Un site WordPress peut être bien conçu, rapide et utile… tout en laissant une porte entrouverte aux pirates informatiques. Et cette porte n’est pas toujours un mot de passe évident : une extension oubliée, une sauvegarde inaccessible ou un compte d’administration trop permissif peut suffire. La bonne nouvelle, c’est qu’il n’est pas nécessaire d’être expert en cybersécurité pour réduire fortement les risques.
Protéger son site repose sur plusieurs mesures complémentaires. Aucune ne garantit une sécurité absolue, mais leur combinaison complique sérieusement la tâche des personnes malveillantes. Voici comment renforcer WordPress, étape par étape, sans transformer la gestion de votre site en parcours du combattant.
Pourquoi les sites WordPress sont-ils ciblés ?
WordPress est utilisé par un très grand nombre de sites. Cette popularité en fait une cible intéressante, mais elle ne signifie pas que le système est intrinsèquement dangereux. Les attaques sont souvent automatisées : des programmes parcourent le Web à la recherche de failles connues, de comptes mal protégés ou de composants qui n’ont pas été mis à jour.
Un pirate informatique ne s’intéresse pas nécessairement à votre entreprise en particulier. Il peut chercher à envoyer des courriels indésirables depuis votre serveur, à installer un logiciel malveillant, à détourner des visiteurs vers une fausse page ou à exploiter les ressources de votre hébergement. Un petit site vitrine peut donc être visé autant qu’une grande boutique en ligne. Les robots, eux, ne font pas de distinction entre une marque célèbre et le site du club de pétanque local.
La plupart des problèmes viennent de quelques causes récurrentes : mots de passe faibles, logiciels vieillissants, extensions douteuses, comptes inutilisés et absence de sauvegardes. S’attaquer à ces points réduit déjà considérablement les risques.
Maintenez WordPress et ses composants à jour
Les mises à jour ne servent pas seulement à ajouter de nouvelles fonctions. Elles corrigent aussi des failles de sécurité. Il faut donc maintenir à jour le cœur de WordPress, les extensions et les thèmes, y compris ceux qui ne sont pas activement utilisés.
Avant une mise à jour importante, vérifiez qu’une sauvegarde récente existe. Sur un site qui génère des ventes ou reçoit des réservations, testez si possible les changements sur une copie de préproduction. Une mise à jour appliquée sans précaution peut occasionner un conflit ; une mise à jour ignorée peut laisser une faille connue ouverte. L’objectif est de trouver le bon équilibre, pas de cliquer sur tous les boutons à l’aveugle.
- Activez les mises à jour automatiques lorsque c’est adapté à votre site.
- Vérifiez régulièrement les alertes dans le tableau de bord WordPress.
- Supprimez les thèmes et extensions inutilisés, au lieu de simplement les désactiver.
- Évitez les extensions abandonnées ou dont l’origine est incertaine.
Une extension qui promet gratuitement des fonctions normalement payantes peut sembler tentante. Mais un fichier obtenu sur un site douteux peut contenir du code malveillant. Téléchargez vos extensions depuis le répertoire officiel de WordPress ou auprès d’un éditeur reconnu.
Choisissez des mots de passe solides et protégez les comptes
« admin123 » n’est pas un mot de passe : c’est une invitation avec une jolie poignée de porte. Utilisez une phrase de passe longue, unique et difficile à deviner pour chaque compte important. Un gestionnaire de mots de passe peut en créer et en mémoriser pour vous.
Évitez les identifiants évidents comme « admin » et ne partagez jamais un compte entre plusieurs personnes. Créez un compte distinct pour chaque membre de l’équipe : vous pourrez ainsi retirer les accès d’une personne sans changer le mot de passe de tout le monde. Attribuez à chaque utilisateur uniquement les droits nécessaires à son travail. Une personne qui rédige des articles n’a pas besoin d’un accès complet à l’administration.
Activez également la vérification en deux étapes sur les comptes d’administration. Après la saisie du mot de passe, une seconde preuve d’identité est demandée, par exemple un code temporaire. Même si un mot de passe est dérobé, cette mesure peut empêcher une connexion non autorisée. Pensez aussi à supprimer rapidement les comptes qui ne sont plus utilisés et à revoir les droits lors d’un changement d’équipe.
Renforcez l’accès à l’administration
La page de connexion WordPress est connue et souvent testée par des robots. Renforcer sa protection peut limiter les tentatives répétées, mais changer son adresse ne remplace jamais un bon mot de passe ou la vérification en deux étapes.
Vous pouvez limiter le nombre d’essais de connexion, demander une confirmation supplémentaire ou restreindre l’accès à l’administration à certaines adresses réseau, si votre hébergeur et votre organisation le permettent. Ces mesures sont particulièrement utiles lorsque seules quelques personnes gèrent le site depuis des lieux fixes.
Ne partagez pas vos accès par courriel non protégé ou dans une conversation de groupe. Si un prestataire doit intervenir, créez-lui un compte nominatif avec les droits nécessaires, puis désactivez-le à la fin de sa mission. C’est plus simple à suivre qu’un mot de passe transmis à toute la planète numérique.
Installez une protection adaptée, sans empiler les outils
Une extension de sécurité peut surveiller les fichiers, repérer certains logiciels malveillants, limiter les connexions suspectes ou bloquer des demandes anormales. Elle constitue une couche de défense utile, à condition d’être maintenue et correctement configurée.
