Pourquoi la sécurité WordPress demande une méthode globale
Un site WordPress peut être compromis par plusieurs chemins : mot de passe réutilisé, extension vulnérable, thème abandonné, compte administrateur mal protégé, serveur mal configuré ou sauvegarde inaccessible. La sécurité ne repose donc pas sur une option unique. Elle dépend d’un ensemble de mesures qui réduisent les risques, limitent les conséquences d’une intrusion et permettent de restaurer le site dans de bonnes conditions.
Il faut distinguer trois objectifs. La prévention cherche à empêcher ou à ralentir l’attaque. La détection vise à repérer rapidement un comportement anormal. La reprise consiste à remettre le site en service à partir d’une version saine, tout en corrigeant la cause de l’incident. Cette distinction aide à éviter une erreur fréquente : installer une extension de sécurité, puis considérer le site comme protégé alors que les comptes, les sauvegardes et les mises à jour restent négligés.
Commencer par un état des lieux du site
Avant de modifier la configuration, établissez un inventaire. Depuis le tableau de bord, ouvrez
Tableau de bord > Mises à jour afin de relever la version de WordPress, les extensions et les thèmes qui attendent une mise à jour. Dans
Extensions > Extensions installées, repérez les extensions désactivées, les doublons et les outils dont la fonction n’est plus utile. Une extension désactivée peut encore présenter un risque si ses fichiers vulnérables restent présents sur le serveur.
Vérifiez ensuite les comptes dans
Utilisateurs > Tous les utilisateurs. Notez les comptes administrateurs, leurs adresses électroniques et leur rôle. Un compte qui n’a plus de raison d’exister doit être supprimé après transfert de ses contenus vers un compte conservé. Pour les contributeurs occasionnels, un rôle moins puissant est préférable. Le principe consiste à n’accorder que les permissions nécessaires à chaque tâche.
Examinez également les accès à l’hébergement, à la base de données, au service de messagerie et au nom de domaine. Ces accès ne doivent pas tous reposer sur les mêmes identifiants. La compromission d’une boîte mail peut permettre la réinitialisation d’un compte WordPress, tandis que l’accès à l’hébergement peut donner le contrôle des fichiers du site.
Maintenir WordPress, les extensions et les thèmes à jour
Les mises à jour corrigent des défauts de fonctionnement, mais aussi des vulnérabilités connues. La priorité concerne le cœur de WordPress, les extensions, les thèmes, le serveur et les composants liés à PHP. Dans le tableau de bord, consultez régulièrement la page
Tableau de bord > Mises à jour. Pour un site actif, la surveillance doit être organisée plutôt que laissée au hasard.
Avant une mise à jour importante, réalisez une sauvegarde des fichiers et de la base de données. Testez ensuite les principales fonctions : affichage de la page d’accueil, connexion, formulaires, recherche, panier si le site en possède un, et publication d’un contenu de test. Une mise à jour automatique peut être pertinente pour certaines versions mineures, mais elle ne dispense pas de vérifier le site et de conserver des sauvegardes.
Supprimez les extensions et thèmes inutilisés au lieu de les laisser désactivés. Choisissez des composants maintenus, documentés et adaptés à la version de WordPress utilisée. L’âge d’une extension ne constitue pas à lui seul une preuve de vulnérabilité, mais l’absence durable de maintenance, d’informations de compatibilité ou de correctifs doit conduire à rechercher une solution de remplacement.
Renforcer les comptes et les accès d’administration
Le compte administrateur constitue une cible prioritaire. Utilisez un identifiant qui ne révèle pas le nom du site, le nom de domaine ou une fonction évidente. Le mot de passe doit être long, unique et conservé dans un gestionnaire de mots de passe. Il ne doit pas être réutilisé pour l’hébergement, la messagerie ou un autre service.
Activez l’authentification multifacteur lorsque l’hébergement ou une extension fiable le permet. Cette protection ajoute une preuve supplémentaire après le mot de passe, par exemple une application d’authentification ou une clé de sécurité. Elle réduit le risque lié au vol d’un mot de passe, sans supprimer les autres risques comme l’hameçonnage ou le vol d’une session déjà ouverte.
Appliquez une séparation des rôles :
administrateur pour la maintenance complète,
éditeur pour la gestion des contenus,
auteur pour ses propres articles et
contributeur pour la rédaction sans publication directe. Évitez de partager un compte. Des comptes individuels facilitent la révocation des accès et l’analyse des journaux.
Pour les sessions, activez la déconnexion des appareils inconnus depuis les réglages du compte lorsque cette fonction est disponible. Après le départ d’un intervenant, supprimez son compte ou modifiez son rôle sans attendre. Contrôlez aussi les comptes administrateurs créés par des extensions ou des scripts que vous ne reconnaissez pas.
