Glossaire

Définitions des termes techniques utilisés dans cette documentation et dans l’interface de Samaritain Security.

[rank_math_breadcrumb]

2FA (Authentification à deux facteurs)

Méthode de vérification de l’identité qui requiert deux éléments distincts : quelque chose que vous connaissez (votre mot de passe) et quelque chose que vous possédez (votre téléphone avec l’application d’authentification). Même si un attaquant connaît votre mot de passe, il ne peut pas se connecter sans le code temporaire affiché sur votre téléphone.

Voir aussi : TOTP

API REST

Interface technique de WordPress qui permet aux applications externes (sites web, applications mobiles, outils tiers) de communiquer avec votre site via des requêtes HTTP. L’API REST peut lire et modifier le contenu de votre site. Par défaut, certaines informations sont accessibles publiquement, ce qui peut représenter un risque de sécurité.

Brute force (Force brute)

Méthode d’attaque qui consiste à tester systématiquement toutes les combinaisons possibles de mots de passe jusqu’à trouver le bon. Les attaques modernes utilisent des dictionnaires de mots de passe courants et des listes de mots de passe volés lors de fuites de données. Un robot peut tester des milliers de combinaisons par minute si aucune protection n’est en place.

CIDR (Classless Inter-Domain Routing)

Notation qui permet de représenter une plage d’adresses IP en une seule ligne. Le format est adresse/masque, où le masque indique le nombre de bits fixes. Par exemple, 192.168.1.0/24 représente toutes les adresses de 192.168.1.0 à 192.168.1.255 (256 adresses). Plus le chiffre après le / est petit, plus la plage est large.

Clickjacking (Détournement de clic)

Attaque qui consiste à superposer une page web transparente au-dessus d’une page légitime. Le visiteur pense cliquer sur un bouton de la page visible, mais clique en réalité sur un élément caché de la page de l’attaquant. L’en-tête X-Frame-Options protège contre cette attaque en empêchant l’intégration de votre site en iframe.

Cookie

Petit fichier texte stocké par le navigateur du visiteur. WordPress utilise des cookies pour mémoriser l’identité de l’utilisateur connecté (cookies de session). Les attributs de sécurité des cookies (HttpOnly, Secure, SameSite) empêchent leur vol et leur utilisation frauduleuse.

HttpOnly : Le cookie n’est pas accessible par JavaScript (protection contre le vol par XSS)
Secure : Le cookie n’est transmis que sur des connexions HTTPS chiffrées
SameSite : Le cookie n’est pas envoyé lors de requêtes provenant d’autres sites (protection CSRF)

CSP (Content-Security-Policy)

En-tête HTTP qui indique au navigateur quelles sources de contenu sont autorisées sur votre site. La CSP peut restreindre l’exécution de scripts, le chargement d’images, l’utilisation de styles, etc. Elle protège principalement contre les attaques XSS en empêchant l’exécution de code malveillant injecté.

CSRF (Cross-Site Request Forgery)

Attaque qui exploite la session active d’un utilisateur pour effectuer des actions à son insu. Par exemple, un site malveillant pourrait contenir un formulaire caché qui envoie une requête à votre site WordPress pour changer le mot de passe de l’administrateur, en utilisant la session active du navigateur. L’attribut SameSite des cookies protège contre cette attaque.

DDoS (Distributed Denial of Service)

Attaque par déni de service distribué qui consiste à submerger un serveur avec un volume massif de requêtes provenant de nombreuses sources simultanées. L’objectif est de rendre le site inaccessible pour les visiteurs légitimes. Les pingbacks et XML-RPC de WordPress peuvent être exploités pour amplifier ce type d’attaque.

Énumération (des utilisateurs)

Technique de reconnaissance qui consiste à découvrir les identifiants des utilisateurs d’un site WordPress. Les attaquants utilisent des méthodes comme le paramètre ?author=1 dans l’URL ou l’API REST /wp/v2/users pour obtenir la liste des utilisateurs. Cette information facilite ensuite les attaques par force brute ciblées.

Firewall (Pare-feu)

Système qui filtre le trafic réseau selon des règles prédéfinies pour bloquer les requêtes malveillantes. Un pare-feu applicatif (WAF — Web Application Firewall) analyse spécifiquement les requêtes HTTP et bloque celles qui contiennent des signatures d’attaques connues (injections SQL, XSS, traversée de répertoire, etc.).

