Sécuriser WordPress : une checklist pratique de durcissement
La plupart des sites WordPress piratés tombent à cause d'extensions obsolètes et de connexions faibles. Cette checklist couvre les mesures les plus efficaces.
WordPress fait fonctionner un nombre considérable de sites, ce qui en fait une cible permanente d'attaques automatisées. La plupart de ces attaques n'ont rien d'astucieux. Elles recherchent d'anciennes versions d'extensions, devinent des mots de passe faibles ou réutilisent des identifiants ayant fuité. C'est une bonne nouvelle : quelques habitudes appliquées avec constance suffisent à en arrêter la plupart. Voici une checklist que vous pouvez parcourir en un après-midi.
Mises à jour, connexions et accès
Les extensions et thèmes obsolètes sont la porte d'entrée la plus fréquente. Appliquez rapidement les mises à jour du cœur de WordPress, des extensions et des thèmes, et supprimez tout ce que vous n'utilisez plus. Envisagez d'activer les mises à jour automatiques pour les versions mineures du cœur et pour les extensions de confiance, tout en testant les changements plus importants sur une copie de préproduction. Notre guide sur la mise à jour sécurisée de WordPress explique la routine.
Utilisez des identifiants robustes et uniques, et l'authentification à deux facteurs
Utilisez un gestionnaire de mots de passe et attribuez à chaque compte un mot de passe long et unique. Ajoutez l'authentification à deux facteurs pour les administrateurs et les éditeurs. N'utilisez pas admin comme nom d'utilisateur, et veillez à ce que le nom affiché sur les articles publics ne soit pas l'identifiant de connexion.
Limitez l'accès des utilisateurs
Donnez aux personnes le rôle le plus bas qui leur permette de faire leur travail. Un rédacteur a besoin du rôle Auteur ou Contributeur, pas Administrateur. Supprimez les comptes des personnes parties. Moins d'administrateurs, c'est moins de comptes à compromettre.
Page de connexion, HTTPS et configuration
Limitez les tentatives de connexion échouées, et envisagez d'ajouter un défi de vérification ou de restreindre l'accès à /wp-login.php par adresse IP lorsque c'est possible. Un pare-feu d'application web, comme la protection proposée via Cloudflare, peut bloquer de nombreuses requêtes malveillantes avant qu'elles n'atteignent WordPress. Consultez notre page sécurité pour voir comment nous abordons le sujet au niveau de l'hébergement.
Utilisez HTTPS partout
Servez l'ensemble du site en HTTPS, y compris l'espace d'administration. Des certificats Let's Encrypt gratuits sont inclus avec notre hébergement ; voir la page SSL. Dans wp-config.php, vous pouvez forcer des sessions d'administration sécurisées :
define( 'FORCE_SSL_ADMIN', true );Désactivez la modification de fichiers dans le tableau de bord
WordPress permet aux administrateurs de modifier les fichiers des extensions et des thèmes depuis le tableau de bord. Si un attaquant s'introduit, c'est un outil prêt à l'emploi. Désactivez-la :
define( 'DISALLOW_FILE_EDIT', true );Définissez des permissions de fichiers correctes
Les fichiers doivent généralement être lisibles par le serveur web, mais pas modifiables par tout le monde. Évitez d'accorder des permissions totales à des dossiers pour résoudre un problème d'envoi de fichiers ; cherchez plutôt le véritable problème de propriétaire. Verrouillez wp-config.php autant que votre configuration le permet, et ne laissez jamais de sauvegardes ou d'exports de base de données dans la racine web.
Sauvegardes, sources et surveillance
La sécurité concerne autant la reprise que la prévention. Conservez des sauvegardes automatiques stockées en dehors du serveur web, et testez leur restauration. Si quelque chose tourne mal, une sauvegarde saine est votre moyen le plus rapide de revenir en arrière.
N'installez de logiciels que depuis des sources de confiance
Utilisez des extensions et des thèmes issus du répertoire officiel ou de leur développeur. Les logiciels premium piratés sont une source fréquente de portes dérobées cachées. Si une licence est trop chère, cherchez plutôt une alternative plus légère.
Surveillez les changements
Les extensions de sécurité ou les services de surveillance peuvent vous alerter en cas de modification de fichiers, de nouveaux comptes administrateurs et d'activité de connexion inhabituelle. Les alertes ne servent que si quelqu'un les lit : dirigez-les vers une adresse e-mail que vous consultez.
Réduisez ce qui est exposé
- Supprimez les thèmes et extensions inutilisés, ne vous contentez pas de les désactiver.
- Désactivez XML-RPC si vous ne l'utilisez pas, ou restreignez-le.
- Masquez les numéros de version lorsque c'est facile, mais ne comptez pas sur l'obscurité.
- Utilisez des utilisateurs de base de données distincts pour des sites distincts, avec des mots de passe robustes.
Gardez la couche serveur en bonne santé
Durcir WordPress ne représente que la moitié du travail. Le serveur a besoin d'une version de PHP prise en charge, de mises à jour du système d'exploitation à jour et d'une isolation entre les comptes. Sur les offres mutualisées et infogérées, cela est géré pour vous ; sur un VPS, vous en êtes responsable.
Un tableau de durcissement rapide
| Domaine | Action | Effort |
|---|---|---|
| Mises à jour | Cœur, extensions et thèmes à jour | Faible |
| Comptes | Mots de passe robustes, 2FA, moindre privilège | Faible |
| Configuration | Désactiver la modification de fichiers, forcer le SSL en administration | Faible |
| Sauvegardes | Hors serveur, restaurations testées | Moyen |
| Pare-feu | WAF et limites de connexion | Moyen |
Aucun site n'est sûr à 100 %
Soyez honnête sur les limites. Le durcissement réduit le risque ; il ne le supprime pas. Ayez un plan pour ce que vous ferez si le site est compromis, et gardez les coordonnées de la personne qui vous aidera.
Faites de la sécurité une habitude, pas un projet
La plus grande faiblesse de la plupart des dispositifs de sécurité WordPress n'est pas une fonctionnalité manquante, mais une routine manquante. Placez un rappel mensuel dans votre agenda pour passer en revue les utilisateurs, repérer les extensions qui ne reçoivent plus de mises à jour, lire vos alertes de sécurité et vérifier qu'une sauvegarde récente se restaure. Vingt minutes par mois valent plus qu'une séance de durcissement ponctuelle que l'on ne revoit jamais.
Notez aussi qui a accès à quoi : panneau d'hébergement, bureau d'enregistrement du domaine, comptes administrateurs WordPress et services tiers. Quand une agence ou un freelance termine un projet, supprimez ses accès le jour même.
Si vous n'avez le temps de faire que trois choses aujourd'hui, choisissez celles-ci : tout mettre à jour, activer l'authentification à deux facteurs pour chaque administrateur, et vérifier qu'une sauvegarde récente existe hors serveur. Elles répondent aux moyens de compromission les plus courants et au moyen de récupération le plus important.
La sécurité au niveau de l'hébergement
Un bon hébergement soutient votre propre durcissement. Notre hébergement WordPress inclut le SSL gratuit, Plesk pour gérer les accès et la disponibilité du CDN Cloudflare, et notre équipe de support peut répondre à vos questions sur la sécurisation de votre site en 17 langues.