Sécuriser un site WordPress professionnel : la checklist essentielle

Un site WordPress professionnel est à la fois une vitrine commerciale, un canal de prise de contact et parfois un point d’entrée vers des données sensibles. Sa sécurité ne doit donc pas reposer uniquement sur l’installation d’un plugin.

L’objectif n’est pas de promettre un site invulnérable, mais de réduire les risques, de détecter rapidement les comportements suspects et de pouvoir restaurer le service en cas d’incident.

Pourquoi les sites WordPress sont-ils régulièrement attaqués ?

La majorité des attaques ne ciblent pas une entreprise en particulier. Des outils automatisés analysent continuellement Internet à la recherche de sites utilisant une extension vulnérable, une version obsolète ou des identifiants trop faciles à deviner.

Un site compromis peut notamment être utilisé pour :

• diffuser du contenu frauduleux ;
• rediriger les visiteurs vers des pages malveillantes ;
• envoyer des courriers indésirables ;
• récupérer des informations transmises par les formulaires ;
• dégrader le référencement naturel du domaine ;
• servir de relais pour mener d’autres attaques.

La taille de l’entreprise ne constitue donc pas une protection. Les TPE et PME sont également concernées, car les attaques automatisées recherchent avant tout les systèmes les plus simples à compromettre.

Maintenir WordPress, les extensions et le thème à jour

Les mises à jour corrigent des dysfonctionnements, mais également des vulnérabilités de sécurité. WordPress, le thème et les extensions doivent être surveillés régulièrement.

Avant chaque mise à jour importante, il est recommandé de disposer d’une sauvegarde récente et de vérifier la compatibilité des différents composants. Les extensions inutilisées doivent être supprimées, même lorsqu’elles sont désactivées.

Il faut également vérifier la version de PHP utilisée par l’hébergement. Une version qui n’est plus maintenue ne reçoit plus les correctifs de sécurité nécessaires et peut aussi dégrader les performances du site.

WordPress rappelle dans sa documentation officielle sur le durcissement que la sécurité repose sur plusieurs couches complémentaires : mises à jour, permissions, sauvegardes, journalisation et surveillance.

Renforcer la sécurité des comptes administrateurs

Un mot de passe complexe ne suffit pas toujours. Chaque administrateur doit utiliser un compte personnel, protégé par un mot de passe unique et par une authentification multifacteur.

Les comptes inutilisés ou appartenant à d’anciens prestataires doivent être supprimés. Les droits doivent également être adaptés aux besoins réels : une personne chargée de publier des articles n’a pas nécessairement besoin d’un accès administrateur complet.

Cette organisation facilite aussi la traçabilité. Lorsqu’un compte est partagé entre plusieurs personnes, il devient beaucoup plus difficile de déterminer l’origine d’une modification ou d’une action suspecte.

Utiliser un pare-feu applicatif et une protection adaptée

Une solution de sécurité comme Wordfence peut apporter plusieurs fonctions utiles :

• blocage de certaines tentatives de connexion ;
• analyse des fichiers du site ;
• détection de modifications suspectes ;
• filtrage d’adresses IP malveillantes ;
• protection contre certaines attaques automatisées.

Cependant, aucun plugin ne peut sécuriser à lui seul un site mal configuré, un hébergement obsolète ou des comptes insuffisamment protégés. Le pare-feu applicatif doit s’intégrer dans une stratégie plus large comprenant les mises à jour, les sauvegardes et la supervision.

Les alertes doivent également être paramétrées avec soin. Trop de notifications finissent souvent par être ignorées, tandis qu’une sélection pertinente permet d’identifier plus rapidement une anomalie réelle.

Sécuriser l’hébergement et les accès techniques

La sécurité du site dépend aussi de son environnement d’hébergement. Le serveur doit utiliser des versions maintenues de PHP, du système d’exploitation et des services associés.

Les accès FTP non chiffrés doivent être remplacés par des protocoles sécurisés comme SFTP. Les permissions appliquées aux fichiers doivent limiter les possibilités de modification et l’éditeur de fichiers intégré à WordPress peut être désactivé lorsqu’il n’est pas nécessaire.

Le certificat HTTPS doit être valide sur l’ensemble du site. Il protège les échanges entre le navigateur et le serveur, notamment lors de l’envoi d’un formulaire de contact.

Protéger les formulaires et limiter les données collectées

Les formulaires sont fréquemment ciblés par des robots qui tentent d’envoyer du spam ou d’exploiter une mauvaise configuration.

Une protection antispam ou un CAPTCHA peut limiter ces abus. Elle doit néanmoins être accompagnée de contrôles côté serveur, car une vérification uniquement réalisée dans le navigateur peut être contournée.

Il est également préférable de ne demander que les informations réellement nécessaires. Les données reçues doivent être envoyées vers une messagerie professionnelle correctement sécurisée et ne doivent pas rester stockées indéfiniment dans WordPress sans raison.

Mettre en place des sauvegardes réellement exploitables

Une sauvegarde n’est utile que si elle peut être restaurée. Les fichiers du site et sa base de données doivent être sauvegardés régulièrement sur un emplacement distinct de l’hébergement principal.

Une stratégie efficace prévoit :

• plusieurs versions conservées ;
• une copie externalisée ;
• une surveillance des sauvegardes ;
• des tests réguliers de restauration ;
• une durée de conservation adaptée à l’activité.

Conserver uniquement une sauvegarde sur le même serveur que le site crée un faux sentiment de sécurité. En cas de panne, de chiffrement ou de compromission de l’hébergement, la sauvegarde pourrait devenir inaccessible en même temps que le site.

Surveiller le site et préparer la réaction à un incident

La surveillance permet de détecter une indisponibilité, une modification inattendue, une hausse anormale du trafic ou l’apparition de fichiers suspects.

Les journaux de connexion et d’administration peuvent aider à comprendre l’origine d’un incident. Leur conservation doit être suffisante pour mener une analyse, tout en respectant les règles applicables aux données personnelles.

Il est également utile de préparer une procédure simple indiquant :

• qui contacter ;
• comment isoler le site ;
• comment préserver les éléments nécessaires à l’analyse ;
• comment restaurer une version saine ;
• comment renouveler les accès compromis ;
• comment informer les personnes concernées si nécessaire.

La rapidité de réaction dépend souvent davantage de cette préparation que de l’outil de sécurité utilisé.

La sécurité du site doit s’intégrer à celle de l’entreprise

Un site internet n’est qu’un composant du système d’information. Une boîte mail compromise, un poste infecté ou un compte administrateur mal protégé peut également permettre à un attaquant d’accéder au site.

La sécurisation doit donc prendre en compte les postes de travail, les identités, Microsoft 365, la messagerie, les sauvegardes et les procédures internes.

Cybeary accompagne les entreprises dans l’évaluation de leur exposition cyber, la priorisation des actions et la mise en place d’une protection managée.

Votre site WordPress est-il suffisamment protégé ?

Quelques vérifications permettent déjà d’identifier les principaux points de vigilance : versions utilisées, comptes administrateurs, authentification multifacteur, extensions installées, sauvegardes et capacité de restauration.

Pour obtenir une vision plus complète, Cybeary peut également analyser la sécurité du site dans le contexte global de votre entreprise.