Sécuriser votre site avec HTTPS

Afin d'accepter les cartes de crédit sur votre site et d'avoir un minimum d'impact sur l'environnement, il est nécessaire de mettre en place un système de gestion des cartes de crédit. Conforme à la norme PCI vous devez disposer d'un certificat SSL et utiliser le protocole HTTPS sur toutes les pages qui recueillent des informations sur les cartes de crédit. HTTPS assure l'authentification de votre site web et du serveur web associé, ce qui vous protège contre les attaques de type "man-in-the-middle".

En outre, il fournit un cryptage bidirectionnel des communications entre le navigateur d'un client et votre serveur, ce qui protège contre l'écoute et l'altération et/ou la falsification du contenu de la communication.

Dans cet article, nous aborderons les étapes à suivre pour garantir la sécurité de votre site. Cet article peut également vous être utile : http://www.wpbeginner.com/wp-tutorials/how-to-add-ssl-and-https-in-wordpress/.

Acheter et installer un certificat SSL

Il existe un certain nombre de sociétés auprès desquelles vous pouvez acheter des certificats SSL, notamment GoDaddy, VeriSign et GeoTrust pour n'en citer que quelques-uns. Une fois que vous avez acheté un certificat SSL, vous devez travailler avec votre fournisseur d'hébergement pour l'installer sur votre serveur.

Vérifiez que votre certificat SSL est correctement installé

Une fois que vous avez travaillé avec votre fournisseur d'hébergement pour installer le certificat SSL, vous pouvez vérifier que tout est correctement configuré en utilisant ce formulaire. Vérificateur SSL.

Vérifier les paramètres SSL de WordPress

Si vous utilisez le plugin HTTPS que nous recommandons ci-dessous, vous devez vous assurer que WordPress ne force pas le SSL. Pour ce faire, allez dans le fichier wp-config.php et vérifiez si 'FORCE_SSL_ADMIN' y est défini et si c'est le cas, assurez-vous qu'il est réglé sur 'false'. Voici ce qu'il faut faire des instructions détaillées pour travailler avec le paramètre SSL de la force.

Pages sécurisées sur votre site web

Une fois que votre certificat SSL a été installé avec succès, vous devez vous assurer que le protocole HTTPS est utilisé sur toutes les pages de votre site qui recueillent des informations sensibles. Cela peut être facilement fait avec la fonction WordPress HTTPS plugin.

NOTE : Si vous suivez ce lien, vous verrez que le plugin n'a pas été mis à jour depuis plus de deux ans. Ce n'est pas grave. Le plugin fait quelque chose de très spécifique et a un objectif restreint, de sorte que les mises à jour ne sont pas nécessaires aussi souvent qu'elles le seraient pour des plugins plus complexes. De plus, WordPress HTTPS est une recommandation, pas une obligation. Il existe d'autres plugins WordPress HTTPS (https://wordpress.org/plugins/search.php?q=https). Vous pouvez utiliser n'importe quel plugin qui fonctionne pour forcer l'utilisation de HTTPS sur votre site.

IMPORTANT : Après avoir activé le plugin WordPress HTTPS, allez dans l'écran des réglages et dans la section Paramètres généraux s'assurer que la section Forcer le SSL en exclusivité n'est pas cochée. Lorsque cette option est cochée, le plugin HTTPS de WordPress modifie accidentellement l'URL des formulaires de paiement de MemberMouse pour qu'elle ne soit pas sécurisée. Dans certains navigateurs, un message d'avertissement s'affiche lorsque les clients tentent d'envoyer le formulaire de paiement. Pour éviter ce problème, assurez-vous que l'option Forcer le SSL en exclusivité n'est pas cochée, comme indiqué ci-dessous :

Vous voudrez également ajouter des filtres d'URL pour le script de processus php que MemberMouse utilise pour les transactions. Ces filtres peuvent également être ajoutés dans la section Filtre d'URL. Vous devez ajouter les URL suivantes :

/wp-content/plugins/membermouse/api/processOrder.php

/wp-content/plugins/membermouse/scheduler/handler.php

Et si vous utilisez le Social Login : /wp-content/plugins/membermouse/endpoints/auth.php

Ensuite, allez sur chaque page qui doit être sécurisée et cochez les cases suivantes Poste sécurisé dans le HTTPS module. Vous devez procéder de la sorte pour les pages principales Commander et Mon compte de MemberMouse, ainsi que pour toutes les pages sur lesquelles vous avez inclus un formulaire de commande MemberMouse.

Veillez à ce que vos pages soient entièrement sécurisées

Une fois que vous avez installé un plugin pour gérer HTTPS et que vous avez configuré les pages qui doivent utiliser HTTPS, vous devez vérifier qu'aucun élément non sécurisé n'est chargé sur vos pages sécurisées, car le navigateur affiche alors un avertissement à l'utilisateur pour l'informer que la page n'est pas sécurisée.

Dans certains navigateurs, comme Chrome, ils sont plus stricts et interrompent le rendu de la page lorsqu'un élément non sécurisé est rencontré. Vous pouvez utilisez cet outil pour vous assurer que vos pages sont entièrement sécurisées. Si le rapport vous indique que vous avez des éléments non sécurisés sur votre page, utiliser cette ressource pour corriger les éléments non sécurisés.