Mettre en place des sauvegardes réellement restaurables
Une sauvegarde utile contient au minimum les fichiers du site et la base de données. Les fichiers regroupent notamment WordPress, les extensions, les thèmes et les médias. La base de données contient les réglages, les utilisateurs, les articles, les pages et une partie des données des extensions. Conserver un seul de ces deux éléments peut rendre la restauration incomplète.
Organisez plusieurs copies sur des emplacements distincts. Une copie stockée dans le même hébergement peut disparaître avec le site compromis. Une copie accessible uniquement depuis le serveur peut également être supprimée par un attaquant ayant obtenu un accès suffisant. Protégez les sauvegardes avec des identifiants différents et limitez leur accès.
Une procédure de sauvegarde peut suivre cette séquence :
- Définir les données à sauvegarder et le moment de l’opération.
- Exporter la base de données et copier les fichiers nécessaires.
- Conserver plusieurs versions datées dans un emplacement séparé.
- Vérifier que les fichiers sont lisibles et que l’archive n’est pas vide.
- Effectuer périodiquement un test de restauration sur un environnement distinct.
Le test de restauration est indispensable. Une archive qui existe mais qui ne peut pas être ouverte, qui contient une base incomplète ou qui dépend d’un service indisponible ne constitue pas un plan de reprise fiable.
Réduire la surface d’attaque du serveur et de WordPress
La surface d’attaque désigne l’ensemble des points qu’un intrus peut tenter d’exploiter. Chaque extension, compte, page de connexion ou service exposé ajoute un élément à surveiller. La réduction de cette surface passe par le retrait des composants inutiles et par une configuration cohérente de l’hébergement.
Activez HTTPS avec un certificat valide et vérifiez que les visiteurs sont redirigés vers la version sécurisée du site. HTTPS protège les échanges entre le navigateur et le serveur contre plusieurs formes d’interception, mais ne corrige pas une extension vulnérable et ne sécurise pas un mot de passe compromis. Il s’agit d’une mesure nécessaire, pas d’une protection complète.
Utilisez une version de PHP encore prise en charge par l’hébergeur et compatible avec WordPress et les extensions installées. Les versions abandonnées ne reçoivent plus les correctifs attendus. Avant de changer de version, consultez les exigences des composants utilisés et réalisez une sauvegarde.
Les fichiers de configuration contenant des informations sensibles doivent être protégés contre la lecture publique. Les permissions doivent permettre au serveur de fonctionner tout en évitant d’accorder des droits d’écriture trop larges. Ces réglages dépendent de l’hébergement et du serveur web : une modification hasardeuse peut rendre le site indisponible. Conservez donc une copie de la configuration avant toute intervention.
Protéger la connexion et limiter les tentatives abusives
La page de connexion de WordPress est souvent ciblée par des essais automatisés. La mesure la plus importante reste l’emploi d’identifiants uniques et de l’authentification multifacteur. Une limitation du nombre de tentatives peut aussi ralentir les attaques par force brute. Elle doit être configurée avec prudence afin de ne pas bloquer inutilement des utilisateurs légitimes ou de créer un déni de service contre le site.
Un pare-feu applicatif peut analyser certaines requêtes avant leur traitement par WordPress et bloquer des signatures d’attaque connues. Selon sa conception, il peut fonctionner sur le serveur, au niveau d’un service intermédiaire ou dans WordPress. Ces solutions ne sont pas équivalentes : un mécanisme chargé après l’exécution de PHP consomme déjà des ressources, tandis qu’un filtrage en amont peut arrêter davantage de requêtes avant leur arrivée sur le site.
Évitez de modifier à l’aveugle l’adresse de connexion ou de multiplier les extensions qui font la même chose. Une mesure de masquage ne remplace ni les mises à jour ni la protection des comptes. Documentez chaque règle ajoutée, prévoyez une méthode d’accès de secours et vérifiez que les outils d’administration, les applications mobiles et les services d’intégration continuent de fonctionner.
Surveiller les signes d’une compromission
La détection repose sur des indices techniques et éditoriaux. Parmi les signaux à examiner figurent la création d’un administrateur inconnu, une modification du titre ou des réglages, des redirections inattendues, des pages ajoutées sans autorisation, des fichiers récemment modifiés et une hausse inhabituelle des courriels envoyés par le site.
Consultez les journaux disponibles chez l’hébergeur et dans les outils de sécurité. Recherchez les connexions inhabituelles, les changements de rôle et les requêtes répétées vers des fichiers sensibles. Les journaux doivent être conservés dans un emplacement protégé contre leur modification par un compte compromis.
Une vérification d’intégrité peut comparer les fichiers du cœur de WordPress avec une version officielle correspondant à la version installée. Cette comparaison ne suffit pas à examiner les fichiers propres aux extensions ou aux thèmes, et elle ne détecte pas toutes les modifications de la base de données. Elle doit être complétée par une revue des utilisateurs, des réglages et du contenu publié.
