Le fichier wp-config.php de WordPress : Optimisation, sécurité et bien plus encore !

Introduction :

Le fichier wp-config.php est un élément clé de toute installation WordPress. En effet, c'est dans ce fichier que résident les paramètres de configuration essentiels qui permettent à votre site de fonctionner de manière optimale.

Ce fichier, situé à la racine de votre installation WordPress, contient des informations sensibles telles que les détails de connexion à la base de données, les clés secrètes utilisées pour sécuriser les cookies, les préfixes de table de la base de données, et bien d'autres réglages importants.

Grâce au fichier wp-config.php, vous avez un contrôle total sur la configuration de votre site WordPress. Vous pouvez personnaliser différents aspects de votre installation, tels que le choix de la langue, les paramètres de sécurité, les réglages de cache, les constantes de mémoire, et bien plus encore.

Ce fichier est une grande importance en termes de sécurité, car il contient des informations sensibles liées à votre site. Il est important de prendre des précautions pour protéger l'accès à ce fichier, en s'assurant qu'il ne soit pas accessible publiquement depuis le navigateur.

De plus, le fichier wp-config.php offre également une flexibilité incroyable en permettant l'utilisation de constantes et de fonctions personnalisées. Cela vous permet d'étendre les fonctionnalités de WordPress et de personnaliser votre site selon vos besoins spécifiques adapté à vos besoins uniques.

Pourquoi ce fichier est-il aussi important :

Le fichier wp-config.php est d'une importance capitale pour le fonctionnement de votre site WordPress. Voici quelques raisons qui expliquent pourquoi ce fichier est si important :

• Configuration de la base de données : Le fichier wp-config.php contient les informations de connexion à la base de données de votre site WordPress. Ces informations sont essentielles pour que WordPress puisse accéder et interagir avec la base de données, où sont stockées toutes les données du site, y compris les articles, les pages, les commentaires, les réglages et les plugins.
• Sécurité : Le fichier wp-config.php contient des clés de sécurité utilisées pour le chiffrement des cookies et des sessions utilisateur. Ces clés sont un élément crucial pour assurer la sécurité de votre site WordPress. Elles sont générées automatiquement lors de l'installation de WordPress et doivent être gardées confidentielles.
• Personnalisation du site : Le fichier wp-config.php permet de définir diverses options de configuration et de personnalisation pour votre site WordPress. Vous pouvez y spécifier la langue par défaut, définir des constantes personnalisées et ajuster certains réglages spécifiques.
• Prévention des erreurs : Si vous rencontrez des problèmes sur votre site WordPress, le fichier wp-config.php peut être un endroit où vous pouvez vérifier et corriger certaines erreurs courantes. Par exemple, en cas de problème de connexion à la base de données, vous pouvez vérifier les informations de connexion dans ce fichier pour vous assurer qu'elles sont correctes.
• Portabilité du site : Lorsque vous migrez votre site WordPress vers un nouvel hébergement ou un nouvel environnement, le fichier wp-config.php doit être transféré avec succès pour assurer la continuité du fonctionnement du site. Il contient des informations spécifiques à votre installation de WordPress qui sont nécessaires pour que le site fonctionne correctement.

Le fichier de base wp-config.php

Lorsque vous installez WordPress pour la première fois, on vous demande d’entrer les informations obligatoires comme les détails de la base de données et le préfixe de la table. Parfois, votre hébergeur configurera WordPress pour vous, c'est le cas chez WPServeur, et vous n’aurez pas besoin d’exécuter manuellement la configuration. Mais lorsque vous exécutez manuellement l’installation qui se fait en 5 minutes, il vous sera demandé d’entrer certaines des données stockées dans le wp-config

Que contient le fichier WordPress wp-config.php :

Le fichier wp-config ressemble à une longue série de commandes visant à appeler des fonctions de WordPress.

Son contenu est analysé chaque fois qu’est chargée une page de votre site qui n’est pas mise en cache. En d’autres termes, le contenu est rechargé à chaque première connexion d’un internaute à votre site.

