Sources:

• https://korben.info/securiser-wordpress-installation.html
• https://www.b-website.com/installer-wordpress-dans-un-sous-repertoire
• http://www.geekpress.fr

1. Créer une base de données avec un nom aléatoire
2. Créer un utilisateur pour cette BDD avec un nom aléatoire et un mot de passe robuste
3. Créer un répertoire sur l'hébergement avec un nom aléatoire (alphanumérique), nous y mettrons le contenu de wordpress

1. Préfixer les tables avec un aléatoire (alphanumérique) au lieu de wp_
2. Identifiant admin du site, un aléatoire et un mot de passe robuste
3. Adresse de messagerie: un aléatoire, un compte mail dédié au pire

1. Changer url d'accès dans URL/ALEATOIRE/Réglages/Général/Réglages/Général/Adresse web du site (URL) et mettre l'url du domaine.
2. Rafraichir les permaliens dans URL/ALEATOIRE/Réglages/Général/Réglages/Permaliens en changeant le type d'url rewriting et enregistrer, puis faire la manipulation inverse.
3. Déplacer le fichier index.php à la racine du FTP et modifier la dernière ligne:

require('./ALEATOIRE/wp-blog-header.php');

1. Décocher URL/Réglages/Général/Tout le monde peut s'enregistrer
2. Changer pseudonyme URL/Utilisateurs/Pseudonyme (nécessaire)
3. Le sélectionner dans URL/Utilisateurs/Nom à afficher publiquement

<?php the_author(); ?>

Ajouter dans wp-config.php

define( 'WP_AUTO_UPDATE_CORE', 'minor' );

Pour le désactiver, ajouter dans wp-config.php

define('DISALLOW_FILE_EDIT',true);

Ce fichier contient, entre autres, les clés de sécurité, qui dont celles de l'installation par défaut.

/**#@+
 * Authentication Unique Keys and Salts.
 *
 * Change these to different unique phrases!
 * You can generate these using the {@link https://api.wordpress.org/secret-key/1.1/salt/ WordPress.org secret-key service}
 * You can change these at any point in time to invalidate all existing cookies. This will force all users to have to log in again.
 *
 * @since 2.6.0
 */

<Files .htaccess>
   order allow,deny  
   deny from all  
</Files>

<Files wp-config.php>
   order allow,deny
   deny from all
</Files>

chmod 644 wp-config.php
chmod 644 .htaccess

Pour changer le message d'erreur de la page login, ajouter dans le fichier functions.php du thème la ligne suivante:

add_filter('login_errors', create_function('$no_login_error', "return 'Mauvais identifiants';"));

remove_action('wp_head', 'wp_generator');

Passer par le store officiel…

Prendre des thèmes ayant une bonne réputation, chez leurs auteurs, au mieux sur la forge de WordPress. Pour vérifier qu'un thème ne contienne pas de code malicieux ou des liens publicitaires qui seraient encodés en base64 (de la lecture) nous chercherons l'instruction base64_decode.
Sous GNU/Linux et/ou Mobaxterm Windows:

cd DOSSIER_THEME
grep -inHR base64_decode * | cut -d':' -f1,2

cd DOSSIER_THEME
findstr /s /i base64_decode  *.*

1. plus long que en local
2. le serveur va vous faire la gueule