🔒 Comment désactiver l'affichage du code source dans WordPress : plugins et configuration

Vous publiez un article et, une semaine plus tard, son texte se retrouve déjà sur le site de quelqu’un d’autre. Ils changent les liens vers les leurs, mettent en place des redirections et captent votre trafic. Le bouton «Afficher le code source» du navigateur fait du vol de contenu une affaire de quelques clics: Ctrl+U, et tout le HTML avec le texte est exposé.

Mais le problème va au-delà de la simple copie. Via l’affichage du code source, un attaquant voit la version de WordPress, les noms des extensions installées et leurs répertoires, ce qui constitue déjà un vecteur d’attaque prêt à l’emploi. Un scanner de vulnérabilités trouve un exploit en quelques minutes s’il sait quoi chercher et où.

WordPress lui-même ne fournit pas de bouton intégré pour «désactiver l’affichage du code». Vous avez besoin d’une extension, et il n’y en a pas beaucoup si l’on compte celles qui fonctionnent vraiment. Nous examinons ci-dessous deux outils qui bloquent l’affichage du code source, ainsi qu’une méthode bonus pour masquer les traces de WordPress.

💡 Aperçu rapide:

• Vous découvrirez quelles informations l’affichage du code source révèle et pourquoi c’est dangereux
• Nous verrons comment installer WPShield Content Protector avec ses 16 modules de protection
• Nous configurerons WP Content Copy Protection pour désactiver le code source
• Nous masquerons l’utilisation de WordPress aux robots et aux scanners de vulnérabilités

Ce que l’affichage du code source révèle et pourquoi c’est dangereux

Le code source d’une page n’est pas qu’une simple structure HTML. Il montre:

• La version exacte de WordPress. Les scanners pirates collectent automatiquement la version du CMS et sélectionnent les exploits correspondant aux vulnérabilités connues.
• Les noms et chemins des extensions. Chaque wp-content/plugins/<slug> dans le code indique quelles extensions sont installées sur le site, et chacune d’elles peut avoir son propre CVE.
• La structure du thème. Les noms des fichiers de template, les types de publication personnalisés, les champs meta, tout cela facilite la rétro-ingénierie.
• Les commentaires de développement. <!-- TODO: fix auth --> ou des clés API laissées en commentaire dans le HTML se rencontrent encore, et l’affichage du code source les rend publics.

Bloquer le code source n’est pas de la paranoïa, mais une couche standard de défense en profondeur, qui complète les mesures de base: mots de passe robustes, authentification à deux facteurs, mises à jour régulières et un pare-feu au niveau du serveur web.

1. WPShield Content Protector, une suite de protection premium

WPShield Content Protector (anciennement Content Protector Pack de BetterStudio) est passé d’une extension de protection du code à un kit complet de 16 modules. Chaque module est un interrupteur distinct pour un vecteur d’attaque spécifique:

• View Source Protector, désactive l’ouverture du code source via Ctrl+U, clic droit et F12.
• Developer Tools Protector, bloque les DevTools non seulement par F12, mais aussi par Ctrl+Shift+I, Ctrl+Shift+J et Ctrl+Shift+C.
• Right Click Menu Disabler, désactive entièrement le menu contextuel, y compris «Enregistrer l’image» et «Imprimer».
• Right Click Menu Limiter (pro), le menu s’affiche, mais les options «Copier» et «Examiner le code» sont indisponibles.
• Feeds Protector, supprime les flux RSS/Atom que les sites de republication automatique utilisent pour aspirer le contenu.
• Hotlinking Protector, interdit l’intégration directe de vos images sur d’autres sites.

L’extension est payante. Le prix dépend du nombre de sites, la licence inclut les mises à jour et le support. Lors de l’achat, vous accédez immédiatement aux 16 modules, sans frais cachés pour des fonctionnalités individuelles.

Installation et activation de la protection

• Téléchargez l’archive zip de l’extension depuis votre compte personnel sur wpshield.com.
• Dans l’administration WordPress: Extensions → Ajouter → Téléverser une extension.
• Sélectionnez l’archive et cliquez sur «Installer», puis sur «Activer».

• Après l’activation, une section WPShield apparaît dans le menu de gauche. Allez dans Content Protector.

• Trouvez le module View Source Protector et basculez l’interrupteur sur Enabled.
• Enregistrez les modifications.

À partir de ce moment, Ctrl+U, le clic droit et «Afficher le code source» ne fonctionnent plus pour les utilisateurs non connectés. Les moteurs de recherche voient le contenu dans son intégralité, l’extension ne touche pas au rendu côté serveur, seulement au côté client.

2. WP Content Copy Protection, une méthode gratuite pour bloquer le code

WP Content Copy Protection de Tyche Softwares fonctionne sur le principe «activez et oubliez»: pas de page de réglages, après l’activation, la protection est immédiatement en place.

Ce qui est bloqué dans la version gratuite: l’affichage du code source via Ctrl+U, le clic droit et la touche F, la sélection de texte à la souris et le glisser-déposer, l’enregistrement des images via le menu contextuel, les combinaisons Ctrl+A, Ctrl+C, Ctrl+X, Ctrl+S, Ctrl+P, l’accès direct au répertoire /wp-content/uploads/.

Aucune fenêtre pop-up, la protection agit silencieusement sans dégrader l’expérience utilisateur. L’extension est compatible avec WooCommerce et la plupart des thèmes.

Nuance importante: la dernière mise à jour date de juin 2023, et la fiche sur WordPress.org affiche un avertissement «non testée avec les trois dernières versions majeures de WP». Sur les versions récentes de WordPress l’extension fonctionne, mais aucune nouvelle fonctionnalité n’est ajoutée, le développeur se concentre sur ses produits commerciaux. Si vous avez besoin d’une compatibilité future garantie, tournez-vous vers WPShield.

