Sécuriser WordPress ne signifie pas installer une extension puis oublier le sujet. La sécurité est un processus continu qui associe mises à jour, contrôle des accès, sauvegardes restaurables, surveillance et procédure de reprise. L’objectif réaliste n’est pas le risque zéro, mais un risque réduit et un retour en ligne maîtrisé.
Le guide d’administration avancée de WordPress insiste sur deux idées : réduire les possibilités d’accès non autorisé et préparer la récupération. Un site peut être attaqué par l’intermédiaire d’un composant obsolète, d’un mot de passe compromis, d’un poste de travail infecté ou d’un hébergement mal configuré. Se concentrer uniquement sur la page de connexion laisse de côté une grande partie du problème.
Commencez par un inventaire : version de WordPress, version de PHP, thème actif, extensions actives et inactives, utilisateurs, services externes, sauvegardes et personnes disposant d’un accès serveur. Sans cet état des lieux, on corrige ce qui est visible mais on oublie souvent un ancien compte administrateur ou une extension inactive encore présente sur le disque.
Prévenir
Réduire la surface d’attaque avec des composants maintenus et peu nombreux.
Contrôler
Limiter les privilèges et protéger les comptes les plus sensibles.
Détecter
Surveiller les changements, erreurs, connexions et comportements inhabituels.
Rétablir
Disposer de sauvegardes séparées et d’une procédure de restauration testée.
Maintenir le cœur, les extensions, les thèmes et PHP
Les composants obsolètes constituent une porte d’entrée fréquente. WordPress recommande d’utiliser la dernière branche maintenue et de choisir des thèmes et extensions qui reçoivent encore des mises à jour. Planifiez un contrôle régulier plutôt que d’attendre une longue liste d’alertes. Une mise à jour de sécurité urgente doit être traitée rapidement, tandis qu’une évolution majeure peut être testée en préproduction.
Supprimez les extensions et thèmes inutilisés au lieu de simplement les désactiver. Vérifiez l’origine de chaque archive : répertoire officiel ou éditeur reconnu. Les copies dites « nulled » peuvent contenir du code ajouté et ne reçoivent pas de correctifs fiables. Maintenez également PHP et le système serveur, car la sécurité du site ne s’arrête pas à WordPress.
Protéger les comptes selon leur niveau de risque
Chaque personne doit disposer de son propre compte. Les comptes partagés empêchent de savoir qui a réalisé une action et rendent la révocation difficile. Attribuez le rôle minimal nécessaire : un auteur n’a pas besoin d’installer des extensions, et une personne chargée de répondre aux commentaires ne devrait pas administrer les utilisateurs.
Utilisez des mots de passe uniques générés par un gestionnaire et activez l’authentification à deux facteurs pour les administrateurs. Supprimez rapidement les comptes des anciens intervenants. Protégez aussi l’adresse e-mail liée au compte : si sa messagerie est compromise, l’attaquant peut souvent réinitialiser le mot de passe WordPress.
- Un compte nominatif par personne
- Rôle minimal nécessaire
- Double authentification pour les accès sensibles
- Révision trimestrielle des utilisateurs
- Protection équivalente pour hébergement, domaine et messagerie
Concevoir des sauvegardes réellement utiles
Une sauvegarde doit contenir la base de données et les fichiers nécessaires : médias, extensions, thèmes et configuration. Conservez plusieurs versions, dont au moins une copie dans un emplacement distinct du serveur. Si un attaquant chiffre ou supprime le site et que les sauvegardes sont stockées dans le même espace, elles peuvent disparaître avec lui.
La fréquence dépend de l’activité. Une boutique qui reçoit des commandes ne peut pas accepter la même perte de données qu’un site vitrine modifié une fois par mois. Définissez la quantité de données que vous acceptez de perdre et le délai maximal de remise en ligne. Ces deux objectifs déterminent la cadence et le niveau d’automatisation.
À retenir : Une sauvegarde non testée est une hypothèse. Programmez une restauration sur un environnement isolé et notez le temps, les accès et les étapes réellement nécessaires.