Planifiez une alerte vers une adresse électronique protégée par une authentification multifacteur. Une alerte envoyée dans la boîte mail compromise risque de ne pas être consultée. Pour un site professionnel, définissez aussi qui reçoit les notifications et qui peut décider d’une mise hors ligne temporaire.
Réagir correctement en cas de piratage
En cas de suspicion, évitez de supprimer des fichiers au hasard. Une intervention désordonnée peut effacer des preuves, détruire une sauvegarde saine ou laisser une porte dérobée active. Commencez par noter les symptômes, l’heure de découverte et les changements observés.
La réaction peut suivre plusieurs étapes :
- Limiter l’accès au site si les visiteurs sont redirigés, exposés à un contenu malveillant ou si des données semblent en danger.
- Changer les mots de passe depuis un appareil fiable, en commençant par la messagerie, l’hébergement, la base de données et les comptes administrateurs.
- Révoquer les sessions actives et les clés d’accès inconnues, lorsque les outils utilisés le permettent.
- Conserver une copie des journaux et de l’état compromis avant le nettoyage, si cela peut être fait sans prolonger le risque.
- Identifier la cause : extension vulnérable, identifiant volé, fichier modifié, serveur exposé ou sauvegarde contaminée.
- Restaurer une version antérieure considérée comme saine, puis appliquer les mises à jour et corriger la faille.
- Contrôler les comptes, les tâches planifiées, les extensions, les thèmes, les redirections et les fichiers récemment modifiés.
Si des données personnelles ont pu être consultées ou exfiltrées, la situation peut relever des obligations prévues par le Règlement général sur la protection des données. L’analyse doit alors être menée avec le responsable du traitement et les conseils compétents, sans minimiser l’incident.
Les mesures prioritaires selon le niveau de maturité
Le tableau suivant aide à ordonner les actions sans confondre les protections essentielles et les dispositifs complémentaires.
| Niveau | Actions recommandées | Objectif |
|---|
| Fondations | Mises à jour, mots de passe uniques, HTTPS, suppression des composants inutilisés, sauvegardes des fichiers et de la base | Réduire les vulnérabilités courantes et permettre une restauration |
| Renforcement | Authentification multifacteur, rôles limités, limitation des tentatives, version de PHP maintenue, accès d’hébergement séparés | Limiter les prises de contrôle et les mouvements latéraux |
| Surveillance | Journaux, alertes, contrôle des fichiers, revue des comptes et tests de restauration | Détecter plus tôt et vérifier que les protections fonctionnent |
| Reprise | Procédure écrite, sauvegardes isolées, environnement de restauration, contacts d’urgence | Réduire la durée et les conséquences d’un incident |
Pour un petit site, la priorité consiste à obtenir des bases fiables avant d’empiler les outils. Pour un site marchand ou un site qui traite des informations sensibles, la surveillance, la séparation des accès et la procédure d’incident méritent une attention renforcée.
FAQ sur la sécurité d’un site WordPress
Une extension de sécurité protège-t-elle à elle seule un site WordPress ?
Non. Elle peut fournir un pare-feu, des alertes ou une analyse de fichiers, selon ses fonctions. Elle ne remplace pas les mises à jour, les sauvegardes testées, les mots de passe uniques, l’authentification multifacteur et une configuration correcte de l’hébergement.
Faut-il supprimer toutes les extensions désactivées ?
Une extension désactivée reste présente sur le serveur et peut contenir une vulnérabilité. Si elle n’est plus nécessaire, sa suppression réduit la surface d’attaque. Avant de la retirer, vérifiez qu’aucun réglage ou contenu du site ne dépend d’elle et conservez une sauvegarde.
À quelle fréquence faut-il sauvegarder un site WordPress ?
La fréquence dépend de la fréquence des changements et de la perte de données acceptable. Un site qui publie rarement n’a pas les mêmes besoins qu’un site qui reçoit des commandes ou des contributions quotidiennes. Le point déterminant est de définir une fréquence cohérente, de conserver plusieurs versions et de tester la restauration.
HTTPS empêche-t-il le piratage ?
HTTPS chiffre les échanges entre le navigateur et le serveur et aide à authentifier le domaine. Il ne corrige pas une faille WordPress, ne bloque pas une extension malveillante et ne protège pas contre le vol d’un compte administrateur. Il doit être associé aux autres mesures de sécurité.
Que faire si un administrateur inconnu apparaît dans WordPress ?
Consignez l’information, limitez l’accès au site si nécessaire, vérifiez les journaux, révoquez les sessions et changez les identifiants depuis un appareil fiable. Examinez les autres comptes, les extensions et les fichiers avant de restaurer une sauvegarde saine et de corriger la cause de l’intrusion.
