que les th\u00e8mes et les extensions. De plus, vous pouvez r\u00e9cup\u00e9rer les logs et acc\u00e9der aux m\u00eames mesures d’application depuis le tableau de bord MyKinsta<\/a>:<\/p>\n Bien s\u00fbr, l’int\u00e9gration de l’API Kinsta dans votre flux de travail WordPress sera un jeu d’enfant, \u00e9tant donn\u00e9 que nous nous concentrons sur l’h\u00e9bergement WordPress<\/a>. Vous d\u00e9couvrirez plus loin comment proc\u00e9der. Nous offrons un moyen proactif et programmatique de g\u00e9rer votre surveillance de la s\u00e9curit\u00e9 pour les facettes cl\u00e9s de WordPress. Cela inclut les mises \u00e0 jour du site, la journalisation, et bien plus encore.<\/p>\n La plupart de ces \u00e9l\u00e9ments correspondent \u00e0 ce sur quoi vous devriez vous concentrer lorsqu’il s’agit de la s\u00e9curit\u00e9 de WordPress. Voyons maintenant ce qu’il en est.<\/p>\n A la base, WordPress est une plateforme solide et s\u00e9curis\u00e9e, gr\u00e2ce \u00e0 sa base de code mature et \u00e0 sa d\u00e9pendance stricte \u00e0 l’\u00e9gard des pratiques s\u00e9curis\u00e9es. Pour le syst\u00e8me de gestion de contenu (CMS) lui-m\u00eame, vous disposez de moyens officiels pour signaler les vuln\u00e9rabilit\u00e9s :<\/p>\n En fait, il y a un moyen pour les utilisateurs finaux de signaler les th\u00e8mes, aussi – un bouton bien en vue sur la page du d\u00e9p\u00f4t :<\/p>\n Il est clair que WordPress est tr\u00e8s attentif \u00e0 la s\u00e9curit\u00e9, et il y a quelques domaines cl\u00e9s sur lesquels se concentrer pour le code de base :<\/p>\n Pour vous aider \u00e0 surveiller certaines de ces facettes, vous pouvez utiliser l’\u00e9cran Sant\u00e9 du site dans votre tableau de bord WordPress :<\/p>\n En ce qui concerne la conformit\u00e9, WordPress propose un mod\u00e8le de politique de confidentialit\u00e9 par d\u00e9faut pour chaque installation. La plateforme principale encourage \u00e9galement l’utilisation de formulaires de divulgation des vuln\u00e9rabilit\u00e9s<\/a>. L’utilisation de l’API Kinsta permet de mettre en place un dispositif de s\u00e9curit\u00e9 robuste – et nous allons vous montrer comment le faire.<\/p>\n Si vous souhaitez mettre en place une configuration qui implique une surveillance continue de la s\u00e9curit\u00e9, une approche programmatique sera sans doute la meilleure. L’API Kinsta offre de nombreux points de terminaison diff\u00e9rents pour vous aider dans votre d\u00e9marche, bien que ce ne soit pas la seule approche (nous y reviendrons plus tard).<\/p>\n Nous allons vous pr\u00e9senter une approche typique de la surveillance de la s\u00e9curit\u00e9 \u00e0 l’aide de l’API. Nous commencerons par r\u00e9cup\u00e9rer vos cl\u00e9s API, puis nous passerons aux autres domaines.<\/p>\n Sans vos cl\u00e9s API, vous ne pouvez acc\u00e9der \u00e0 aucun aspect de vos sites. Pour g\u00e9n\u00e9rer une nouvelle cl\u00e9 API, rendez-vous sur le tableau de bord MyKinsta et sur l’\u00e9cran R\u00e9glages de l’entreprise > Cl\u00e9s API<\/strong>. Si c’est la premi\u00e8re fois que vous venez ici, l’\u00e9cran sera probablement vide :<\/p>\n Cliquez sur le bouton Cr\u00e9er une cl\u00e9 API<\/strong> et remplissez les champs pour d\u00e9finir une date d’expiration et un nom pour votre cl\u00e9 :<\/p>\n Une fois que vous aurez cliqu\u00e9 sur le bouton G\u00e9n\u00e9rer<\/strong>, vous pourrez copier votre cl\u00e9 API. N’oubliez pas que vous ne la verrez plus jamais, alors assurez-vous de la conserver en toute s\u00e9curit\u00e9 :<\/p>\n Avec votre nouvelle cl\u00e9 API en main, vous pouvez commencer \u00e0 explorer la connexion \u00e0 l’API Kinsta.