Renforcer l’installation sans recettes magiques
Les permissions de fichiers doivent empêcher des écritures inutiles. Le fichier de configuration contient des informations sensibles et ne doit pas être publiquement accessible. Sur une installation administrée techniquement, la constante DISALLOW_FILE_EDIT peut désactiver l’éditeur de fichiers PHP du tableau de bord et limiter un moyen d’exécuter du code après le vol d’un compte administrateur.
Ces mesures demandent de comprendre l’hébergement. Une règle copiée sans contexte peut casser les mises à jour, les appels AJAX ou les médias. Travaillez à partir de la documentation de l’hébergeur et du guide officiel WordPress, puis testez. Un pare-feu applicatif peut filtrer une partie du trafic malveillant, mais il ne remplace ni les mises à jour ni les mots de passe solides.
Surveiller ce qui change
Conservez les journaux d’accès et d’erreurs suffisamment longtemps pour enquêter. Une hausse soudaine des erreurs, la création d’un administrateur inconnu, une modification de fichiers ou des redirections étranges doivent déclencher un contrôle. Mettez en place une alerte de disponibilité externe : si le site ne répond plus, vous le saurez avant qu’un client ne vous écrive.
La surveillance doit rester proportionnée et respecter la vie privée. Évitez de collecter des données sans finalité. Documentez qui reçoit les alertes et ce qu’il doit faire. Trop de notifications non qualifiées finissent par être ignorées ; quelques signaux fiables et une procédure claire sont plus utiles.
Réagir à un incident sans détruire les preuves
Si vous suspectez une compromission, isolez le site ou activez une page de maintenance au niveau du serveur. Préservez une copie des fichiers et des journaux avant de nettoyer : ils aident à comprendre la porte d’entrée. Changez les accès depuis un poste sain, y compris hébergement, SFTP, base de données, comptes administrateurs et clés d’API.
Restaurer une ancienne sauvegarde ne suffit pas si la vulnérabilité reste présente. Identifiez l’origine, mettez à jour ou remplacez le composant, contrôlez les utilisateurs, les tâches planifiées et les fichiers ajoutés. Selon les données concernées, évaluez les obligations d’information ou de notification avec une personne compétente.
- Isoler et conserver les éléments utiles à l’analyse
- Révoquer et renouveler les accès sensibles
- Identifier la cause avant la remise en ligne
- Restaurer depuis une version saine
- Mettre à jour, contrôler puis surveiller renforcé
Mettre la sécurité dans un calendrier
Chaque semaine, contrôlez les mises à jour et les alertes. Chaque mois, vérifiez une sauvegarde, les comptes administrateurs et les services externes. Chaque trimestre, réalisez une restauration de test et supprimez les composants inutiles. Après tout changement important, mettez à jour la documentation et les contacts d’urgence.
Cette discipline est plus efficace qu’une intervention annuelle. Elle peut être confiée à un prestataire, mais le propriétaire du site doit savoir où se trouvent le domaine, les sauvegardes et les accès. Notre guide pour mettre à jour WordPress sans casser le site complète ce plan opérationnel.
Questions fréquentes
WordPress est-il moins sécurisé qu’un autre CMS ?
La sécurité dépend du logiciel, de son maintien, de l’hébergement et des pratiques. La popularité de WordPress attire des attaques automatisées, mais son équipe publie aussi des correctifs. Un site à jour et administré sérieusement n’est pas comparable à une installation abandonnée.
Une extension de sécurité suffit-elle ?
Non. Elle peut apporter pare-feu, alertes ou limitation de tentatives, mais ne corrige pas un composant abandonné, un mot de passe réutilisé ou l’absence de sauvegarde.
Combien de sauvegardes faut-il conserver ?
Conservez plusieurs générations selon l’activité et le temps de détection possible. Une copie récente, plusieurs copies plus anciennes et au moins un stockage séparé constituent une base plus robuste qu’un fichier unique.
Sources et ressources officielles
- Sécurité WordPress, manuel d’administration avancée
- Durcissement de WordPress
- Versions WordPress officiellement prises en charge
Ces recommandations doivent être adaptées à votre hébergement, à vos extensions et aux obligations propres à votre activité. Pour aller plus loin, consultez les tutoriels WordPress MaPage Online ou découvrez nos solutions d’hébergement et d’accompagnement.