WordPress est très répandu, ce qui en fait aussi une cible fréquente pour les tentatives d’intrusion automatisées. Bonne nouvelle : l’essentiel de la protection repose sur quelques habitudes simples, tenues dans la durée. Voici une check-list pratique, alignée sur la documentation officielle de WordPress.
1. Tenir le site à jour
Les mises à jour corrigent les failles connues. WordPress recommande d’utiliser la dernière version et propose des mises à jour automatiques.
- Activez les mises à jour automatiques du cœur si votre hébergement le permet.
- Mettez à jour extensions et thèmes régulièrement, idéalement après une sauvegarde.
- Vérifiez que votre hébergeur utilise une version de PHP encore maintenue.
2. Mots de passe solides et double authentification
- Un mot de passe long et généré aléatoirement pour chaque compte, conservé dans un gestionnaire de mots de passe.
- La double authentification pour tous les comptes administrateurs.
- Le rôle « Administrateur » réservé à ceux qui en ont vraiment besoin, et la suppression des comptes inutilisés.
3. N’installer que des extensions et thèmes de confiance
La documentation officielle conseille de s’en tenir au répertoire WordPress.org ou à des éditeurs reconnus. Les versions « gratuites » d’extensions payantes trouvées sur des sites inconnus (dites nulled) sont à proscrire : elles peuvent contenir du code caché.
- Supprimez les extensions et thèmes inutilisés au lieu de simplement les désactiver.
- Avant d’installer une extension, vérifiez sa date de dernière mise à jour et sa compatibilité.
4. Des sauvegardes… et des restaurations testées
La sauvegarde est votre plan de secours. Elle doit couvrir les fichiers et la base de données, et être stockée ailleurs que sur le serveur du site.
- Fixez une fréquence adaptée au rythme de vos modifications (quotidienne, hebdomadaire…).
- Testez de temps en temps une restauration dans un environnement de test : une sauvegarde jamais restaurée reste une hypothèse.
5. Des réglages qui réduisent la surface d’attaque
- Désactivez l’éditeur de fichiers du tableau de bord en ajoutant
define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php.
- Servez tout le site en HTTPS et préférez SFTP à FTP pour transférer des fichiers.
- Limitez les droits d’écriture aux seuls dossiers qui en ont besoin (comme
uploads).
- Donnez à l’utilisateur de la base de données uniquement les privilèges nécessaires.
6. Surveiller et se préparer
- Surveillez l’apparition de comptes administrateurs inconnus et de fichiers modifiés sans raison.
- Utilisez les outils d’analyse proposés par votre hébergeur s’il en fournit.
- Préparez un plan simple : qui contacter, où sont les sauvegardes, comment changer rapidement les mots de passe.
Si vous soupçonnez un piratage
- Ne supprimez pas tout dans la précipitation : conservez une copie de l’état actuel pour l’analyse.
- Changez les mots de passe de l’hébergement, de WordPress et de la base de données.
- Contactez le support de votre hébergeur et faites appel à un spécialiste si nécessaire.
- Après le nettoyage, surveillez le site pendant plusieurs jours pour vérifier que le problème ne revient pas.
En résumé
Aucun site n’est invulnérable, mais des mises à jour régulières, des mots de passe solides avec double authentification, des extensions de confiance et des sauvegardes testées réduisent fortement les risques. Pour faire relire la configuration de votre site, contactez-moi.
Sources
