Sécuriser WordPress

Sécuriser WordPress : Protection de base contre les attaques, les malwares et la force brute

WordPress est très répandu dans le monde entier et constitue donc une cible attrayante pour les attaques automatisées. La plupart des attaques ne visent pas spécifiquement un seul petit site web, mais se déroulent de manière automatisée : des bots recherchent des plugins obsolètes, des mots de passe faibles, des thèmes non sécurisés, des pages de connexion ouvertes ou des failles de sécurité connues.

La bonne nouvelle : de nombreux risques typiques peuvent être considérablement réduits grâce à une maintenance rigoureuse, des identifiants forts, des mises à jour régulières, des droits d'utilisateur propres et un environnement d'hébergement stable. La sécurité de WordPress n'est pas un interrupteur unique, mais une combinaison de plusieurs mesures.

Pourquoi la sécurité de WordPress est si importante

Un site web compromis n'est pas seulement un problème technique. Il peut mettre en danger les visiteurs, exposer des données clients, envoyer des spams, propager des malwares, nuire au classement SEO ou être signalé comme non sécurisé par les navigateurs et les moteurs de recherche.

Conséquences possibles d'une attaque réussie :

• Le site affiche des contenus tiers ou des redirections,
• La connexion ne fonctionne plus,
• Un malware est injecté,
• Des pages de spam sont créées,
• Les moteurs de recherche affichent un avertissement concernant le site,
• Les formulaires de contact sont détournés,
• L'envoi d'e-mails se retrouve sur liste noire,
• Les données clients peuvent être compromises,
• Les commandes ou les paiements de la boutique sont perturbés,
• Le nettoyage engendre des efforts et des coûts.

La prévention est presque toujours plus simple que le nettoyage d'un site web piraté.

1. Maintenir WordPress, les plugins et les thèmes à jour

Les logiciels obsolètes sont l'une des portes d'entrée les plus courantes. Cela concerne non seulement WordPress lui-même, mais surtout les plugins et les thèmes. De nombreuses attaques exploitent des failles de sécurité connues pour lesquelles des mises à jour seraient déjà disponibles.

Mettez à jour régulièrement :

• Le cœur de WordPress (Core),
• Les plugins,
• Les thèmes,
• Les traductions,
• La version de PHP,
• WooCommerce et les plugins de paiement, le cas échéant.

Pour les sites web simples, les mises à jour automatiques peuvent être judicieuses. Pour les boutiques WooCommerce, les espaces membres ou les sites web complexes, les mises à jour majeures doivent d'abord être testées dans un environnement de staging.

2. Ne pas conserver de plugins et thèmes inutiles

Chaque plugin installé et chaque thème augmente la surface d'attaque. Même les plugins désactivés et les thèmes inutilisés restent présents sous forme de fichiers sur le serveur. S'ils sont obsolètes, ils peuvent représenter un risque.

Recommandations :

• Supprimer les plugins inutilisés,
• Ne pas conserver les plugins désactivés de manière permanente,
• Retirer les thèmes inutilisés,
• Conserver un thème standard comme solution de secours (fallback),
• Ne pas installer de plugins provenant de sources inconnues,
• Ne pas utiliser de plugins premium piratés (« nulled »),
• Vérifier régulièrement la liste des plugins.

L'hygiène des plugins contribue à la fois à la sécurité et à l'optimisation des performances.

3. Utiliser des mots de passe forts

Les mots de passe faibles constituent un risque majeur. Les attaques automatisées testent fréquemment les combinaisons courantes, les mots du dictionnaire et les listes de mots de passe connus.

Un bon mot de passe :

• est long,
• est unique,
• n'est pas réutilisé sur d'autres sites web,
• contient des majuscules, des minuscules, des chiffres et des caractères spéciaux,
• est idéalement enregistré dans un gestionnaire de mots de passe.

N'utilisez pas de mots de passe tels que admin123, wordpress2024, le nom de l'entreprise suivi de l'année ou des informations personnelles.

4. Éviter l'identifiant « admin »

L'identifiant admin est une cible fréquente lors des attaques par force brute. Si les attaquants connaissent déjà l'identifiant, ils n'ont plus qu'à deviner le mot de passe.

Procédure recommandée :

1. Créez un nouvel administrateur avec un identifiant personnalisé.
2. Connectez-vous avec ce nouveau compte.
3. Supprimez l'ancien compte admin.
4. Attribuez les contenus existants au nouvel utilisateur.

Évitez de choisir un nom visible publiquement comme identifiant de connexion si cela peut être évité.