Avant d’installer un outil, vérifiez sa réputation, la fréquence de ses mises à jour, sa compatibilité avec votre version de WordPress et les avis récents. Évitez d’installer plusieurs extensions qui remplissent exactement la même fonction : elles peuvent ralentir le site, générer des conflits ou rendre les alertes difficiles à interpréter. Une seule solution bien suivie vaut mieux qu’une collection d’outils oubliés dans un coin du tableau de bord.
Un pare-feu applicatif peut filtrer une partie des requêtes malveillantes avant qu’elles n’atteignent votre site. Certains hébergeurs proposent cette protection directement. Demandez quelles mesures sont incluses : filtrage des attaques, surveillance des connexions, isolation des comptes ou intervention en cas d’incident. La sécurité dépend aussi de l’infrastructure, pas uniquement de WordPress.
Choisissez un hébergement fiable et utilisez le chiffrement
Un hébergement de qualité contribue à la sécurité grâce à des serveurs maintenus, une surveillance technique et une gestion sérieuse des comptes. À l’inverse, un environnement mal isolé peut exposer un site aux problèmes causés par d’autres sites présents sur le même serveur. Pour un projet professionnel, demandez à votre hébergeur comment sont gérés les mises à jour, les sauvegardes et les incidents de sécurité.
Assurez-vous que votre site utilise le protocole HTTPS, reconnaissable au cadenas affiché par le navigateur. Il chiffre les échanges entre le site et ses visiteurs, notamment lors de la connexion ou du paiement. Un certificat de chiffrement ne bloque pas toutes les attaques, mais il protège les données qui circulent. Après son installation, vérifiez que les pages et les ressources du site se chargent correctement en HTTPS.
Les accès à l’hébergement et à la base de données doivent eux aussi être protégés avec des mots de passe uniques. Ne conservez pas ces informations dans un fichier public ou dans le code du site. Si vous ne savez pas où elles sont stockées, demandez conseil à votre hébergeur ou à la personne qui assure la maintenance.
Organisez des sauvegardes réellement utilisables
Une sauvegarde n’est utile que si elle est récente, complète et récupérable. Elle doit inclure les fichiers du site et la base de données, qui contient notamment les pages, les réglages et les informations publiées. Conservez plusieurs versions et, si possible, une copie dans un emplacement distinct de votre hébergement. Si le serveur rencontre un problème, une sauvegarde stockée uniquement sur ce serveur risque de partir en vacances avec lui.
La fréquence dépend de l’activité du site. Un blogue mis à jour une fois par mois n’a pas les mêmes besoins qu’une boutique qui enregistre des commandes toute la journée. Dans tous les cas, vérifiez les rapports de sauvegarde et testez périodiquement la restauration sur une copie du site. Une sauvegarde que personne n’a jamais essayé de restaurer reste une promesse, pas un plan de secours.
- Conservez plusieurs versions afin de pouvoir revenir à un état antérieur.
- Stockez au moins une copie en dehors de l’hébergement principal.
- Protégez l’accès aux sauvegardes, qui peuvent contenir des données sensibles.
- Notez la procédure de restauration et les coordonnées de la personne responsable.
Réduisez les informations exposées
La sécurité consiste aussi à éviter de publier des informations inutiles. Retirez les comptes de test, les anciennes copies du site et les fichiers d’installation qui ne servent plus. Vérifiez également les comptes d’administration et les adresses électroniques visibles dans les pages publiques.
Attribuez un nom de compte difficile à deviner et choisissez un nom d’affichage public différent si votre identifiant de connexion apparaît sur les articles. Cette précaution ne suffit pas à protéger un compte, mais elle prive les robots d’une information facile à exploiter. Évitez aussi de publier des renseignements techniques qui faciliteraient inutilement l’identification de votre installation.
Pour les fichiers transférés sur le site, limitez les formats autorisés aux besoins réels. Un formulaire qui accepte n’importe quel type de fichier peut devenir une porte d’entrée. Si vous utilisez des formulaires de contact ou de téléversement, assurez-vous qu’ils sont entretenus et protégés contre les envois abusifs.
Surveillez les signes d’une activité suspecte
Une page qui se comporte bizarrement, un compte administrateur apparu sans explication, des redirections inconnues ou une hausse soudaine de courriels envoyés sont des signaux à prendre au sérieux. Consultez régulièrement les alertes de votre extension de sécurité et de votre hébergeur. La surveillance n’a pas besoin d’être obsessionnelle : quelques vérifications planifiées valent mieux qu’une découverte faite par un client.
Si vous suspectez une intrusion, évitez de supprimer des fichiers au hasard. Changez les mots de passe concernés depuis un appareil sain, prévenez votre hébergeur et faites examiner le site par une personne compétente. Selon la situation, il faudra restaurer une sauvegarde propre, mettre à jour les composants, vérifier les comptes et rechercher la cause de l’intrusion. Restaurer le site sans corriger la faille revient à remettre une serrure neuve sur une porte déjà ouverte.
Un site WordPress bien protégé n’est pas le résultat d’un réglage magique. C’est une routine : mises à jour, accès maîtrisés, sauvegardes testées, outils choisis avec soin et hébergement fiable. Commencez par les mesures les plus simples aujourd’hui. Elles demandent moins de temps qu’une remise en état après incident, et elles vous permettront de consacrer davantage d’énergie à ce que votre site est censé faire : aider vos visiteurs, pas accueillir des intrus.