HSTS (HTTP Strict Transport Security)

En-tête de sécurité qui force le navigateur à toujours utiliser HTTPS pour accéder à votre site. Une fois reçue, la directive est mémorisée par le navigateur pendant une durée définie (généralement 1 an). L’option Preload permet d’inscrire votre domaine dans les listes intégrées aux navigateurs, forçant HTTPS dès la toute première visite.

Injection SQL

Attaque qui consiste à insérer du code SQL malveillant dans les paramètres d’une requête HTTP (formulaire, URL) pour manipuler la base de données. L’attaquant peut ainsi lire, modifier ou supprimer des données. Le pare-feu 8G de Samaritain Security détecte et bloque les signatures d’injection SQL les plus courantes.

MIME Sniffing

Comportement du navigateur qui consiste à « deviner » le type d’un fichier au lieu de se fier au type déclaré par le serveur. Un fichier malveillant renommé en .jpg pourrait être interprété comme un script JavaScript si le MIME sniffing est actif. L’en-tête X-Content-Type-Options: nosniff empêche ce comportement.

Nonce

Jeton de sécurité à usage unique utilisé par WordPress pour vérifier l’authenticité des requêtes. Les nonces protègent contre les attaques CSRF en s’assurant que l’action a bien été initiée par l’utilisateur et non par un site tiers. Samaritain Security utilise des nonces pour sécuriser ses propres formulaires et actions AJAX.

Pingback

Système de notification automatique de WordPress : lorsqu’un site A publie un lien vers un site B, le site B reçoit un pingback (notification) l’informant du lien. Ce mécanisme, rarement utilisé légitimement, est souvent exploité pour des attaques DDoS par amplification et du spam.

SSL / TLS / HTTPS

SSL (Secure Sockets Layer) et son successeur TLS (Transport Layer Security) sont des protocoles de chiffrement qui sécurisent les communications entre le navigateur et le serveur. HTTPS est la version sécurisée du protocole HTTP qui utilise SSL/TLS pour chiffrer toutes les données échangées (mots de passe, cookies, contenu des pages).

Un certificat SSL est un fichier numérique qui authentifie l’identité de votre site et permet le chiffrement. Let’s Encrypt fournit des certificats SSL gratuits, renouvelés automatiquement par la plupart des hébergeurs.

TOTP (Time-based One-Time Password)

Standard technique utilisé pour la 2FA qui génère des codes à 6 chiffres valables 30 secondes. Le code est calculé à partir d’un secret partagé entre le serveur et l’application d’authentification, combiné à l’heure actuelle. Les applications Google Authenticator, Microsoft Authenticator et Authy utilisent ce standard.

User Agent

Chaîne de texte envoyée par le navigateur ou l’outil à chaque requête HTTP pour s’identifier. Par exemple, Chrome envoie un User Agent contenant « Chrome/xxx » et le numéro de version. Les scanners de vulnérabilités et les bots malveillants ont souvent des User Agents caractéristiques que le pare-feu peut détecter et bloquer.

Webshell

Script malveillant (généralement en PHP) déposé sur un serveur par un attaquant pour obtenir un accès à distance. Le webshell permet d’exécuter des commandes, de modifier des fichiers et de prendre le contrôle du serveur. Le dossier wp-content/uploads/ est l’endroit le plus courant où les attaquants tentent de déposer des webshells, d’où l’importance de la protection de ce dossier.

Whitelist / Blocklist (Liste blanche / Liste de blocage)

Whitelist (Liste blanche) : Liste d’adresses IP autorisées qui ne seront jamais bloquées par les protections de sécurité
Blocklist (Liste de blocage) : Liste d’adresses IP bloquées en permanence qui ne peuvent accéder à aucune page du site

XML-RPC

Ancien protocole de communication de WordPress (antérieur à l’API REST) qui permet aux applications externes d’effectuer des opérations à distance (publier des articles, gérer les commentaires). Ce protocole est vulnérable aux attaques par force brute amplifiée (la méthode system.multicall permet de tester des centaines de mots de passe en une seule requête).

XSS (Cross-Site Scripting)

Attaque qui consiste à injecter du code JavaScript malveillant dans une page web. Ce code s’exécute dans le navigateur des visiteurs et peut voler leurs cookies de session, modifier le contenu affiché ou rediriger vers un site malveillant. Le pare-feu, la CSP et l’en-tête X-XSS-Protection protègent contre différentes variantes de XSS.