Sécuriser un site WordPress : 7 astuces pour une protection forte

WordPress fait tourner une très large part du web, et c’est précisément cette popularité qui en fait la plateforme la plus scannée. La bonne nouvelle, c’est que presque rien de ce que nous voyons dans les vrais incidents n’est sophistiqué. Les sites sont pris par une extension obsolète, un mot de passe apparu dans la fuite de données de quelqu’un d’autre, ou un fichier de sauvegarde que personne ne se souvenait d’avoir laissé à la racine du site.

Ce guide parcourt sept changements qui ferment ces portes. Aucun ne nécessite un développeur, la plupart prennent quelques minutes, et ensemble ils font sortir votre site du groupe contre lequel les attaques automatisées réussissent réellement. Si vous n’avez qu’une heure pour sécuriser un site WordPress dont vous avez la charge, c’est l’heure à y consacrer.

Pourquoi les sites WordPress se font réellement pirater

Presque personne ne choisit votre site. Un script balaie des plages d’Internet, demande une poignée de chemins prévisibles, et détermine en une seconde s’il a affaire à WordPress et quelles versions tournent. Puis il essaie ce dont on sait déjà que ça marche.

Voilà toute la forme du problème. Il y a trois portes dont il faut se préoccuper — le code que vous avez installé et cessé de mettre à jour, le formulaire de connexion, et les fichiers que vous avez laissés derrière vous — et les sept étapes ci-dessous ne sont rien d’autre que la façon de fermer chacune. C’est le même schéma que nous décrivons dans notre check-list d’audit de sécurité, appliqué spécifiquement à WordPress.

Les sept étapes pour sécuriser un site WordPress

Suivez-les dans l’ordre. Les étapes 1 et 2 suppriment à elles seules l’essentiel du risque ; les autres limitent ce qu’un attaquant peut atteindre si quelque chose tourne quand même mal.

1. Maintenez WordPress, les thèmes et les extensions à jour

Une extension non corrigée est de loin la première voie d’entrée dans un site WordPress. Quand une faille est divulguée, le correctif et l’exploit deviennent publics à peu près au même moment — et les scanners cherchent la version vulnérable en quelques heures. Le numéro de version que vous faites tourner est la vulnérabilité.

• Activez les mises à jour automatiques pour les extensions et les versions mineures du cœur (Tableau de bord → Mises à jour). Pour la plupart des sites c’est sans risque et cela supprime la fenêtre où vous êtes exposé mais occupé.
• Appliquez les correctifs de sécurité le jour même. Les mises à jour de fonctionnalités peuvent attendre un moment calme ; un correctif de sécurité, non.
• Prenez d’abord un instantané si le site est critique pour l’activité, pour qu’une mauvaise mise à jour soit un retour arrière de cinq minutes plutôt qu’une soirée entière.
• Vérifiez que l’extension est toujours maintenue. Si la dernière mise à jour date de plusieurs années, le vrai correctif est l’étape 7 — la supprimer.

2. Utilisez des mots de passe robustes et l’authentification à deux facteurs

Partez du principe que le mot de passe est déjà connu. Les attaques par credential stuffing ne devinent pas au hasard : elles rejouent de vrais couples identifiant/mot de passe fuités d’autres services. Si un administrateur a réutilisé un mot de passe quelque part, le formulaire de connexion n’est pas un grand obstacle.

• Un mot de passe unique par compte, généré et rangé dans un gestionnaire de mots de passe. La longueur compte plus que les symboles — voyez comment créer un mot de passe fort.
• L’authentification à deux facteurs sur chaque administrateur. C’est le contrôle qui tient encore quand le mot de passe a fuité — notre guide sur la configuration de la 2FA sur WordPress couvre les options.
• Cessez d’utiliser l’identifiant admin. Créez un nouvel administrateur, puis supprimez l’ancien compte et réattribuez son contenu.
• Donnez à chacun le rôle dont il a besoin. Les éditeurs et auteurs n’ont pas besoin des droits d’administrateur, et chaque admin supplémentaire est un compte de plus à voler.

3. Installez une extension de sécurité avec pare-feu

Une extension de sécurité fait deux choses difficiles à faire soi-même : elle bloque les requêtes malveillantes avant que WordPress ne les traite, et elle vous prévient quand des fichiers de votre serveur changent de façon inattendue. Wordfence, Solid Security et Sucuri sont les choix habituels — prenez-en une, et une seule, car deux pare-feu qui se battent causent plus de problèmes qu’ils n’en résolvent.