<\/p>\n Nous vous recommandons de garder la documentation de l’API \u00e0 port\u00e9e de main pendant que vous naviguez parmi les points de terminaison disponibles. Tous ne sont pas adapt\u00e9s \u00e0 la surveillance de la s\u00e9curit\u00e9, mais certains vous serviront plus que d’autres :<\/p>\n Nous pr\u00e9senterons d’autres points de terminaison dans la section suivante, o\u00f9 vous les utiliserez pour d\u00e9velopper votre processus.<\/p>\n Avant de toucher \u00e0 une ligne de code, il est bon de planifier \u00e0 l’avance afin de consolider vos objectifs. Examinez les points de terminaison disponibles, combinez-les avec ce que vous souhaitez pour votre processus de surveillance de la s\u00e9curit\u00e9, puis essayez de faire correspondre le tout.<\/p>\n Par exemple, vous voudrez peut-\u00eatre v\u00e9rifier r\u00e9guli\u00e8rement si le noyau, les th\u00e8mes et les extensions de WordPress sont obsol\u00e8tes<\/a>. Le point de terminaison Voici un script Python rapide pour authentifier l’acc\u00e8s \u00e0 l’API et r\u00e9cup\u00e9rer un site. Tout d’abord, nous d\u00e9finissons quelques variables de base. Notez que vous n’incluez g\u00e9n\u00e9ralement pas votre cl\u00e9 API et l’identifiant de votre entreprise dans votre code. Dans ce cas, nous le faisons par souci de concision et de clart\u00e9.<\/p>\n Une fois les variables d\u00e9finies, nous pouvons d\u00e9finir les en-t\u00eates d’authentification et chercher \u00e0 valider l’acc\u00e8s. Avec trois courtes fonctions, nous pouvons valider le jeton, renvoyer une liste de sites et r\u00e9cup\u00e9rer un site sp\u00e9cifique :<\/p>\n Une fonction L’acc\u00e8s \u00e0 vos sites \u00e9tant termin\u00e9, vous pouvez envisager d’ajouter d’autres points de terminaison pour des cas d’utilisation sp\u00e9cifiques.<\/p>\n Il existe de nombreuses fa\u00e7ons d’utiliser les points de terminaison de l’API Kinsta pour une surveillance continue et automatis\u00e9e. R\u00e9cup\u00e9rer vos journaux d’erreurs \u00e0 intervalles r\u00e9guliers est un excellent moyen d’\u00eatre proactif en ce qui concerne la s\u00e9curit\u00e9 de votre site.<\/p>\n Nous pouvons commencer par le m\u00eame processus d’authentification et de r\u00e9cup\u00e9ration du site que celui de l’\u00e9tape pr\u00e9c\u00e9dente. Une fois que vous avez le site dont vous avez besoin, une fonction courte peut acc\u00e9der \u00e0 l’API et renvoyer les journaux d’erreurs :<\/p>\n Si vous souhaitez automatiser ce processus, vous devriez pouvoir trouver un paquetage ou une biblioth\u00e8que pour vous aider. Par exemple, Python dispose du paquetage Bien s\u00fbr, vous pouvez extrapoler ici pour travailler avec n’importe quel point de terminaison que vous souhaitez, comme L’h\u00e9bergement de Kinsta int\u00e8gre la s\u00e9curit\u00e9 dans le tableau de bord MyKinsta et son architecture profonde. Pour cette raison, les utilisateurs ne pourront pas installer la plupart des extensions de s\u00e9curit\u00e9<\/a>. Pour activer le m\u00eame niveau de fonctionnalit\u00e9, vous utiliserez typiquement les outils de Kinsta, tels que le blocage d’IP.<\/p>\n Bien que l’API de Kinsta offre un moyen \u00ab brut \u00bb de fournir des points de terminaison pour la surveillance et l’automatisation de la s\u00e9curit\u00e9, il est<\/em> possible de l’associer \u00e0 certaines extensions s\u00e9lectionn\u00e9es. Par exemple, bien que nous ne vous permettions pas d’activer l’enregistrement du trafic (car il entra\u00eene des IOPS \u00e9lev\u00e9s), le reste de l’extension Wordfence<\/a> peut s’av\u00e9rer utile.<\/p>\n En fait, Wordfence propose deux de ses propres points de terminaison pour l’approbation des IP et l’importation des r\u00e9glages<\/a>. Ce dernier point peut s’av\u00e9rer int\u00e9ressant si vous souhaitez reproduire les \u00ab bons \u00bb r\u00e9glages connus sur plusieurs sites diff\u00e9rents. Cependant, le CLI de Wordfence<\/a> offre beaucoup plus de possibilit\u00e9s de combinaison avec notre API.