Saviez-vous que WordPress dispose d’un éditeur de thèmes et d’extensions intégré ? Cet éditeur de code brut vous permet de modifier les fichiers de votre thème et de vos plugins directement à partir du tableau de bord WordPress.
Bien que cela puisse sembler très utile, nous avons vu comment le fait d’ouvrir la possibilité d’éditer directement des fichiers comme cela peut prospecter des problèmes tels que la rupture de votre site. Elle peut même introduire des problèmes de sécurité potentiels lorsqu’elle est combinée à d’autres vulnérabilités.
Dans cet article, nous vous montrerons comment désactiver les éditeurs de thèmes et de plugins depuis la zone d’administration de WordPress, et nous vous expliquerons pourquoi c’est une idée judicieuse.
Pourquoi désactiver les éditeurs/éditrices de thèmes et de plugins dans WordPress ?
WordPress est livré avec un éditeur de code intégré qui vous permet de modifier les fichiers des thèmes et des extensions WordPress directement à partir de la zone d’administration.
L’éditeur de thème se trouve sur la page Apparence » Editeur/éditrices de fichiers de thème. Par défaut, il affiche les fichiers de votre thème actif.
De même, l’éditeur d’extensions peut être consulté sur la page Plugins » Plugin File Editor. Par défaut, il affichera l’une des extensions installées sur votre site qui apparaît en premier dans l’ordre alphabétique.
Si vous visitez la page de l’éditeur de thèmes ou d’extensions pour la première fois, WordPress vous avertira que l’utilisation de l’éditeur peut endommager votre site.
Dans WordPress 4.9, les éditeurs/éditrices de thèmes et de plugins ont été mis à niveau pour protéger les utilisateurs/utilisatrices contre la casse accidentelle de leur site. Dans la plupart des cas, l’éditeur détectera une erreur fatale et reviendra sur les modifications.
Cependant, cela n’est pas garanti et certains codes peuvent encore se glisser et vous finiriez par perdre l’accès à la zone d’administration de WordPress.
Le plus gros problème de l’éditeur/éditrices de fichiers intégré est qu’il permet d’ajouter n’importe quel type de code à votre site.
Si un pirate s’introduit dans la zone d’administration de WordPress, il peut utiliser l’éditeur intégré pour accéder à toutes les données de WordPress.
Les pirates informatiques peuvent également l’utiliser pour distribuer des logiciels malveillants ou lancer des attaques DDOS à partir de votre site WordPress.
Pour améliorer la sécurité de WordPress, nous recommandons de retirer complètement les éditeurs/éditrices de fichiers intégrés.
Ceci étant dit, voyons comment désactiver facilement les éditeurs/éditrices de thèmes et de plugins sur WordPress.
Comment désactiver les éditeurs/éditrices de thèmes et de plugins dans WordPress
Désactiver les éditeurs/éditrices de thèmes et de plugins dans WordPress est assez facile. Mais il est nécessaire d’ajouter du code dans WordPress. Si vous n’avez jamais fait cela auparavant, consultez notre guide sur le collage d’extraits du web dans WordPress.
Vous devrez ajouter cette ligne de code au fichier functions.php de votre thème, à une extension spécifique à votre site ou à un plugin d’extraits de code.
define( 'DISALLOW_FILE_EDIT', true );
Nous vous recommandons d’utiliser l’extension WPCode parce qu’elle est gratuite, facile à utiliser et qu’elle n’endommagera pas votre site en cas de problème.
Note : Il existe également une version premium de WPCode qui comprend des fonctionnalités avancées telles que les révisions de code, les pixels de conversion automatique, les extraits planifiés, et bien plus encore.
Tout d’abord, vous devrez installer et activer l’extension gratuite WPCode. Pour des instructions détaillées, consultez notre guide sur l’installation d’une extension WordPress.
Une fois l’extension activée, rendez-vous dans la rubrique Code Snippets « Add Snippet depuis votre tableau de bord WordPress. Ensuite, survolez l’option » Ajouter votre code personnalisé (nouvel extrait) » et cliquez sur le bouton » Utiliser l’extrait « .
Ensuite, vous serez invité à choisir le type de code pour votre extrait. Sélectionnez l’option « Extrait PHP ».
Ensuite, vous pouvez ajouter un titre à votre extrait et coller le code ci-dessus dans le champ « Aperçu du code ».
Enfin, il suffit de faire basculer le commutateur de « Inactif » à « Actif » et de cliquer sur le bouton « Enregistrer l’extrait ».
