Qu'est-ce que disallow_file_edit ? Désactiver l'édition des fichiers du backend de WordPress avec une ligne de code

Votre site WordPress est-il sécurisé ? C'est peut-être tout simplement parce qu'il n'a pas encore été pris pour cible, et le vrai danger est que le système de sécurité de l'Internet est en train de se mettre en place.Editeur de fichiers Thème/Plugin. Tant que vous obtenez le compte administrateur (les fuites de mot de passe, les mots de passe faibles, les chevaux de Troie, les vulnérabilités des plugins pour retirer du pouvoir sont tous possibles), vous pouvez modifier les fichiers PHP directement en arrière-plan, et écrire une porte dérobée dans votre site en quelques secondes.disallow_file_edit Il est utilisé pour résoudre ce risque : par une ligne de code, fermer directement l'entrée "édition de fichier" du backend de WordPress, de sorte que le backend n'offre plus la possibilité de modifier le code en ligne, à partir de la source, afin de réduire les chances d'insertion d'une porte dérobée.

1. Qu'est-ce que disallow_file_edit ? Qu'est-ce qu'il désactive exactement ?

Dans le backend de WordPress, il y a généralement deux points d'entrée :

• Apparence → Editeur de fichier de thème (Editeur de fichier de thème)
• Plugins → Éditeur de fichiers de plugins (Éditeur de fichiers de plugins)

Ces éditeurs vous permettent de modifier les fichiers de thèmes/plugins directement sur le serveur, par exemple :

• functions.php
• header.php
• footer.php
• Le fichier principal d'un plugin (contenant la logique PHP)

Ce type de portail est "pratique" pour les novices, mais c'est un "train de passage" pour les attaquants.disallow_file_edit La chose à faire est simple :Fermer uniquement ces deux portails d'éditeursLa fonction "Editer le fichier en ligne" n'est pas visible ou utilisable en arrière-plan.

L'essentiel :

• La possibilité de "modifier des fichiers en arrière-plan" est désactivée.
• ✅ N'affecte pas le fonctionnement normal du site
• ✅ N'affecte pas votre capacité à modifier des fichiers à l'aide de FTP/Gestionnaire de fichiers du serveur/SSH.
• ❌ Ce n'est pas un pare-feu, il ne corrige pas automatiquement les vulnérabilités.
• ❌ Il ne s'agit pas d'une solution de sécurité universelle, mais d'un "renforcement de base indispensable".

2) Pourquoi désactiver l'édition de documents en arrière-plan ? Quels sont les risques réels ?

De nombreux webmasters pensent à tort : "Je n'utilise pas cette fonction, je peux donc la conserver". La réalité est toute autre :Vous ne l'utilisez pas, mais l'attaquant le fait..

Un lien d'attaque courant se présente comme suit :

1. Un plugin ou un thème vulnérable est installé sur le site (ou le compte a été supprimé).
2. L'attaquant a obtenu des privilèges d'administrateur (ou a pu effectuer des opérations en arrière-plan).
3. Allez dans l'éditeur de fichiers du backend
4. existent functions.phpLe fichier plug-in insère un code de porte dérobée (webshell) dans le fichier
5. Une fois que la porte dérobée existe, même si vous changez le mot de passe et supprimez le plugin vulnérable, le site peut toujours être contrôlé de manière répétée

L'intérêt de désactiver l'éditeur en arrière-plan est donc le suivant :

• Réduire les possibilités pour les attaquants d'ouvrir une porte dérobée
• Réduire le risque de mauvaise utilisation(écran blanc causé par moi-même ou des collègues qui manipulent des fichiers en arrière-plan)
• Rendre les sites web plus conformes au principe du "moindre privilège(Désactivez ce que vous ne devriez pas faire en arrière-plan).

3. comment écrire une ligne de code ? Quel est le meilleur endroit pour l'écrire ?

3.1 Pratique recommandée : écrire dans wp-config.php

Tout ce que vous avez à faire, c'est d'ajouter le wp-config.php Ajouter cette ligne à la liste :

define('DISALLOW_FILE_EDIT', true) ;

Suggestion de placement :
assembler /* C'est tout, arrêtez l'édition ! Bonne publication */ Au-dessus de cette ligne (c'est-à-dire à la fin du fichier mais avant le commentaire), exemple :

define('DISALLOW_FILE_EDIT', true);/* C'est tout, arrêtez d'éditer ! Bonne publication. */

De cette façon, WordPress lit la configuration lorsqu'il est chargé.

3.2 Pourquoi wp-config.php est-il recommandé au lieu de functions.php ?

• wp-config.php Il s'agit d'une configuration globale avec une priorité plus stable.
• Pas de dépendance au thème (vous ne le perdrez pas si vous changez de thème)
• La configuration ne sera pas invalidée en raison d'erreurs de thème

Si vous l'écrivez en functions.phpCe paramètre peut être perdu si le thème est changé ou si le fichier du thème est corrompu.

4. que se passe-t-il lorsqu'il est activé ? Comment puis-je confirmer qu'il est en vigueur ?

Le changement le plus intuitif se produit lorsque vous l'allumez :

• l'espace situé derrière une scène de théâtre état extérieur "L'éditeur de fichiers de thèmes n'apparaît plus dans la page d'accueil de l'application.
• l'espace situé derrière une scène de théâtre plug-in (composant logiciel) La page "Plugin File Editor" n'apparaît plus.