5. Attribuer les droits d'administrateur avec parcimonie

Tous les utilisateurs n'ont pas besoin de droits d'administrateur. Plus le nombre de personnes disposant d'un accès complet est élevé, plus le risque d'erreur de configuration, de modification accidentelle ou de compromission de compte augmente.

Règle de base :

• Administrateur : uniquement pour la gestion technique.
• Éditeur : pour la gestion complète du contenu.
• Auteur : pour ses propres articles.
• Contributeur : pour les brouillons sans publication.
• Abonné : pour les comptes utilisateurs simples.

Les prestataires externes doivent disposer de leurs propres comptes temporaires. Ne partagez jamais votre mot de passe d'administrateur personnel.

6. Activer l'authentification à deux facteurs

L'authentification à deux facteurs, ou A2F, protège en plus la connexion. En plus du mot de passe, un second facteur est requis, par exemple un code provenant d'une application d'authentification.

L'A2F est particulièrement recommandée pour :

• Les administrateurs,
• Les exploitants de boutiques en ligne,
• Les éditeurs disposant de privilèges étendus,
• Les accès webdesigners,
• Les accès support,
• Les sites web contenant des données clients.

L'A2F n'empêche pas toutes les méthodes d'attaque, mais elle augmente considérablement la sécurité de la connexion.

7. Limiter les tentatives de connexion

Lors d'attaques par force brute, les bots tentent de se connecter en utilisant de nombreuses combinaisons d'identifiants et de mots de passe. Limiter les tentatives de connexion permet de freiner ces attaques.

Possibilités :

• Plugin de sécurité avec limitation des connexions,
• A2F,
• Mots de passe forts,
• Protection côté serveur,
• Blocage d'IP en cas de comportement suspect,
• Suivi des tentatives de connexion.

8. Installer uniquement des plugins et thèmes de confiance

N'installez des plugins et des thèmes que provenant de sources sérieuses, par exemple le répertoire officiel de WordPress, directement auprès du développeur ou sur des plateformes reconnues. Évitez les copies gratuites de plugins premium payants.

Avant l'installation, vérifiez :

• Quand le plugin a-t-il été mis à jour pour la dernière fois ?
• Est-il compatible avec votre version de WordPress ?
• Quels sont les avis et l'historique du support ?
• Est-il activement maintenu ?
• Existe-t-il une documentation claire ?
• Nécessite-t-il un nombre excessif de permissions ou de connexions externes ?

Les plugins et thèmes piratés (« nulled ») représentent un risque considérable. Ils peuvent contenir du code malveillant caché et ne doivent jamais être utilisés en production.

9. Désactiver l'édition de fichiers dans le tableau de bord

WordPress permet aux administrateurs, sous certaines conditions, de modifier les fichiers des thèmes et des plugins directement depuis le tableau de bord. Cette fonctionnalité est pratique mais risquée. Si un accès administrateur est compromis, un attaquant peut l'utiliser pour insérer du code malveillant.

Vous pouvez désactiver l'édition de fichiers en ajoutant la ligne suivante dans le fichier wp-config.php :

define('DISALLOW_FILE_EDIT', true);

Insérez ce code au-dessus de la ligne indiquant que les modifications s'arrêtent et que WordPress est chargé.

10. Désactiver la navigation dans les répertoires (Directory Browsing)

Si la navigation dans les répertoires est active, les visiteurs peuvent potentiellement voir le contenu des dossiers directement dans leur navigateur en l'absence de fichier d'index. Cela doit être évité.

Dans de nombreux environnements d'hébergement, la navigation dans les répertoires est déjà désactivée. Si nécessaire, l'ajout suivant dans le fichier .htaccess peut aider :

Options -Indexes

Ici aussi : toujours créer une sauvegarde avant toute modification du fichier .htaccess.

11. Utiliser le SSL de manière rigoureuse

Votre site web doit être entièrement accessible via HTTPS. Le SSL protège la transmission de données entre le visiteur et le serveur. C'est particulièrement important pour les connexions, les formulaires de contact, les espaces clients et les boutiques.

Vérifiez que :

• Le certificat SSL est actif,
• Le site web se charge via https://,
• Le HTTP est redirigé vers le HTTPS,
• Il n'y a pas d'erreurs de contenu mixte (Mixed Content),
• L'adresse de WordPress et l'adresse du site sont configurées en HTTPS,
• Les formulaires et les pages de connexion sont accessibles de manière sécurisée.

Si un avertissement du navigateur apparaît malgré le SSL, il s'agit souvent d'un problème de contenu mixte.