C’est tout, les éditeurs/éditrices de thèmes et de plugins disparaissent désormais des menus thèmes et plugins de la zone d’administration de WordPress.
Vous pouvez également modifier votre fichier wp-config.php et coller le code ci-dessus juste avant la ligne qui dit ‘That’s all, stop editing ! Bonne publication’:
Ensuite, enregistrez vos modifications et téléversez le fichier sur votre site.
Si vous ne souhaitez pas modifier les fichiers directement, vous pouvez installer l’extension WordPress Sucuri qui offre la fonctionnalité de durcissement en un clic.
La bonne façon de modifier les fichiers du thème et des extensions de WordPress
De nombreux utilisateurs se servent en fait des éditeurs de thèmes et de plugins WordPress pour rechercher le code, ajouter des feuilles de style CSS personnalisées ou modifier le code de leurs thèmes enfants.
Si vous souhaitez uniquement ajouter des CSS personnalisés à votre thème, vous pouvez le faire en utilisant le personnalisateur de thème situé sous Apparence » Personnaliser « .
Pour plus de détails, consultez notre guide sur la façon d’ajouter des CSS personnalisés dans WordPress sans casser votre site.
Si vous souhaitez consulter le code d’une extension, vous pouvez le faire en utilisant un client FTP.
Pour une meilleure gestion des fichiers et une meilleure mise en évidence de la syntaxe, vous pouvez utiliser l’un de ces éditeurs/éditrices de code pour modifier les fichiers WordPress sur votre ordinateur.
Dernier point, mais non des moindres, vous pouvez également créer un thème WordPress personnalisé sans écrire le moindre code.
Nous espérons que cet article vous a aidé à apprendre comment désactiver facilement les éditeurs/éditrices de thèmes et de plugins depuis le panneau d’administration de WordPress. Vous pouvez également consulter notre guide ultime pour améliorer les performances et la vitesse de WordPress ou nos choix d’experts des meilleurs logiciels de conception de sites Web.
Si vous avez aimé cet article, veuillez alors vous abonner à notre chaîne YouTube pour obtenir des tutoriels vidéo sur WordPress. Vous pouvez également nous trouver sur Twitter et Facebook.
Jiří Vaněk
Thanks for the tutorial. I used the wp-config.php file and it works great. Especially for customer sites, this option seems very good to me, so that they don’t modify the codes of the site and also in terms of security.
In the end, I chose the wp-config file mainly so that this function could not be simply turned off from the administration, where it didn’t make any sense to me.
WPBeginner Support
Makes sense
Administrateur
Bob Putnak
This wont accomplish anything these days.
1) Using the CODE SNIPPETS solution, if the hacker has access to the admin panel, they will simply go to the CODE SNIPPETS panel and DISABLE the snippet.
2) Likewise, if you added it to the wp-config file, I cant see any reason why someone with access to the Admin panel could not simply INSTALL the CODE SNIPPETS plugin, activate it, then set a rule for:
define( ‘DISALLOW_FILE_EDIT’, true );
Seems to me that if the hacker has access to the admin panel, there is absolutely no solution to this problem.
If you disagree, please explain why. My login seems 100% sound.
WPBeginner Support
If someone has admin level access to your site then they could look to add a plugin to bypass the issue. There are other user roles that have access to these sections of your site but not the ability to add plugins and this can help protect you from a non-admin who has this level of access from getting into your files.
Administrateur
Robin Hood
Thanks for sharing this post. Helpful and Informative.
WPBeginner Support
You’re welcome, glad our content could be helpful
Administrateur
isabella
Hello there! I have the opposite problem I need to add a CSS code in the editor BUT the editor disappeared.
Do you have any suggestions?
thanks a lot
cheers
Mike Sawyer
Thank you for all the tips and helpful advice. This is the go to for me in case I get stuck. Thanks.
Raj
Unfortunately this isn’t working for me, I have updated the wp-config.php file but the editor option is still there in my wp dashboard, can you suggest me something?
Dave
Hi Raj,
I had the same issue, but was able to fix it. Not sure if this is your same issue, but I realized that when copy/pasting from an internet post, sometimes the single/double quotation marks (‘ ‘) or ( » « ) may be a curly quote vs. a straight quote. Try deleting the single quotes, and retyping them.
Hope this helps!
-Dave
William Marques
Is it possible disable save option for all? I want show control panel for my clients, but I do not want that they save the changes.
Bella
A trillion thank you’s!!