La version premium ajoute la protection de la touche Impr écran, des masques CSS avancés pour les images, la désactivation des flux RSS et la possibilité de désactiver sélectivement la protection pour les utilisateurs connectés.

Bonus: comment masquer le fait que le site tourne sous WordPress

Désactiver l’affichage du code source, c’est bien. Mais il y a un autre niveau: faire en sorte qu’un scanner ne comprenne même pas qu’il a affaire à un site WordPress.

• Supprimer la balise meta generator. Dans functions.php, ajoutez: remove_action('wp_head', 'wp_generator');. La balise <meta name="generator" content="WordPress X.X"> disparaîtra du head.
• Masquer la version de WP. En plus de la balise meta, la version est visible dans les paramètres de requête des scripts et des styles (?ver=X.X). Extrait de code pour la suppression: add_filter('style_loader_src', 'remove_version_query', 999); add_filter('script_loader_src', 'remove_version_query', 999); function remove_version_query($src) { return remove_query_arg('ver', $src); }.
• Renommer les répertoires. Les chemins standard wp-content, wp-includes et wp-admin trahissent le site auprès des scanners passifs. Des extensions comme Hide My WP Ghost les remplacent par des chemins personnalisés.
• Modifier la structure des permaliens. La structure par défaut ?p=123 est un autre marqueur WordPress. Des URL propres comme /post-name/ résolvent ce problème.

Aucune de ces méthodes n’offre un anonymat absolu, un spécialiste expérimenté identifiera le CMS par des signes indirects. Mais cela écarte les robots et les scanners automatiques, et ce sont eux qui génèrent le principal flux d’attaques sur les sites WordPress.

Vidéo: configuration complète de la protection de contenu

Cette vidéo montre le processus d’installation et de configuration des extensions de protection de contenu, depuis la désactivation du clic droit jusqu’au masquage du code source. Toutes les étapes sont montrées à l’écran, sur un vrai site WordPress.

⁉️🤔 Foire aux questions

Est-ce que désactiver l’affichage du code source protège contre le piratage?

Non, en soi, cela ne protège pas. C’est une couche de sécurité par l’obscurité: un attaquant ne voit pas la version de WP ni la liste des extensions, il ne peut donc pas sélectionner automatiquement un exploit. Mais si le site a une extension vulnérable avec une faille, il la trouvera par d’autres méthodes. La protection de l’affichage du code source ne fonctionne qu’en conjonction avec des mises à jour régulières, un pare-feu et un ensemble minimal d’extensions.

Est-ce que le blocage du clic droit affecte le SEO?

Non. Les robots d’indexation obtiennent le HTML directement du serveur, et la protection JavaScript ne fonctionne que dans le navigateur de l’utilisateur. Google, Yandex et Bing voient le contenu dans son intégralité. En pratique, le classement des sites avec une protection activée ne diffère pas de la normale.

Peut-on contourner la protection de l’affichage du code source?

Oui. Le moyen le plus simple est de désactiver JavaScript dans le navigateur ou d’utiliser les outils de développement ouverts avant le chargement de la page. La protection n’est pas conçue pour un contournement délibéré par un spécialiste, sa mission est de bloquer la copie de masse et les scanners automatiques de vulnérabilités.

Que choisir: WPShield ou WP Content Copy Protection?

Si vous avez besoin d’un simple interrupteur «activer et oublier» sans frais, WP Content Copy Protection. Si vous avez besoin d’un bouclier complet avec protection contre Impr écran, les DevTools, les flux RSS et la possibilité de configurer finement par rôle utilisateur, WPShield Content Protector.

Est-ce qu’une extension de protection de contenu ralentit le site?

Les deux extensions ont un impact minimal sur la vitesse. WP Content Copy Protection ajoute un fichier JS (environ 5 Ko compressé). WPShield ne charge les scripts que pour les modules actifs, si vous avez activé uniquement View Source Protector, les 15 autres modules ne chargent pas une seule ligne de code.

Faut-il désactiver la mise en cache lors de l’utilisation d’extensions de protection?

Non. Les extensions de protection de contenu injectent du code JavaScript qui s’exécute dans le navigateur du visiteur, indépendamment du cache serveur. Mettez les pages en cache comme d’habitude, cela n’affecte pas le fonctionnement de la protection. Après avoir installé ou mis à jour l’extension, videz le cache pour que les nouveaux scripts soient garantis d’atteindre toutes les pages.

Est-ce que cela vaut la peine de bloquer le code source et quoi installer

Désactiver l’affichage du code source n’est pas une solution miracle, mais l’une des briques du mur de sécurité du site. En soi, cela n’arrêtera pas une attaque ciblée, mais cela écarte la part du lion des scanners automatiques et rend l’aspiration de masse du contenu inutile.

Si le budget ne permet pas de solutions payantes, commencez par WP Content Copy Protection. Gratuite, activation instantanée, réglages minimaux. Gardez simplement à l’esprit que l’extension n’a pas été mise à jour depuis mi-2023.

Si la protection du contenu est critique pour vous (monétisation par des articles uniques, cours payants, contenus privés), procurez-vous WPShield Content Protector. Les 16 modules offrent une couverture impossible à obtenir avec un ensemble d’extensions gratuites séparées, et chaque module est mis à jour pour les versions actuelles de WordPress et des navigateurs.

Et n’oubliez pas le masquage de base de WP dans functions.php: cinq lignes de code de la section bonus coûtent zéro euro et écartent la plupart des scanners automatiques avant même qu’ils n’essaient d’afficher le code source.