Sécuriser WordPress : la checklist qui compte vraiment

Les sites WordPress ne sont pas attaqués parce qu’ils intéressent quelqu’un. Ils sont attaqués parce qu’ils sont nombreux, reconnaissables, et que les robots testent tout ce qui passe. Votre site de trente visiteurs par jour subit exactement les mêmes tentatives qu’un site à fort trafic.

La bonne nouvelle est que ces attaques sont massives et peu sophistiquées : quelques mesures bien choisies écartent la quasi-totalité du risque. Voici lesquelles, dans l’ordre d’efficacité réelle.

Par où entrent les attaquants

Trois portes concentrent l’essentiel des compromissions, et le cœur de WordPress n’en fait pas partie.

• Les extensions et thèmes obsolètes. De très loin la cause principale. Une faille publiée est exploitée en masse dans les heures qui suivent, précisément parce qu’elle est publiée : les robots parcourent les sites à la recherche des versions vulnérables.
• Les mots de passe faibles ou réutilisés. Les tentatives de connexion automatisées tournent en permanence, avec des listes d’identifiants issues de fuites d’autres services.
• Un hébergement mal configuré ou partagé avec des voisins compromis. Sur du mutualisé, une isolation insuffisante permet parfois de passer d’un compte à l’autre.

Notez ce qui n’est pas dans cette liste : le cœur de WordPress lui-même, qui est corrigé rapidement et mis à jour automatiquement pour les correctifs de sécurité. Le problème n’est presque jamais WordPress, c’est ce qu’on installe autour.

Les mesures qui comptent vraiment

1. Mettre à jour, systématiquement

C’est la mesure la plus efficace, et de très loin. Activez les mises à jour automatiques du cœur, et traitez les extensions au moins une fois par semaine. Le risque d’une mise à jour qui casse quelque chose est réel, mais il est bien inférieur au risque d’une faille laissée ouverte pendant des mois. Une sauvegarde préalable règle ce compromis.

2. Supprimer ce que vous n’utilisez pas

Une extension désactivée reste présente sur le disque et reste vulnérable : plusieurs failles connues s’exploitent sans que l’extension soit active. La désactivation n’est pas une protection. Désinstallez.

Même logique pour les thèmes : gardez le vôtre et un thème par défaut récent pour le dépannage, supprimez le reste. Un thème abandonné est autant un risque de sécurité qu’une contrainte fonctionnelle, sujet traité dans notre article sur le choix d’un thème.

3. Vérifier que vos extensions sont maintenues

Avant d’installer, et une fois par an sur l’existant : regardez la date de dernière mise à jour et la compatibilité annoncée. Une extension sans mise à jour depuis deux ans est une dette qui ne sera jamais corrigée. Remplacez-la pendant que vous en avez le temps, pas dans l’urgence.

4. Renforcer les comptes

Mots de passe longs et uniques via un gestionnaire, authentification à deux facteurs sur les comptes administrateurs, et attribution du rôle minimum nécessaire à chaque utilisateur. Un rédacteur n’a besoin ni d’installer des extensions ni de modifier des fichiers.

Limitez également les tentatives de connexion. C’est ce qui rend les attaques par essais successifs inopérantes, et cela allège aussi la charge de votre serveur.

5. Sauvegarder ailleurs, et tester la restauration

Une sauvegarde stockée sur le même serveur que le site disparaît avec lui. Elle doit partir ailleurs, automatiquement, avec une rétention d’au moins plusieurs semaines — beaucoup de compromissions sont découvertes bien après leur date.

Et surtout : testez une restauration complète au moins une fois. Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une hypothèse.

Ce qui sert moins qu’on ne le croit

• Changer l’adresse de la page de connexion. Cela réduit le bruit dans vos journaux, ce qui est appréciable, mais n’arrête aucun attaquant décidé. À faire, sans compter dessus.
• Masquer la version de WordPress. Elle se déduit d’autres signaux. Effort quasi nul, bénéfice quasi nul.
• Empiler les extensions de sécurité. Deux extensions qui font la même chose se gênent, ralentissent le site — voyez notre article sur l’accélération de WordPress — et ajoutent leur propre surface d’attaque. Une seule, bien configurée, suffit.
• Renommer le préfixe des tables. Utile à l’installation, sans grand intérêt sur un site existant, et l’opération est risquée.

Ce que votre hébergeur doit couvrir

Une partie de la sécurité ne dépend pas de vous. Vérifiez que votre hébergement fournit un certificat de sécurité valide sans surcoût, des versions de langage encore maintenues, une isolation correcte entre comptes sur du mutualisé, et des sauvegardes que vous pouvez restaurer seul.

Un pare-feu applicatif côté serveur est un vrai plus : il filtre avant que la requête n’atteigne WordPress, ce qu’aucune extension ne peut faire. Les critères complets sont dans notre article sur le choix d’un hébergement, et les principes généraux dans notre guide sur la sécurisation d’un site web.

Si le site est compromis

1. Ne nettoyez pas d’abord. Faites une copie complète de l’état compromis : elle servira à comprendre par où l’attaquant est entré.
2. Restaurez une sauvegarde antérieure à l’intrusion, ce qui suppose de savoir quand elle a eu lieu. Vos journaux serveur répondent à cette question.
3. Changez tous les mots de passe : comptes WordPress, base de données, accès fichiers, panneau d’hébergement.
4. Mettez tout à jour immédiatement, avant de remettre le site en ligne. Restaurer sans corriger la faille garantit une seconde intrusion.
5. Vérifiez l’état de votre site dans votre outil de suivi de recherche. Une compromission déclenche parfois un signalement, et il faut demander un réexamen une fois le nettoyage terminé.

Questions fréquentes

Pour aller plus loin