Comment sécuriser un site WordPress ?

WordPress est un CMS, c'est-à-dire un logiciel qui permet de gérer le contenu d'un site sans écrire de code. Sa très large diffusion en fait une cible de choix pour les robots, qui testent en permanence les failles connues sur un très grand nombre de sites. Le cœur du logiciel est activement maintenu : une grande part du risque vient de ce qu'on y ajoute et de la façon dont on l'administre. Voici les mesures à mettre en place, de la plus simple à la plus technique.

1. Tenir tout à jour

Une faille corrigée est publiée avec son correctif. À partir de là, les sites qui n'ont pas fait la mise à jour deviennent des cibles faciles.

• Le cœur : WordPress applique par défaut les mises à jour mineures de maintenance et de sécurité. Les versions majeures demandent une action.
• Les extensions et le thème : vérifiez-les chaque semaine, ou activez les mises à jour automatiques pour les composants simples et fiables.
• La version de PHP, le langage qui fait tourner WordPress : elle doit rester dans une version encore maintenue par ses développeurs.
• La méthode : sauvegarde avant chaque mise à jour importante, et test sur une copie du site pour les changements majeurs.

2. Réduire ce qui est installé

• Supprimez les extensions et thèmes inutilisés. Une extension désactivée laisse ses fichiers sur le serveur.
• Choisissez des extensions maintenues : date de dernière mise à jour, compatibilité avec votre version de WordPress, réactivité de l'éditeur.
• N'installez jamais de version piratée d'un thème ou d'une extension payants. Ces copies gratuites contiennent souvent du code malveillant et ne reçoivent aucune mise à jour.
• Remplacez les extensions abandonnées par une alternative maintenue ou par un développement propre.

3. Protéger les comptes

Pensez aussi à XML-RPC, une ancienne interface de connexion à distance. Si aucun outil ne l'utilise, désactivez-la : elle permet de tester des mots de passe en grand nombre.

4. Durcir la configuration

• désactivez l'éditeur de fichiers intégré à l'administration en ajoutant define('DISALLOW_FILE_EDIT', true); dans le fichier wp-config.php : un attaquant connecté ne pourra plus modifier le code depuis le tableau de bord ;
• protégez wp-config.php, qui contient les accès à la base de données, et appliquez des droits de fichiers restrictifs ;
• n'affichez pas les messages d'erreur techniques en production ;
• servez tout le site en HTTPS et ajoutez des en-têtes de sécurité ;
• interdisez l'exécution de scripts dans le dossier des médias envoyés.

5. Sauvegarder et surveiller

• sauvegardez automatiquement les fichiers et la base de données, avec une copie stockée hors du serveur, selon la logique de la sauvegarde 3-2-1 ;
• testez régulièrement une restauration complète ;
• surveillez les modifications de fichiers, la création de comptes et les connexions administrateurs ;
• suivez la disponibilité du site et les alertes de sécurité de Google Search Console.

6. Choisir un hébergement adapté

L'hébergement fait partie de la sécurité. Vérifiez que votre hébergeur propose des versions de PHP et de base de données maintenues, isole les sites entre eux pour qu'un voisin compromis ne contamine pas le vôtre, et filtre les requêtes malveillantes grâce à un pare-feu applicatif. Ce filtre analyse le trafic avant qu'il n'atteigne le site. Des sauvegardes côté hébergeur complètent les vôtres, sans les remplacer.

Si le site présente des signes anormaux, comme des redirections, des pages inconnues ou un nouvel administrateur, traitez-le comme un site piraté : isolez-le, conservez les traces, puis restaurez une version saine. Pour confier ce suivi, voyez la maintenance de site internet proposée par NexSecure.