Onglet Test : vérifier que les protections fonctionnent

Un test de sécurité WordPress sert à une seule chose : savoir si la protection fonctionne vraiment, pas seulement si elle est activée. L’onglet « Test » du plugin CSDN fait deux vérifications en direct. Il ne change aucun réglage. Il contrôle le site maintenant.

Où se trouve le test de sécurité WordPress

Ouvre Réglages > Cisilino Site Defense Network (point 1 de l’image). Clique sur l’onglet Test (point 2). Tu trouves deux encadrés :

• point 3 : « Vérification du blocage d’exécution PHP dans uploads ».
• point 4 : « Intégrité des fichiers du plugin ».

Après chaque bouton, le site te ramène à l’onglet Général, avec un avertissement en haut. Le résultat, lui, est écrit dans l’onglet Test. Rouvre-le pour le lire.

Vérification du blocage d’exécution PHP dans uploads

Cet encadré teste la règle « Bloquer l’exécution PHP dans wp-content/uploads » de l’onglet Durcissement / IDS, décrite au chapitre Durcissement / IDS. Le texte explique que c’est le seul moyen de savoir si la règle est vraiment efficace sur ce site. Un AllowOverride désactivé ou un blocage plus spécifique dans le serveur pourraient la rendre inutile sans le signaler.

Comment procéder

1. Dans l’onglet Durcissement / IDS, active la règle et clique sur « Enregistrer les règles de durcissement ».
2. Ouvre l’onglet Test.
3. Dans l’encadré « Vérification du blocage d’exécution PHP dans uploads », clique sur « Vérifier maintenant ».
4. Retourne à l’onglet Test et lis le résultat, avec la ligne « Dernier test : » et la date.

Si la règle n’est pas active et enregistrée, le bouton est désactivé. L’encadré affiche : « Active et enregistre la règle « Bloquer l’exécution PHP dans wp-content/uploads » dans l’onglet Durcissement / IDS avant de pouvoir exécuter le test. ».

Ce que fait le test

Le plugin écrit dans uploads un petit fichier .php de test. Il le demande par HTTP, avec une limite de 10 secondes. Puis il le supprime immédiatement, dans tous les cas. Le fichier contient seulement une impression de contrôle.

Comment lire le résultat

• Vert : « Blocage efficace : la requête vers le fichier de test a reçu N. ». Le nombre est 403 ou 404.
• Rouge : « ATTENTION : le fichier PHP de test a été EXÉCUTÉ (réponse N). » La règle ne bloque rien. Le message te suggère de vérifier que AllowOverride autorise .htaccess dans ce dossier et qu’il n’existe pas de bloc <Directory> plus spécifique.
• Jaune : « Résultat peu clair (réponse N, corps non reconnu) : vérifie manuellement avec une requête directe au site. ».
• Bleu : « Règle désactivée : active-la et enregistre-la avant d’exécuter le test. ».
• Rouge, pour les erreurs : « Impossible de déterminer le dossier uploads. », « Impossible d’écrire le fichier de test dans uploads (permissions ?) : test non exécuté. » ou « Requête de vérification échouée », avec le motif.

Attention : si le site n’arrive pas à s’appeler lui-même, par exemple à cause d’un pare-feu, d’un mot de passe HTTP ou d’un DNS local, le test donne une erreur ou un résultat peu clair. Un 404 est compté comme un blocage, mais cela pourrait dépendre d’autre chose. Le test ne teste que le dossier uploads standard. Pendant quelques secondes, un fichier .php existe dans uploads : si le blocage ne fonctionne pas, il peut être exécuté, mais il contient seulement une impression de contrôle.

Intégrité des fichiers du plugin

C’est la seconde partie du test de sécurité WordPress. Le second encadré compare les empreintes MD5 des fichiers .php du plugin avec celles attendues. Il cherche des fichiers modifiés, manquants ou ajoutés. Le contrôle démarre seul une fois par jour. Le bouton « Vérifier maintenant » l’exécute immédiatement.

L’encadré rapporte une limite fixe : qui a déjà l’accès en écriture aux fichiers peut aussi réécrire les empreintes ou éteindre le contrôle. C’est un détecteur d’altérations, pas une barrière.

Comment procéder

1. Ouvre l’onglet Test.
2. Dans l’encadré « Intégrité des fichiers du plugin », clique sur « Vérifier maintenant ».
3. Lis l’avertissement : « Vérification d’intégrité exécutée : le résultat se trouve dans l’encadré « Intégrité des fichiers du plugin ». ».
4. Rouvre l’onglet Test et lis l’encadré.

Comment lire le résultat

Vert : « Tous les N fichiers vérifiés correspondent. Dernier contrôle : date. ». Si la référence est une photographie, l’encadré ajoute qu’elle détecte les modifications postérieures, pas un plugin déjà compromis à l’installation. Rouge : « ATTENTION : les fichiers du plugin ne correspondent pas à ceux attendus. », avec les listes « Modifiés », « Manquants » et « Imprévus ». Jaune : « Aucune référence disponible ». Dans ce cas, réactive le plugin.

Le bouton manuel n’écrit pas dans le registre d’activité. Seul le contrôle planifié le fait, et seulement s’il trouve un problème ou si les fichiers redeviennent réguliers après une alerte. Pour les détails, lis le chapitre Surveillance des téléversements et contrôle d’intégrité.

Attention : si tu as modifié à la main un fichier du plugin, l’alerte rouge est normale. Si tu ne l’as pas fait, traite le site comme potentiellement compromis : réinstalle le plugin depuis une copie fiable et vérifie le reste de l’installation.

Si quelque chose ne va pas

Répète le test de sécurité WordPress après chaque correction. Si le test sur le PHP donne rouge, la règle ne protège pas. Demande à ton hébergeur si .htaccess est activé. Si le serveur ne lit pas .htaccess, par exemple avec nginx, la règle n’a aucun effet. Répète le test après chaque correction. Un 403 est la réponse que tu veux voir : la page sur le code de statut 403 de MDN explique ce qu’il signifie.

Chapitre précédent : Surveillance des téléversements et contrôle d’intégrité. Chapitre suivant : Paranoic Hardening : en-têtes de sécurité et session administrateur. Pour le sommaire des chapitres, retourne à l’introduction du manuel.