This tiny piece of code has rocked my world!
How have I not come across you in the past??
Keep smiling – Bella
Jimit Shah
hi
I want to disable paste command ( through mouse and ctr+v)in my php file in theme editor. So that i can write code not copy any code from outside.I want to give access manual code writing . please help me
Raja Dileep Kumar
define(‘DISALLOW_FILE_EDIT’, true); this function will work on themes/functions.php if i paste the code in wordpress
Pramod Kumar
It works, Thanks.
John McNamara
Hi there just wondering if anyone found a way to get around this without access as we have paid $1800 for some to set up a Website that is just a theme with out any changes made to it and wants to be paid more to unlock the editor for us
Please help!!
WPBeginner Support
If you have FTP access, or access to the hosting control panel, then you can easily edit the wp-config.php file and remove the code:
1-click Use in WordPress
Administrateur
Graham Peckham
Hi, well I was hacked yesterday by someone who installed MonsterInsights plugin to my web site, BUT, the line of code you suggest was already installed on wp-config.
So any suggestions for stopping these
Cheers
WPBeginner Support
Hi Graham,
If you suspect that your website may be hacked, then please see our guide on recovering a hacked WordPress site. You may also want to follow our complete WordPress security guide to protect your website in the future.
Prasath
define( ‘DISALLOW_FILE_EDIT’, true );
This one disable the editor for complete pages. I need to disable only for home page and for particular user(for Ex: Editor) . Coz I used page builder. My clients are not intrested to look over that..
Can any one help me ….
Mark Corder
I can also confirm that this works when the line is added to a Site-Specific Plugin – which you’ll also find the recipe for here on WPBeginner…
… so Thanks to you folks for all of it!
Melissa
Hey there! My cheeky developer has done this to me and I need access… is there a way to « undo » this clever trick without having FTP access?
I am also a developer and able to edit the files without any issues, but my contracted developer wants to charge me to access the code… so I am hoping I can jump in somehow!
Mel
Al Klein
Did you contract for ‘all deliverables’? If so, have him deliver the FTP password – it’s a deliverable. (It’s a contract, so it can be enforced by a court. You may not be able to sue for specific action, but you can sue for whatever it will cost to have another developer create a new site that’s exactly like the old one [which will probably bankrupt your existing developer – so it will make him prone to turn everything over to you].)
If you didn’t have ‘all deliverables’ included in the contract, or don’t have a signed contract, consider it a cheap legal lesson. (Law school costs a lot more.)
Bill
Great tip.
Is there a way to disable a specific editor (for example Elementor) for a specific post (page) type while still allowing access to the classic editor?
I hope this can be done in the child functions file.
Suresh Khanal
while reading this post I was wondering why would anyone need to hide the editor link in the WordPress Admin because it is only the administrators who gain access to those links and if they do not get permission to do the things the required, what’s the use? anywhere realize that is good with it helpful when you are setting up blogs for you clients. Thanks for the good tips.
Mark Corder
This is an excellent tip – and it worked fine for me adding the line to the functions.php file in my twentytwelve-child-theme’s folder. I still see options for customizing the theme (header, background, etc.) – but the « editor » links are now gone. (I had to press CTRL-R to force a page reload to make them disappear.)
I always try to remove everything from the backend that a client really shouldn’t be messing with, and those plugin & theme editors are just inviting disaster! It’s wonderful to be able to remove them with a single line of code…
I really appreciate these tips that edit child-theme functions and files to accomplish something rather than just recommending another plugin – though I realize this departs a bit from the « beginner » stuff.
And if you haven’t had this request a thousand times already, I’d love to see you folks open a « WPAdvanced » site for us hard-core folks!
Editorial Staff
Thanks for the feedback Mark. Yes, we have gotten the request for WPAdvanced in the past. For now our focus is to continue to improve WPBeginner (we’re still not there yet).
-Syed
Administrateur
Gray Ayer
A problem encountered with this technique is that it also prevents anyone from upgrading the outdated plugins. Any ideas on that, besides disabling the addition to the wp-config file, upgrading, then restoring the hardened security?
Editorial Staff
That’s interesting. We have this code running on our site, and we can do 1-click upgrades.
Administrateur
joanpique
Hi, thanks for the tip, yes, it works on functions.php file.
But this code turn me off my theme options page :(…, is there any other code that only hide editors or something to put in the options page for avoid hidding?
Renan Santos
All you have to do is open your wp-config.php file and paste the code!
Devin Walker
99% of my clients are non-technical