<\/p>\n L’utilisation conjointe des deux d\u00e9passe le cadre de cet article, mais il est concevable de cr\u00e9er un processus enfant \u00e0 l’aide de Node.js<\/a> pour ex\u00e9cuter des scripts Python, pour ne citer qu’un exemple.<\/p>\n Cela signifie que vous pouvez avoir un moyen programmatique d’ex\u00e9cuter et d’automatiser les fonctionnalit\u00e9s de Wordfence en m\u00eame temps que celles de Kinsta. L’extension Sucuri Security<\/a> dispose \u00e9galement d’une API simple<\/a> qui vous permet d’effectuer une analyse du site.<\/p>\n Vous pouvez (bien s\u00fbr) utiliser les extensions de mani\u00e8re plus directe. Par exemple, WP Activity Log<\/a> \u00e9tend la fonctionnalit\u00e9 de journalisation de Kinsta. Il vous permet d’enregistrer presque toutes les actions qui se produisent sur votre site, y compris pour les extensions tierces.<\/p>\n Si vous souhaitez int\u00e9grer l’API de Kinsta aux extensions de votre site, vous avez g\u00e9n\u00e9ralement besoin d’un acc\u00e8s \u00e0 l’API de l’extension. Cependant, toutes les extensions ne proposent pas cet acc\u00e8s, il se peut donc que vos extensions pr\u00e9f\u00e9r\u00e9es soient soumises \u00e0 certaines restrictions.<\/p>\n En tant qu’entreprise qui met en avant ses contr\u00f4les, ses sous-processus et sa conformit\u00e9<\/a>, Kinsta en sait long sur le travail que cela implique. En ce qui concerne les normes de conformit\u00e9, nous r\u00e9pondons \u00e0 celles de SOC 2 Type 2<\/a>, du RGPD et du CCPA.<\/p>\n Afin d’am\u00e9liorer la confiance des utilisateurs, votre site doit \u00e9galement r\u00e9pondre \u00e0 ces normes. Le RGPD<\/a> a \u00e9t\u00e9 le premier \u00e0 affecter presque tous les sites. Ce r\u00e8glement de l’Union europ\u00e9enne (UE) \u00e9tablit des lignes directrices sur la mani\u00e8re dont vous collectez, traitez et stockez les donn\u00e9es \u00e0 caract\u00e8re personnel. Le CCPA<\/a> est un autre texte l\u00e9gislatif qui va dans le m\u00eame sens. Pour les sites WordPress, la page de politique de confidentialit\u00e9 int\u00e9gr\u00e9e et les outils d’exportation de donn\u00e9es peuvent vous aider, de m\u00eame que la mise en place d’avis de cookies.<\/p>\n Si vous travaillez dans la finance, la sant\u00e9 ou d’autres secteurs similaires, vous devrez respecter d’autres lois, normes, lignes directrices et directives :<\/p>\n L’infrastructure de Kinsta peut constituer une base solide pour l’ensemble de votre strat\u00e9gie de conformit\u00e9, et l’API de Kinsta peut \u00e9galement s’int\u00e9grer \u00e0 celle de WordPress. Vous pouvez m\u00eame envisager des aspects tels que la surveillance de l’int\u00e9grit\u00e9 des fichiers<\/a> \u00e0 l’aide d’outils, de services et de plugins tiers.<\/p>\n Pour terminer cet article, nous allons vous donner quelques conseils g\u00e9n\u00e9raux pour l’utilisation de l’API Kinsta et de WordPress. Lorsqu’il s’agit de la s\u00e9curit\u00e9 et de la conformit\u00e9 de votre site, il est important de maximiser l’efficacit\u00e9 des deux, car vous en tirerez le plus grand b\u00e9n\u00e9fice.<\/p>\n Une approche simple consiste \u00e0 utiliser le point de terminaison \u00ab authentication \u00bb<\/a> pour v\u00e9rifier que votre cl\u00e9 API est valide :<\/p>\n En outre, vous voudrez toujours garder vos identifiants d’API confidentiels, en particulier si vous stockez votre code dans un d\u00e9pot Git distant<\/a>. La meilleure pratique consiste \u00e0 stocker ces cl\u00e9s en dehors du webroot et \u00e0 utiliser l’une des m\u00e9thodes suivantes :<\/p>\n Cependant, outre la protection de vos cl\u00e9s API, il y a beaucoup d’autres choses que vous pouvez faire pour rendre