Ce que fait cet outil
Ce vérificateur teste deux surfaces d'exposition WordPress bien connues mais distinctes : xmlrpc.php, un point d'accès historique parfois détourné pour des attaques, et wp-config.php (ainsi que ses variantes de sauvegarde courantes), le fichier qui contient normalement les identifiants de connexion à la base de données.
xmlrpc.php : utile pour certains, risqué pour d'autres
xmlrpc.php permet à des applications externes (apps mobiles WordPress, certains plugins) d'interagir avec un site sans passer par l'interface web classique. Le problème : la méthode system.multicall de ce point d'accès permet de tester des centaines de mots de passe en une seule requête HTTP, contournant les limitations de tentatives que beaucoup de sites appliquent normalement à la page de connexion classique. Sa méthode pingback peut aussi être détournée pour envoyer des requêtes vers des cibles tierces, faisant de votre site un complice involontaire d'une attaque par amplification.
wp-config.php : pourquoi il ne fuit presque jamais tel quel
wp-config.php contient les identifiants de connexion à la base de données en texte brut — la cible ultime pour un attaquant. Sur un serveur correctement configuré, ce fichier est exécuté par PHP avant d'être envoyé au navigateur, donc une requête directe renvoie simplement une page vide : le code source ne quitte jamais le serveur. C'est pourquoi ce vérificateur ne se contente pas de tester si le fichier « répond » (il répond presque toujours, avec un contenu vide) — il vérifie spécifiquement si la réponse contient du code PHP brut, signe que le serveur sert le fichier comme du texte plutôt que de l'exécuter.
Les fichiers de sauvegarde : le vrai risque
Le risque réel vient rarement du fichier original, mais de ses copies oubliées : un éditeur de texte qui laisse un fichier wp-config.php~, un renommage temporaire en wp-config.php.old pendant une maintenance jamais nettoyé, ou une archive de migration wp-config.php.bak laissée à la racine du site. Ces extensions ne sont jamais reconnues comme du PHP exécutable par le serveur — si elles existent, leur contenu est servi tel quel, identifiants inclus, à quiconque devine ou trouve l'URL.
Une politique stricte sur le contenu détecté
Même quand ce vérificateur détecte une exposition réelle, il n'affiche, ne stocke, ni ne journalise jamais le contenu du fichier concerné — uniquement un statut « exposé » ou « non exposé » par chemin testé. C'est un choix de conception délibéré : un outil de diagnostic public ne devrait jamais devenir lui-même un moyen d'extraire des identifiants, même dans l'intention d'aider le propriétaire du site à comprendre le problème. Si ce vérificateur signale une exposition, la seule action pertinente est de supprimer ou bloquer immédiatement l'accès au fichier concerné.