12. Créer des sauvegardes régulières

Les sauvegardes sont un élément central de toute stratégie de sécurité. Elles n'empêchent pas une attaque, mais elles permettent une restauration en cas de problème.

Une bonne sauvegarde comprend :

• Les fichiers,
• La base de données,
• Les téléchargements (uploads),
• Le thème et les plugins,
• Les fichiers de configuration,
• Pour les boutiques, également les données de commande récentes.

Ne stockez pas les sauvegardes exclusivement sur le même serveur. Une copie externe est particulièrement importante.

13. Utiliser les plugins de sécurité de manière judicieuse

Les plugins de sécurité peuvent apporter une protection supplémentaire à WordPress. Ils ne remplacent cependant pas les mises à jour, les sauvegardes ou une gestion propre des utilisateurs.

Fonctions typiques des plugins de sécurité :

• Règles de pare-feu (Firewall),
• Limitation des connexions,
• A2F,
• Analyses de malwares (Scans),
• Vérification des modifications de fichiers,
• Notifications en cas d'événements suspects,
• Blocage d'adresses IP suspectes,
• Renforcement de certains paramètres WordPress.

Les solutions connues incluent Wordfence, Solid Security ou des plugins similaires. Choisissez un plugin activement maintenu et adapté à votre site web.

14. Explication des menaces courantes

15. Protéger wp-config.php et .htaccess

Les fichiers wp-config.php and .htaccess sont particulièrement sensibles. Ils contiennent des configurations cruciales pour WordPress et le serveur.

Recommandations :

• Ne pas modifier les fichiers inutilement,
• Créer une sauvegarde avant toute modification,
• Ne pas définir des droits d'accès trop permissifs,
• Ne pas publier d'identifiants,
• Documenter les modifications,
• En cas de doute, contacter le support.

Des règles mal configurées dans le fichier .htaccess peuvent rendre votre site web inaccessible.

16. Ne pas définir des droits de fichiers trop ouverts

Des droits de fichiers trop permissifs peuvent constituer un risque de sécurité. Dans WordPress, les fichiers et dossiers ne doivent pas être modifiables inutilement.

La règle générale suivante s'applique souvent :

• Fichiers : 644,
• Dossiers : 755.

Ne définissez pas de droits globaux tels que 777, sauf si un support sérieux le recommande expressément et uniquement de manière temporaire. Des droits 777 permanents sont un risque majeur pour la sécurité.

17. Vérifier les administrateurs inconnus

Vérifiez régulièrement la liste des utilisateurs sous Utilisateurs > Tous les utilisateurs. Des administrateurs inconnus peuvent indiquer une compromission.

Faites attention aux points suivants :

• Comptes d'utilisateurs inconnus,
• Droits d'administrateur inattendus,
• Anciens comptes d'ex-collaborateurs,
• Accès temporaires de prestataires,
• Adresses e-mail inhabituelles,
• Comptes sans but précis.

Ne supprimez pas ou ne réduisez pas les droits à la hâte si vous ne connaissez pas l'origine d'un compte. Vérifiez d'abord s'il est requis par un plugin, un prestataire ou un système d'intégration.

18. Que faire en cas de suspicion de piratage ?

Si votre site web réagit de manière inhabituelle, vous devez agir rapidement. Plus un problème est détecté tôt, meilleures sont les chances d'une restauration propre.

Signes d'alerte :

• Contenus inconnus sur le site web,
• Redirections vers des pages inconnues,
• Avertissements du navigateur ou de Google,
• Nouveaux administrateurs inconnus,
• Fichiers inhabituels sur l'espace d'hébergement,
• Pages de spam dans Google,
• Envoi soudain d'e-mails de spam,
• Problèmes massifs de performances,
• Plugins ou thèmes inconnus.

Si vous suspectez un piratage, ne laissez pas le site web « continuer à tourner tant bien que mal ». Sauvegardez l'état actuel pour analyse, vérifiez les sauvegardes et contactez le support.

19. Éviter les dommages SEO causés par les piratages

Les sites web piratés sont souvent détournés pour du spam, des redirections ou des contenus cachés. Cela peut fortement nuire au classement dans les moteurs de recherche et à la confiance.

Après un nettoyage, vous devez vérifier :

• La Google Search Console,
• Les pages indexées,
• Les URL de spam,
• Le sitemap,
• Les redirections,
• Les méta-titres et descriptions,
• Les fichiers inconnus,
• Les comptes d'utilisateurs,
• L'état des sauvegardes et des mises à jour.