• Pare-feu — filtre les schémas d’attaque connus et les sondes cherchant des extensions vulnérables, pour que l’essentiel du bruit n’atteigne jamais votre site.
• Analyse de malware et des changements de fichiers — compare vos fichiers du cœur et d’extensions aux versions officielles et signale tout ajout ou modification. C’est généralement ainsi qu’une compromission discrète est repérée.
• Protection de la connexion — limites de tentatives, blocages et 2FA, ce qui couvre les étapes 2 et 5 depuis le même écran de réglages.
• Alertes par e-mail — activez-les pour les connexions administrateur et les changements de fichiers, puis lisez-les réellement.

4. Servez chaque page en HTTPS

Sans HTTPS, tout ce qui circule entre le visiteur et votre serveur voyage en clair — y compris l’identifiant et le mot de passe envoyés à wp-login.php. Toute personne partageant ce réseau peut le lire. Les navigateurs marquent aussi les pages en http « Non sécurisé », ce qui vous coûte en confiance et en visibilité.

• Obtenez un certificat. Presque tous les hébergeurs délivrent des certificats Let’s Encrypt gratuits depuis le panneau de contrôle — voyez notre guide sur l’installation d’un certificat SSL.
• Forcez la redirection. Avoir un certificat ne suffit pas si http répond encore. Chaque requête http doit rediriger vers https.
• Corrigez le contenu mixte. Passez l’adresse de WordPress et l’adresse du site en https, et corrigez les images ou scripts encore chargés en http.
• Le renouvellement doit être automatique. Un certificat expiré casse le site aussi visiblement qu’une panne.

5. Limitez les tentatives de connexion et déplacez l’URL de login

La force brute ne fonctionne qu’en volume. Un bot capable d’essayer des milliers de mots de passe par heure finira par en trouver un faible ; un bot qui a droit à cinq essais puis à soixante minutes de blocage, non. Limiter les tentatives est le réglage le plus rentable du formulaire de connexion.

• Bloquez après environ cinq échecs, pendant au moins une heure. Toutes les extensions de sécurité le proposent.
• Déplacez la page de connexion hors de /wp-login.php vers une adresse connue de votre seule équipe. Ce n’est pas une serrure — c’est le fait de ne pas être sur la liste que les bots parcourent.
• Désactivez XML-RPC si rien ne l’utilise. Une seule requête XML-RPC peut porter des centaines de tentatives de connexion, ce qui contourne les compteurs naïfs.
• Gardez les deux activés. Une URL de connexion déplacée sans limite de tentatives signifie simplement que celui qui la trouvera aura des essais illimités.

Traitez une hausse soudaine d’e-mails de blocage comme une information, pas comme du spam. Cela signifie généralement que votre site vient d’être ajouté à la liste de cibles de quelqu’un.

6. Sauvegardez votre site — et testez la restauration

Les sauvegardes n’empêchent pas une intrusion. Elles décident si elle vous coûte un après-midi ou quinze jours. Le piège, c’est que la plupart des gens découvrent que leur sauvegarde ne fonctionne pas le jour où ils en ont besoin, soit le pire moment possible pour l’apprendre.

• Automatisez. Base de données quotidienne, fichiers hebdomadaires, avec une extension comme UpdraftPlus ou les sauvegardes planifiées de votre hébergeur.
• Stockez les copies ailleurs. Une sauvegarde posée sur le même compte d’hébergement est chiffrée avec le site lors d’un incident de rançongiciel, ou perdue avec lui si le compte est suspendu.
• Conservez assez d’historique. Les compromissions sont souvent repérées des semaines plus tard, et il vous faut un point de restauration antérieur — une seule copie de la nuit ne l’aura pas.
• Testez une restauration. Restaurez une fois sur un site de préproduction, délibérément, quand tout va bien. C’est l’étape que tout le monde saute et la seule qui prouve que le reste a fonctionné.

7. Supprimez les thèmes et extensions inutilisés

Désactiver une extension ne la supprime pas. Les fichiers PHP restent sur votre serveur, ils cessent d’être mis à jour parce que personne ne les remarque dans la liste des mises à jour, et dans bien des cas ils restent directement accessibles. Chaque extension que vous gardez est un engagement à continuer de la corriger.

