Mémoriser les identifiants FTP sous WordPress

Certains hébergements mettent en place des restrictions de sécurité vous demandant de ressaisir à chaque installation ou mise à jour de WordPress ou d’un plugin, vos identifiants FTP.

Rien de plus pénible que de retrouver des mots de passe qui sont bien souvent stockés en clair dans un mail. Cette astuce vous montrera comment faire en sorte que WordPress s’en souvienne d’une fois sur l’autre.

A l’aide d’un client FTP, ouvrez le fichier wp-config.php – celui-là que vous avez créé lors de l’installation de WordPress.

Ajoutez ensuite les lignes de code suivantes au-dessus de la ligne /* C’est tout, ne touchez pas à ce qui suit ! Bonne publication. */ (/* That's all, stop editing! Happy publishing. */ si votre fichier est en anglais) :

define('FTP_HOST', 'ftp.wpchannel.com');
define('FTP_USER', 'utilisateur');
define('FTP_PASS', 'motdepasse');
define('FTP_SSL', true); // Si vous utilisez une connexion chiffrée

Bien évidemment, il vous faut remplacer les 3 premières lignes de code par :

1. FTP_HOST : l’hôte FTP de votre site, suivi de deux-points et du numéro de port si votre serveur n’utilise pas le port 21 (par exemple ftp.example.com:2121) ;
2. FTP_USER : le nom d’utilisateur pour se connecter au serveur ;
3. FTP_PASS : le mot de passe pour se connecter au serveur ;

La dernière ligne active le FTPS, c’est-à-dire le FTP chiffré par SSL/TLS : sans elle, votre identifiant et votre mot de passe circulent en clair entre votre site et le serveur FTP. Si votre hébergeur n’accepte pas le FTPS, WordPress affiche « Le couple identifiant/mot de passe est incorrect pour… », même si vos identifiants sont bons. Plutôt que de passer la valeur à false, demandez-lui alors s’il propose une connexion chiffrée, ou tournez-vous vers les solutions décrites plus bas.

Notez que FTP_SSL n’est pris en compte qu’avec l’extension FTP de PHP (méthode ftpext) : avec la méthode de secours ftpsockets, WordPress l’ignore et se connecte en clair. Cette constante concerne par ailleurs le FTPS, et non le SFTP, qui passe par SSH.

Bon à savoir : WordPress retient déjà d’une fois sur l’autre le nom de l’hôte, l’identifiant et le type de connexion saisis dans le formulaire Informations de connexion. Seul le mot de passe n’est jamais enregistré, comme l’indique la mention « Le mot de passe ne sera pas stocké sur le serveur. » C’est donc surtout lui que la constante FTP_PASS vous évite de ressaisir.

Si la connexion réussit mais que la mise à jour échoue ensuite avec le message « Impossible de localiser le répertoire racine de WordPress. », ajoutez la constante FTP_BASE avec le chemin du dossier de WordPress tel que le voit votre compte FTP, par exemple define('FTP_BASE', '/www/');. Les constantes FTP_CONTENT_DIR et FTP_PLUGIN_DIR font de même pour les dossiers wp-content et plugins.

A présent, plus aucune excuse pour stocker vos identifiants sur des post-it ou autre note numérique.

Les précautions à prendre

Ce confort a un revers : votre mot de passe FTP est désormais écrit en clair dans le fichier wp-config.php. Toute personne ou tout programme capable de lire ce fichier, par exemple une extension vulnérable ou une copie de sauvegarde oubliée dans un dossier public, obtient du même coup un accès à tous vos fichiers.

Réservez donc sa lecture à votre compte et au serveur web, avec des droits 400 ou 440 selon votre configuration, comme le recommande la documentation officielle sur la sécurisation de WordPress, et gardez FTP_SSL activé. Si votre hébergeur le permet, je vous conseille aussi de créer pour WordPress un compte FTP limité au dossier du site, plutôt que d’utiliser celui de votre hébergement. Pour le reste, voyez mes astuces pour sécuriser un site WordPress contre les attaques.

Encore mieux : se passer du FTP

WordPress ne vous demande ces identifiants que lorsqu’il ne peut pas modifier ses fichiers lui-même. Avant chaque installation ou mise à jour, il crée un fichier de test dans le dossier wp-content : si ce fichier appartient au même compte que les fichiers de WordPress, il choisit la méthode direct, écrit sans passer par le FTP et ignore les constantes ci-dessus. Sinon, il se rabat sur le FTP.

C’est la situation idéale, que la documentation officielle sur les droits des fichiers décrit pour les hébergements mutualisés où PHP s’exécute avec le compte propriétaire des fichiers du site : aucun mot de passe à saisir ni à stocker. Si WordPress vous réclame vos identifiants FTP, demandez d’abord à votre hébergeur s’il peut exécuter PHP sous votre compte.

La constante FS_METHOD permet aussi de forcer cette méthode :

define('FS_METHOD', 'direct');

Ne l’ajoutez qu’en connaissance de cause, car elle ne donne aucun droit supplémentaire à PHP. Si le serveur web ne peut pas écrire dans vos dossiers, les mises à jour échouent ; et s’il le peut sans en être propriétaire, les fichiers qu’il crée lui appartiennent, ce que la même documentation déconseille sur un hébergement mutualisé. Ne rendez jamais vos dossiers modifiables par tous (droits 777) pour contourner le problème.

Enfin, si votre hébergeur propose un accès SSH (SFTP), WordPress peut l’utiliser grâce à la méthode ssh2, à condition que l’extension PHP ssh2 soit installée sur le serveur ; sans elle, le type de connexion SSH2 n’apparaît pas dans le formulaire. Vous pouvez alors vous authentifier par clés plutôt que par mot de passe :

define('FS_METHOD', 'ssh2');
define('FTP_HOST', 'ssh.example.com');
define('FTP_USER', 'utilisateur');
define('FTP_PUBKEY', '/home/utilisateur/.ssh/id_rsa.pub');
define('FTP_PRIKEY', '/home/utilisateur/.ssh/id_rsa');

FTP_PUBKEY et FTP_PRIKEY indiquent le chemin des clés publique et privée sur le serveur, à placer hors du dossier public du site. Le port 22 est utilisé par défaut, et FTP_PASS devient facultatif : il ne sert qu’à la phrase secrète de la clé privée, si elle en a une.

Autre réglage utile du même fichier : augmenter la limite mémoire PHP dans le wp-config.php.