Le fichier wp-config doit être maintenu à jour. Les lignes qu’il contient apparaissent dans un certain ordre, qu’il faut éviter de modifier. On y retrouve pour exemple :

• Paramètres de connexion à la base de données : Le fichier wp-config.php contient les informations nécessaires pour établir la connexion entre votre site WordPress et la base de données, y compris le nom de la base de données, le nom d'utilisateur, le mot de passe et l'hôte de la base de données.
• Clés de sécurité : WordPress utilise des clés de sécurité pour crypter les cookies et les sessions utilisateur. Ces clés sont également stockées dans le fichier wp-config.php.
• Préfixe de table de base de données : Le fichier wp-config.php définit un préfixe pour les tables de base de données de WordPress.
• Langue : Vous pouvez définir la langue par défaut de votre site dans le fichier wp-config.php en spécifiant le code de langue approprié.
• Constantes et options personnalisées : Vous pouvez ajouter des constantes et des options personnalisées dans le fichier wp-config.php pour personnaliser davantage le comportement de votre site WordPress.

Fonctionnalités pour les développeurs : Mode de débogage.

Mode de débogage (debug mode) :
Le mode de débogage vous permet d'afficher les messages d'erreur, les avertissements et les notifications de débogage pour faciliter le développement et le dépannage de votre site WordPress. Voici comment l'activer :

// Activation du mode de débogage
define('WP_DEBUG', true);

// Enregistrement des messages de débogage dans un fichier journal
define('WP_DEBUG_LOG', true);

// Affichage des messages de débogage sur l'écran
define('WP_DEBUG_DISPLAY', false);

En définissant WP_DEBUG sur true, les messages de débogage seront activés. Les erreurs et les avertissements seront également enregistrés dans un fichier journal (debug.log) grâce à WP_DEBUG_LOG. Cependant, pour éviter que ces messages de débogage s'affichent à l'écran et perturbent l'expérience utilisateur, WP_DEBUG_DISPLAY est défini sur false, vous pouvez définir sur true si vous souhaitez afficher les erreurs sur l'écran.

Paramètres relatifs au contenu :

Lorsque vous faites évoluer votre site Web, il est essentiel de prendre des mesures pour améliorer ses performances et son efficacité. Une des façons d'y parvenir est de réduire le nombre de révisions d'articles enregistrées par défaut dans WordPress, voici la constante :

// Je permets que 3 révisions
define( 'WP_POST_REVISIONS', 3 );

Vous souhaitez désactiver complètement les révisions ? Voici la constante :

define('WP_POST_REVISIONS', false);

Pour activer le mode multisite dans le fichier wp-config.php de WordPress, vous pouvez utiliser la constante suivante :

define('WP_ALLOW_MULTISITE', true);

Par défaut, WordPress enregistre automatiquement les révisions toutes les 60 secondes. Nous pouvons changer cette valeur en définissant un intervalle personnalisé dans le wp-config comme suit :

define( 'AUTOSAVE_INTERVAL', 160 );

La constante define( 'AUTOSAVE_INTERVAL', 160 ); définit l'intervalle de sauvegarde automatique de l'édition en cours des articles/page dans WordPress, . En effet, par défaut, WordPress effectue des sauvegardes automatiques régulières pour éviter la perte de données en cas de panne ou d'interruption. L'intervalle spécifié dans cette constante représente le temps en secondes entre chaque sauvegarde automatique.

Dans cet exemple, l'intervalle est défini à 160 secondes. Cela signifie que WordPress effectuera une sauvegarde automatique de l'article toutes les 160 secondes, soit toutes les 2 minutes et 40 secondes. En ajustant cette valeur, vous pouvez contrôler la fréquence des sauvegardes automatiques sur votre site WordPress.

Taille de mémoire autorisée :

Parfois, le message suivant peut apparaitre dans vos logs :

Fatal error: Allowed memory size of xxx bytes exhausted …

La taille maximale de la mémoire dépend de la configuration du serveur, vous pouvez augmenter la limite de mémoire juste pour WordPress en définissant la constante WP_MEMORY_LIMIT  dans le fichier wp-config. Par défaut, WordPress essaie d’allouer 40 Mo à PHP pour les sites uniques et 64 Mo pour les installations multisites.

