Vérifier les fichiers du core contre wordpress.org

Savoir si un fichier du cœur de WordPress a été modifié se constate objectivement : wordpress.org publie pour chaque version une liste de sommes de contrôle. C'est précisément cette liste que charge la zone Intégrité des fichiers, et elle la compare via la somme MD5 avec les fichiers présents sur ton serveur. Les écarts sont indiqués séparément selon leur type.

D'où viennent les valeurs de comparaison

L'interface des sommes de contrôle d'api.wordpress.org est interrogée, et ce avec la version et la langue exactes de cette installation — il n'existe pas de réserve locale. Si aucune liste n'est disponible pour la langue, le plugin répète la requête avec en_US. Si aucune réponse valide ne revient, l'exécution s'interrompt avec un message au lieu d'afficher un résultat.

https://api.wordpress.org/core/checksums/1.0/

Lancer la vérification

1. Dans « Kakapo Security », clique à gauche dans le groupe « Scanner » sur « Intégrité des fichiers » (en allemand : „Datei-Integrität“).
2. Dans la carte « Contrôle du cœur », clique sur « Contrôler le cœur maintenant ».
3. Attends le message ; il indique le nombre de fichiers contrôlés ainsi que les correspondances modifiées, manquantes et inconnues. La page se recharge ensuite.
4. Lis la ligne « Dernier contrôle » — elle indique le moment en UTC ainsi que la version et la langue.
5. Sous les quatre indicateurs figurent les listes des fichiers concernés ; elles n'apparaissent que s'il y a des correspondances.

Les trois types de constats

• Modifié : le fichier est présent, mais sa somme MD5 diffère de celle de la liste.
• Manquant : un fichier de la liste des sommes de contrôle n'est pas présent sur le serveur.
• Inconnu : un fichier PHP dans wp-admin ou wp-includes qui n'apparaît pas du tout dans la liste.
• Les fichiers situés sous wp-content restent en dehors — ils ne font pas partie des sommes de contrôle du cœur et changent régulièrement.
• Chacune des trois listes affiche au plus 200 entrées.