Différentes versions/différentes langues peuvent être affichées comme :

• Éditeur de fichiers de thèmes / Éditeur de thèmes
• Éditeur de fichiers de plugins / Éditeur de plugins

4.1 Méthode de confirmation rapide (la plus simple)

1. Accès au back-office
2. Regardez les menus Apparence et Plug-ins.
3. Si vous ne trouvez pas l'éditeur de fichiers, c'est qu'il ne fonctionne pas.

4.2 Si vous voyez toujours l'entrée de l'éditeur, la raison habituelle est la suivante :

• Le code n'a pas été ajouté avec succès (mauvais emplacement, fichier non sauvegardé)
• Le site a un cache/OPcache (rare, mais potentiellement retardé)
• Vous modifiez quelque chose d'autre que l'utilisation actuelle du site de wp-config.php(commun à plusieurs sites/multi-environnements)

5) FAQ : Le fait de l'activer affectera-t-il ma capacité à mettre à jour les thèmes/plugins ?

Non.disallow_file_edit Seulement "editor", pas "update"..
Vous pouvez encore le faire :

• Mise à jour normale des plug-ins
• Fil de discussion normal
• Télécharger les plugins/thèmes normalement
• Modifier le contenu de la page normalement avec Elementor, Gutenberg

Vous ne pouvez pas faire cela :

• Ouvrir un fichier PHP directement dans le backend et le modifier

C'est exactement ce que nous voulons :Retirer le "changement de code" de l'arrière-plan et le remplacer par quelque chose de plus contrôlable.

6) Que se passe-t-il si je dois vraiment modifier le code ? Quelles sont les alternatives ?

Après avoir fermé l'éditeur backend, le chemin recommandé pour modifier le code est le suivant :

6.1 Utilisation des sous-thèmes

Vous souhaitez modifier les fonctionnalités ou le style du thème, utilisez de préférence le thème enfant :

• Ne sera pas écrasé par les mises à jour du thème
• Les changements sont plus faciles à gérer

6.2 Utiliser des extraits de code ou créer son propre plugin

Si vous ne faites qu'ajouter du code et que vous ne voulez pas déplacer les fichiers du thème :

• dépense ou frais Extraits de code Plug-ins (attention à choisir une version fiable)
• Ou écrire un petit plugin fonctionnel et y mettre le code

6.3 Utilisation du gestionnaire de fichiers FTP/serveur

Lorsqu'un document doit être modifié :

• Utilisation de FTP (FileZilla)
• ou le gestionnaire de fichiers du panneau d'accueil (cPanel/1Panel, etc.)
• ou SSH (plus spécialisé)

L'avantage de procéder ainsi est le suivant : vous pouvez laisser une trace, vous pouvez revenir en arrière, vous pouvez faire des sauvegardes, vous ne serez pas en train d'effectuer en arrière-plan "une modification à la volée pour faire exploser le site".

7) Quelle est la différence entre disallow_file_edit et DISALLOW_FILE_MODS ?

Beaucoup de gens confondent ces deux constantes :

7.1 disallow_file_edit

• Désactiver la modification des fichiers de thème/plugin uniquement en arrière-plan
• N'affecte pas les mises à jour et les installations

7.2 disallow_file_mods

• ✅ Interdire l'installation/mise à jour/suppression de plugins et de thèmes
• ✅ Convient aux environnements "fortement contrôlés" (par exemple, sites de clients, sites d'entreprises)

Simple à comprendre :

• Vous voulez justeHors éditeurUtilisation de la disallow_file_edit
• Vous souhaitez verrouiller l'arrière-plan "load plugin, update plugin" : utilisez l'option DISALLOW_FILE_MODS

Sites les plus courants : commencer par disallow_file_edit Il suffit de le faire.

8. soutenir les recommandations

Si vous vous occupez de la sécurité d'un site web et que vous ne voulez faire que 3 actions en premier, je le mettrais dans la catégorie supérieure :

1. ✅ Ouvert disallow_file_edit
2. Mot de passe fort + Réduction du compte administrateur + Ouvrir le 2FA (si possible)
3. ✅ Mise à jour régulière des thèmes de plugins + suppression des thèmes de plugins inutilisés

La raison est très simple :Désactiver l'éditeur backend = supprimer directement un portail à haut risqueLe coût est minime et les avantages sont importants.

remarques finales

disallow_file_edit C'est l'un des réglages les plus "simples mais efficaces" en matière de sécurité WordPress : une seule ligne de code peut désactiver le portail d'édition de fichiers du backend, donc même si un attaquant accède au backend, c'est toujours l'un des moyens les plus rapides d'insérer une porte dérobée. Cela n'affectera pas votre capacité à mettre à jour et à publier du contenu, ni WooCommerce ou Elementor.

Contactez nous
Vous n'arrivez pas à lire le tutoriel ? Contactez-nous pour une réponse gratuite ! Aide gratuite pour les sites personnels et les sites de petites entreprises !	Service clientèle WeChat
① Tel : 020-2206-9892
② QQ咨询：1025174874
(iii) Courriel : info@361sale.com
④ Horaires de travail : du lundi au vendredi, de 9h30 à 18h30, jours fériés.