Forcer le https avec un site WordPress

Si votre serveur est configuré pour proposer du HTTP et du HTTPS, il est possible de forcer l’utilisation du SSL pour la page de login afin d’éviter les connexions moins sûres.

Cela aura pour effet de crypter l’ensemble des données entre votre ordinateur (client) et le serveur et ainsi rendre plus complexes les attaques de type Man-In-The-Middle.

Pour cela, rien de plus simple, il faut modifier le fichier wp-config.php et y ajouter cette ligne si vous souhaitez utiliser SSL uniquement sur la page de login :

define(‘FORCE_SSL_LOGIN’, true);

ou utiliser SSL pour l’intégralité de la section admin du site :

define(‘FORCE_SSL_ADMIN’, true);

Vous pouvez aussi utiliser une extension comme celle-ci, si vous n’êtes pas à l’aise avec les fichiers de configuration php.

Si lors de vos tests, vous constatez que votre section admin part dans une espèce de boucle infinie, c’est probablement parce que vous utilisez un reverse proxy tel que nginx et que celui-ci communique avec Apache en HTTP simple. Pour régler le problème, toujours dans le fichier wp-config.php, ajoutez les lignes suivantes :

define(‘FORCE_SSL_ADMIN’, true);

define(‘FORCE_SSL_LOGIN’, true);

if ($_SERVER[‘HTTP_X_FORWARDED_PROTO’] == ‘https’)

       $_SERVER[‘HTTPS’]=’on’;

ocation / { …
proxy_set_header X-Forwarded_Proto https;
…
}

Haris

Recommended Posts

Site WordPress piraté comment le réparer ?

21 mars 2022

Hack CVE-2022-0847 sur le noyau Linux

8 mars 2022

Site WordPress piraté qui affiche de la publicté

5 janvier 2021