WordPress fait tourner une grande partie du web, ce qui en fait une cible fréquente. La plupart des piratages ne visent pas un site en particulier : ils exploitent automatiquement des failles connues sur des sites mal entretenus. Ces dix mesures suffisent à se protéger de l'essentiel.
1. Tenir tout à jour
WordPress, le thème et les extensions : la majorité des failles exploitées concernent des versions anciennes pour lesquelles une correction existe déjà. Mettez à jour régulièrement, en testant d'abord sur une copie du site pour les sites importants.
2. Réduire le nombre d'extensions
Chaque extension est une porte d'entrée potentielle. Supprimez celles qui ne servent plus, évitez les extensions abandonnées par leur auteur et n'installez jamais de version « gratuite » d'une extension payante trouvée sur un site non officiel.
3. Des mots de passe solides et la double authentification
Utilisez un gestionnaire de mots de passe et activez la double authentification pour tous les comptes administrateurs. C'est la mesure la plus efficace contre les tentatives de connexion automatisées.
4. Limiter les comptes administrateurs
Donnez à chaque personne le rôle minimum nécessaire : un rédacteur n'a pas besoin d'être administrateur. Supprimez les comptes des anciens collaborateurs et prestataires.
5. Des sauvegardes automatiques, stockées ailleurs
Sauvegardez automatiquement les fichiers et la base de données, et stockez les copies hors du serveur du site. Testez au moins une fois la restauration : une sauvegarde qui ne se restaure pas ne sert à rien.
6. Un hébergement sérieux
Choisissez un hébergeur qui propose une version récente de PHP, un pare-feu, des sauvegardes et des comptes isolés. Un hébergement trop bon marché partagé avec des milliers de sites mal entretenus augmente les risques.
7. HTTPS partout
Un certificat SSL est aujourd'hui gratuit chez la plupart des hébergeurs. Forcez l'utilisation de HTTPS sur tout le site : il protège les données des formulaires et c'est un signal de confiance pour les visiteurs comme pour Google.
8. Désactiver ce qui ne sert pas
- Désactivez l'éditeur de fichiers intégré à l'administration, avec la constante DISALLOW_FILE_EDIT dans le fichier wp-config.php.
- Désactivez les commentaires si vous ne les utilisez pas, pour éviter le spam.
- Limitez les tentatives de connexion pour bloquer les attaques par force brute.
9. Ajouter des en-têtes de sécurité
Quelques en-têtes HTTP renforcent la protection du navigateur de vos visiteurs : protection contre l'intégration du site dans une autre page, contre l'interprétation erronée des fichiers, politique de référent. Ils se configurent au niveau de l'hébergement.
10. Surveiller
Un service de surveillance vous alerte si le site devient inaccessible ou si des fichiers sont modifiés. Google Search Console vous prévient aussi en cas de problème de sécurité détecté. Plus un piratage est repéré tôt, plus il est simple à réparer.
Et si le site est déjà piraté ?
Changez immédiatement tous les mots de passe (administration, hébergement, base de données), restaurez une sauvegarde saine si vous en avez une, mettez tout à jour et identifiez la faille avant de remettre le site en ligne. Sans correction de la cause, le piratage se reproduira.
En résumé
Mises à jour, peu d'extensions, double authentification, sauvegardes externes et bon hébergement couvrent la grande majorité des risques. La sécurité d'un site WordPress est avant tout une question de régularité, ce qui justifie un contrat de maintenance pour les sites importants.
Vous voulez savoir où en est votre site ?
En 30 minutes, nous passons en revue votre site, vos intégrations et vos outils. Vous repartez avec une liste d'actions classées par impact.