Si Google affiche un avertissement de sécurité, une nouvelle demande d'examen doit être soumise après le nettoyage.

20. GEO : La sécurité comme signal de confiance

La GEO, c'est-à-dire l'optimisation pour les moteurs de recherche génératifs (Generative Engine Optimization), dépend également indirectement de la sécurité. Les systèmes de recherche et de réponse basés sur l'IA privilégient les contenus clairs, accessibles et fiables. Un site compromis peut diffuser de faux contenus, du spam ou des erreurs techniques.

Un site WordPress sécurisé soutient la GEO grâce à :

• Des contenus fiables,
• Une accessibilité stable,
• Une structure de page propre,
• L'absence de contenus de spam cachés,
• Une diffusion technique correcte,
• Une expérience utilisateur de confiance.

21. Erreurs courantes en matière de sécurité WordPress

• Ignorer les mises à jour : Des failles de sécurité connues restent ouvertes.
• Trop d'administrateurs : Le risque lié aux comptes compromis augmente.
• Mots de passe faibles : Les attaques par force brute sont facilitées.
• Identifiant admin : Les attaquants n'ont plus qu'à deviner le mot de passe.
• Plugins piratés (nulled) : Risque élevé de malware.
• Pas de sauvegardes : La restauration devient difficile ou impossible.
• Laisser traîner des plugins désactivés : Une surface d'attaque inutile subsiste.
• Pas d'A2F : La connexion reste insuffisamment protégée.
• Droits de fichiers non sécurisés : Les fichiers peuvent être manipulés plus facilement.
• Ignorer les signes d'alerte : Une petite infection peut se propager.

Liste de contrôle de sécurité recommandée

1. Maintenir WordPress à jour : Actualiser régulièrement le Core, les plugins et les thèmes.
2. Utiliser des mots de passe forts : Utiliser un gestionnaire de mots de passe.
3. Activer l'A2F : En particulier pour les administrateurs.
4. Éviter l'utilisateur admin : Pas d'identifiant de connexion admin.
5. Vérifier les rôles des utilisateurs : Attribuer uniquement les droits nécessaires.
6. Pratiquer l'hygiène des plugins : Supprimer les plugins et thèmes inutiles.
7. Ne pas utiliser de plugins piratés : Utiliser uniquement des sources fiables.
8. Activer le SSL : Utiliser le HTTPS de manière systématique.
9. Créer des sauvegardes : Enregistrer régulièrement et de manière externe.
10. Désactiver l'édition de fichiers : Configurer DISALLOW_FILE_EDIT si approprié.
11. Désactiver la navigation dans les répertoires : Si nécessaire avec Options -Indexes.
12. Vérifier les journaux (logs) et les utilisateurs : Prendre les activités suspectes au sérieux.
13. Utiliser le staging pour les mises à jour : Surtout pour les boutiques et sites complexes.

Foire aux questions sur la sécurité WordPress

WordPress est-il peu sûr ?

WordPress n'est pas intrinsèquement non sécurisé. Les risques proviennent souvent de plugins obsolètes, de mots de passe faibles, de thèmes non sécurisés, d'un excès d'administrateurs ou d'un manque de maintenance.

Quelle est la mesure de sécurité la plus importante ?

Les mises à jour régulières, les mots de passe forts, l'A2F, les sauvegardes et l'hygiène des plugins font partie des bases incontournables.

Dois-je installer un plugin de sécurité ?

Un plugin de sécurité peut être utile, mais il ne remplace pas la maintenance, les mises à jour et les sauvegardes. Choisissez un plugin activement configuré et entretenu avec soin.

Pourquoi devrais-je éviter l'utilisateur admin ?

Parce que cet identifiant est souvent le premier testé lors des attaques de connexion automatisées.

Les plugins désactivés sont-ils dangereux ?

Ils ne sont généralement pas exécutés, mais ils restent présents sous forme de fichiers sur le serveur. Les plugins inutilisés doivent être supprimés.

Que sont les plugins « nulled » ?

Ce sont des copies distribuées illégalement de plugins ou thèmes payants. Ils peuvent contenir du code malveillant et ne doivent jamais être utilisés.

Que signifie force brute ?

Lors d'une attaque par force brute, les bots tentent d'accéder au site en testant un grand nombre de mots de passe.

Que faire en cas de suspicion de piratage ?

Ne modifiez pas les fichiers au hasard. Sécurisez l'état actuel, vérifiez les sauvegardes, notez les anomalies et contactez le support pour une analyse.