l’utilisation de l’API Kinsta et de WordPress plus s\u00fbre :<\/p>\n Surtout, tenez-vous au courant des pratiques de s\u00e9curit\u00e9 actuelles et utilisez les plus solides. Renseignez-vous \u00e9galement sur les vuln\u00e9rabilit\u00e9s r\u00e9centes et les correctifs logiciels qui les combattent pour vos th\u00e8mes et vos extensions. Avec une proc\u00e9dure de mise \u00e0 jour r\u00e9guli\u00e8re, combin\u00e9e \u00e0 l’automatisation de la surveillance de la s\u00e9curit\u00e9 et \u00e0 la conformit\u00e9 avec l’API Kinsta, vous aurez mis en place une configuration r\u00e9siliente.<\/p>\n\n
\n
Un bref aper\u00e7u de l’API Kinsta<\/h2>\n
![\"Le](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/mykinsta-dashboard.png\")
Les pratiques habituelles de WordPress en mati\u00e8re de s\u00e9curit\u00e9 et de conformit\u00e9<\/h2>\n
\n
![\"Le](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/report-theme-button.png\")
\n
![\"L'\u00e9cran](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/site-health.png\")
Comment mettre en \u0153uvre la surveillance de la s\u00e9curit\u00e9 avec l’API Kinsta<\/h2>\n
1. Obtenir vos identifiants API<\/h3>\n
![\"L'\u00e9cran](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/api-key-dashboard.png\")
![\"L'\u00e9cran](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/create-api-key-dialog.png\")
![\"Une](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/copy-api-key.png\")
2. Explorez les points de terminaison disponibles dans l’API Kinsta<\/h3>\n
\n
sites<\/code>.<\/strong> Utilisez-le lorsque vous avez besoin de r\u00e9cup\u00e9rer une liste de sites associ\u00e9s \u00e0 une entreprise. Vous pouvez obtenir des informations de base, telles que le nom, l’identifiant et l’\u00e9tat.<\/li>\nbackups<\/code>.<\/strong> Vous pouvez cr\u00e9er et restaurer des sauvegardes pour n’importe lequel de vos sites \u00e0 l’aide des requ\u00eates GET<\/code> et POST<\/code>. Ces sauvegardes feront partie de votre plan de reprise apr\u00e8s sinistre et de vos r\u00e9ponses aux incidents de s\u00e9curit\u00e9.<\/li>\nlogs<\/code>.<\/strong> Ce point de terminaison peut \u00eatre utilis\u00e9 pour de simples journaux d’erreurs et d’acc\u00e8s. Il sera l’un de vos points d’acc\u00e8s privil\u00e9gi\u00e9s pour la surveillance et le d\u00e9bogage.<\/li>\n<\/ul>\n3. Validez votre connexion et r\u00e9cup\u00e9rer une liste de sites<\/h3>\n
sites<\/code> est le moyen d’y parvenir. Cependant, vous ne pouvez pas vous contenter d’acc\u00e9der \u00e0 un seul point de terminaison ou de faire une seule requ\u00eate \u00e0 la fois. C’est l\u00e0 que la flexibilit\u00e9 de l’API Kinsta peut briller.<\/p>\nimport requests\nimport os\n\n\n# Define the API key and company ID within the script\napi_token = 'API_KEY'\ncompany_id = 'COMPANY_ID'\n\n# Set the base URL for the Kinsta API\nbase_url = 'https:\/\/api.kinsta.com\/v2'\n\n# Set the headers for authentication\nheaders = {\n 'Authorization': f'Bearer {api_token}'\n}\n\n\ndef validate_token():\n \"\"\"Checks and authenticates an API token.\"\"\" \n url = f'{base_url}\/validate'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n print('API token is valid')\n else:\n print('API token is invalid')\n exit(1)\n\n\ndef get_sites():\n \"\"\"Fetches a list of sites based on the Company ID.\"\"\"\n url = f'{base_url}\/sites?company={company_id}'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n data = response.json()\n company_data = data.get('company', {})\n sites = company_data.get('sites', [])\n return sites\n else:\n print(f'Failed to fetch sites. Status code: {response.status_code}')\n return None\n\n\ndef get_single_site(site_id):\n \"\"\"Takes a URL template and response, checks the status code, and returns JSON data if present.