• Supprimez, ne désactivez pas. Parcourez Extensions et Apparence → Thèmes et retirez tout ce que vous n’utilisez pas.
• Gardez un thème de secours. Un thème par défaut est utile pour le dépannage ; trois anciens ne sont que trois choses de plus à corriger.
• Remplacez les extensions abandonnées. Si une extension a été retirée du répertoire ou n’a pas été mise à jour depuis des années, aucun correctif n’arrivera jamais.
• Faites le ménage des restes. Fichiers d’installation, bases exportées et copies .zip ou .bak à la racine du site sont exactement ce que les scanners cherchent. Désactiver le listage des répertoires empêche de parcourir les dossiers.

Votre check-list de sécurité WordPress

Imprimez-la, ou gardez-la à côté de vos notes de maintenance. C’est tout le guide, regroupé selon la fréquence à laquelle chaque point demande réellement votre attention.

Les erreurs qui annulent tout le travail

• « C’est un petit site, personne ne s’en donnerait la peine. » Les attaques sont automatisées et indifférenciées. Personne ne vous a choisi.
• Installer trois extensions de sécurité. Elles entrent en conflit, ralentissent le site, et vous finissez par ne faire confiance à aucune alerte.
• Désactiver au lieu de supprimer. Le code est toujours là, et désormais il n’est plus maintenu non plus.
• Des sauvegardes que personne n’a jamais restaurées. Une sauvegarde non testée est un espoir, pas un plan.
• Durcir une fois et ne jamais y revenir. Un site à jour l’an dernier fait tourner aujourd’hui les vulnérabilités de l’an dernier.

Questions fréquentes

WordPress est-il lui-même peu sûr ?

Non. Le cœur de WordPress est maintenu par une équipe de sécurité dédiée et corrigé rapidement. L’immense majorité des sites compromis font tourner des extensions ou des thèmes tiers obsolètes, ou ont un mot de passe administrateur faible — pas une faille du cœur.

À quelle fréquence dois-je vérifier un site WordPress ?

Un rythme hebdomadaire est raisonnable pour les mises à jour si l’automatique est activé, en lisant les e-mails d’alerte de votre extension de sécurité à mesure qu’ils arrivent. La tâche trimestrielle, c’est de tester qu’une sauvegarde se restaure réellement.

Ai-je encore besoin d’une extension de sécurité si mon hébergeur en fournit une ?

Généralement oui, et elles font des choses différentes. La protection au niveau de l’hébergeur filtre le trafic avant qu’il n’atteigne votre site ; une extension comprend WordPress spécifiquement — les rôles utilisateurs, les tentatives de connexion, et si vos fichiers d’extensions ont été modifiés. Évitez simplement de faire tourner deux extensions pare-feu concurrentes.

Mon site a déjà été piraté. Ces étapes le réparent-elles ?

Non — le durcissement empêche la prochaine intrusion, il ne supprime pas celle qui existe. Un site compromis a besoin que les fichiers et entrées de base de données malveillants soient nettoyés, que chaque mot de passe et chaque clé soient changés, et que le point d’entrée d’origine soit trouvé. Durcissez ensuite, sinon la même porte resservira.

Tout cela nécessite-t-il un développeur ?

Rien dans ce guide. Chaque étape est un réglage du tableau de bord WordPress, une configuration d’extension, ou un interrupteur dans votre panneau d’hébergement.

Faites d’abord les choses ennuyeuses

Il n’existe aucun réglage unique qui rende un site sûr, et aucune extension qu’on installe puis qu’on oublie. Ce qui existe, de façon fiable, c’est une courte liste de maintenance ordinaire qui supprime les attaques qui se produisent réellement : gardez tout à jour, rendez la connexion difficile à franchir, mettez un pare-feu devant, chiffrez la connexion, et conservez une sauvegarde dont vous avez prouvé qu’elle fonctionne.

Faire les sept prend un après-midi la première fois, puis quelques minutes par semaine. C’est un engagement bien plus léger que le nettoyage d’un site compromis — et si vous préférez faire vérifier le résultat, SecureWeb propose une analyse de sécurité gratuite et des tests d’intrusion complets quand le site manipule de l’argent ou des données personnelles.