Cela dit, vous pouvez définir une valeur personnalisée avec la ligne suivante :

define( 'WP_MEMORY_LIMIT', '256M' );

Si besoin, vous pouvez également définir une limite de mémoire maximale à l’aide de l’instruction suivante :

define( 'WP_MAX_MEMORY_LIMIT', '512M' );

Mises à jour automatiques :

Les mises à jour automatiques sont une fonctionnalité  introduite dans la version 3.7 de WordPress, qui offre un bon soutien pour les mises à jour de sécurité. Cette fonctionnalité permet aux administrateurs de sites Web de maintenir en permanence la sécurité de leur site.

Vous pouvez désactiver toutes les mises à jour automatiques en définissant la constante suivante :

define( 'AUTOMATIC_UPDATER_DISABLED', true );

Ce n’est pas recommandé de désactiver les mises à jour de sécurité, mais pour x raisons, vous avez peut-être besoin de contrôler ce paramètre.

Par défaut, les mises à jour automatiques ne fonctionnent pas avec les versions majeures, mais vous pouvez activer toute mise à jour du coeur en définissant WP_AUTO_UPDATE_CORE comme suit :

// Désactive toutes les mises à jour du Coeur :
define( 'WP_AUTO_UPDATE_CORE', false );

// Active les mises à jour du cœur, mineures et majeures :
define( 'WP_AUTO_UPDATE_CORE', true );

La valeur par défaut est minor :

define( 'WP_AUTO_UPDATE_CORE', 'minor' );

Paramètres de sécurité :

Nous pouvons utiliser le fichier wp-config pour augmenter la sécurité du site. En plus des modifications apportées à la structure des fichiers que nous avons examinées ci-dessus, nous pouvons verrouiller certaines fonctionnalités qui pourraient ouvrir des vulnérabilités inutiles.

La première mesure que nous pouvons prendre pour améliorer la sécurité de notre site est de désactiver l'éditeur de fichiers fourni dans le panneau d'administration. Cette fonctionnalité permet de modifier directement les fichiers du thème et des plugins à partir de l'interface d'administration de WordPress. Bien que cela puisse être pratique, il présente également un risque potentiel si un utilisateur malveillant obtient un accès non autorisé à votre panneau d'administration.

Pour désactiver l'éditeur de fichiers, nous devons ajouter une constante spécifique à notre fichier wp-config, la voici :

define('DISALLOW_FILE_EDIT', true);

La constate ci-dessous constante appelée ALLOW_UNFILTERED_UPLOADS avec la valeur true permet de spécifier si les téléchargements de fichiers non filtrés sont autorisés ou non. Par exemple, si vous souhaitez uploader une police de caractère dans les médias de WordPress, cette constante permets de contourner cette restriction.

define('ALLOW_UNFILTERED_UPLOADS', true);

Une caractéristique de sécurité est l’administration par SSL. Si vous avez  un certificat SSL et qu’il est correctement configuré, vous pouvez forcer WordPress à transférer des données via SSL à n’importe quelle session de connexion et d’administration. Utilisez la constante suivante :

define( 'FORCE_SSL_ADMIN', true );

Les deux autres constantes permettent de bloquer les requêtes externes et de lister les hôtes admis.

define( 'WP_HTTP_BLOCK_EXTERNAL', true );
define( 'WP_ACCESSIBLE_HOSTS', 'exemple.com,*.unautreexemple.com' );

Dans cet exemple, nous avons d’abord désactivé tous les accès des hôtes externes, puis listé les hôtes autorisés, séparés par des virgules (les caractères génériques sont autorisés).

Verrouillage du fichier wp-config.php :

Nous connaissons désormais l'importance du fichier wp-config.php dans WordPress. Alors, pourquoi ne pas le dissimuler aux pirates ? Si votre site Web fonctionne sur le serveur Web Apache, vous pouvez ajouter les directives suivantes au fichier .htaccess :

<Files wp-config.php>
Order deny,allow
Deny from all
</Files>

Si le site fonctionne sur Nginx comme c'est le cas chez WPServeur, vous pouvez ajouter la directive suivante au fichier de configuration :

location ~* wp-config.php { deny all; }

En résumé, le fichier wp-config.php est le cœur de votre installation WordPress, fournissant les paramètres essentiels pour assurer le bon fonctionnement de votre site. En comprenant son rôle et en l'utilisant de manière judicieuse, vous pourrez créer un site puissant, sécurisé et adapté à vos besoins uniques.