\"\"\"\n url = f'{base_url}\/sites\/{site_id}'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n site = response.json()\n return site\n else:\n print(f'Failed to fetch site. Status code: {response.status_code}')\n return None\n<\/code><\/pre>\nmain<\/code> appellera chacun de ces autres processus, en utilisant une certaine logique pour envoyer les informations sur le site dans un ensemble de variables d’environnement :<\/p>\ndef main():\n validate_token()\n sites = get_sites()\n\n if sites:\n print(f'Number of sites: {len(sites)}')\n if len(sites) > 0:\n for site in sites:\n print(f'Site ID: {site[\"id\"]}')\n print(f'Site Name: {site[\"name\"]}')\n print(f'Site Display Name: {site[\"display_name\"]}')\n print(f'Site Status: {site[\"status\"]}')\n print('Site Labels:', site[\"site_labels\"])\n print('---')\n\n\n # Store site details in environment variables\n os.environ[f'SITE_ID_{site[\"name\"]}'] = site[\"id\"]\n os.environ[f'SITE_NAME_{site[\"name\"]}'] = site[\"name\"]\n os.environ[f'SITE_DISPLAY_NAME_{site[\"name\"]}'] = site[\"display_name\"]\n os.environ[f'SITE_STATUS_{site[\"name\"]}'] = site[\"status\"]\n os.environ[f'SITE_LABELS_{site[\"name\"]}'] = str(site[\"site_labels\"])\n\n\n print('Site details stored in environment variables.')\n else:\n print('No sites found')\n else:\n print('Failed to fetch sites')\n<\/code><\/pre>\n4. Commencez \u00e0 combiner les points de terminaison pour cr\u00e9er une surveillance continue de la s\u00e9curit\u00e9<\/h3>\n
def get_error_logs():\n \"\"\"Fetches error logs up to 1,000 lines.\"\"\"\n url = f'{base_url}\/sites\/environments\/{company_id}\/logs?file_name=error&lines=1000'\n response = requests.get(url, headers=headers)\n\n if response.status_code == 200:\n logs = response.json()\n return logs\n else:\n print(f'Failed to fetch error logs. Status code: {response.status_code}')\n return None\n<\/code><\/pre>\nschedule<\/code>, qui ex\u00e9cutera une t\u00e2che \u00e0 intervalles fixes. Pour mettre cela en \u0153uvre, nous pouvons cr\u00e9er une autre fonction qui imprime les journaux, puis l’appeler en utilisant schedule<\/code> dans main<\/code>:<\/p>\ndef fetch_and_print_logs():\n \"\"\"Checks for error logs, and if present, prints them to screen.\"\"\"\n logs = get_error_logs()\n\n if logs:\n print('Error Logs:')\n for log in logs:\n print(log)\n print('---')\n\n\n# Schedule the log fetching task to run once a day at a specific time\nschedule.every().day.at('09:00').do(fetch_and_print_logs)\n\n\n#main.py\n\u2026\n\n while True:\n schedule.run_pending()\n time.sleep(1)\n<\/code><\/pre>\nbackups<\/code>, par exemple. Avec un peu de travail, vous pourriez \u00e9galement construire un syst\u00e8me complet pour automatiser et bloquer continuellement les adresses IP pour votre site – vous avez une grande marge de man\u0153uvre !<\/p>\nUtiliser l’API de Kinsta en conjonction avec d’autres plugins WordPress<\/h2>\n
![\"L'image](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/wordfence-plugin.png\")
![\"L'en-t\u00eate](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/wp-activity-log.png\")
Maintenir les normes de conformit\u00e9 avec WordPress et Kinsta<\/h2>\n
![\"Vue](\"https:\/\/kinsta.com\/wp-content\/uploads\/2024\/05\/trust-kinsta.png\")
\n
Conseils optimaux pour l’utilisation de l’API Kinsta et de WordPress pour la s\u00e9curit\u00e9 et la conformit\u00e9<\/h2>\n
const resp = await fetch(\n `https:\/\/api.kinsta.com\/v2\/validate`,\n {\n method: 'GET',\n headers: {\n Authorization: 'Bearer <API_KEY>'\n }\n }\n);\n\n\nconst data = await resp.text();\nconsole.log(data);\n<\/code><\/pre>\n\n
git crypt<\/code>, git-remote-gcrypt<\/code>, ou git secret<\/code>.<\/li>\n<\/ul>\n\n
R\u00e9sum\u00e9<\/h2>\n