WordPress propulse une grande partie du Web. Cette popularité en fait une cible de choix pour les cybercriminels : une faille sur un site peut servir à voler des données, envoyer des courriels indésirables ou afficher une page douteuse à vos visiteurs. La bonne nouvelle, c’est qu’il n’est pas nécessaire d’être expert en cybersécurité pour réduire fortement les risques. Quelques habitudes simples et régulières font déjà une vraie différence.
La sécurité n’est toutefois pas un bouton magique à activer une fois pour toutes. Elle repose sur plusieurs couches : des mises à jour suivies, des accès bien protégés, des sauvegardes fiables et un hébergement correctement configuré. Voyons comment les mettre en place sans transformer la gestion de votre site en parcours du combattant.
Pourquoi les sites WordPress sont-ils ciblés ?
Les pirates ne s’intéressent pas uniquement aux grandes entreprises ou aux boutiques qui brassent des millions. Ils recherchent souvent des sites vulnérables, peu importe leur taille. Des robots parcourent automatiquement le Web à la recherche de logiciels périmés, de mots de passe faciles à deviner ou de fichiers mal protégés. Votre site peut donc être visé sans que personne ne vous connaisse.
Un site compromis peut être détourné de plusieurs façons : ajout de liens vers des sites frauduleux, installation de logiciels malveillants, récupération de renseignements personnels ou utilisation de votre serveur pour envoyer des courriels indésirables. Parfois, le problème est visible immédiatement. Parfois, il se cache dans les coulisses et nuit progressivement à votre réputation ou à votre référencement.
Dans bien des cas, l’attaque ne commence pas par une technique spectaculaire. Elle profite d’une extension oubliée, d’un compte partagé par toute l’équipe ou d’une sauvegarde qui n’a jamais été testée. La sécurité commence donc par les détails — ceux qu’on remet facilement à demain.
Gardez WordPress, les thèmes et les extensions à jour
Les mises à jour ne servent pas seulement à ajouter des fonctions ou à modifier l’apparence d’un tableau de bord. Elles corrigent aussi des failles de sécurité. Lorsqu’une vulnérabilité est rendue publique, les pirates peuvent rapidement chercher les sites qui n’ont pas installé le correctif correspondant.
Maintenez à jour le cœur de WordPress, votre thème et toutes vos extensions. Avant une mise à jour importante, vérifiez que votre hébergeur effectue une sauvegarde récente. Sur un site essentiel à votre activité, il est prudent de tester les changements sur une copie de travail avant de les appliquer au site principal.
- Supprimez les extensions et les thèmes que vous n’utilisez plus. Désactivés, ils restent parfois présents sur le serveur et peuvent toujours représenter un risque.
- Téléchargez vos extensions depuis une source fiable et vérifiez la date de leur dernière mise à jour.
- Évitez d’installer plusieurs extensions qui remplissent exactement la même fonction. Plus il y en a, plus la maintenance se complique.
- Activez les mises à jour automatiques lorsque cela convient à votre site, puis vérifiez régulièrement que tout fonctionne correctement.
Une extension gratuite n’est pas nécessairement dangereuse, pas plus qu’une extension payante n’est automatiquement sûre. Ce qui compte, c’est sa provenance, son suivi et sa compatibilité avec votre installation. Une extension abandonnée par son auteur mérite une attention particulière : si personne ne corrige ses failles, votre site pourrait rester exposé.
Protégez les comptes et les mots de passe
Le compte administrateur donne accès aux réglages les plus sensibles de votre site. Il doit être protégé comme la clé de votre bureau — et non laissé sous le paillasson numérique. Choisissez un mot de passe long, unique et difficile à deviner. N’utilisez pas le même mot de passe sur votre messagerie, votre espace d’hébergement et WordPress.
Un gestionnaire de mots de passe peut créer et conserver des identifiants robustes. Activez également la vérification en deux étapes : après avoir saisi votre mot de passe, vous confirmez votre identité à l’aide d’un code ou d’une application dédiée. Si un mot de passe est dérobé, cette seconde protection complique considérablement l’accès au compte.
- Attribuez à chaque personne un compte individuel. Un compte partagé rend difficile de savoir qui a effectué une modification.
- Accordez uniquement les droits nécessaires à chaque utilisateur. Un rédacteur n’a pas besoin des mêmes pouvoirs qu’un administrateur.
- Supprimez ou désactivez rapidement les comptes des personnes qui n’ont plus accès au site.
- Évitez les noms d’utilisateur évidents et renouvelez les accès lorsqu’un collaborateur quitte votre équipe.
Les attaques par essais répétés tentent de deviner un mot de passe en multipliant les combinaisons. Une limitation du nombre de tentatives de connexion peut ralentir ces robots. Cette mesure ne remplace pas un bon mot de passe, mais elle ajoute un obstacle utile.
Choisissez un hébergement adapté et activez le certificat de sécurité
La sécurité de WordPress dépend aussi de l’environnement qui l’héberge. Un hébergeur sérieux protège ses serveurs, surveille les menaces et propose des outils de sauvegarde. Il peut également faciliter la restauration du site et vous prévenir en cas d’activité inhabituelle. Ces services ne dispensent pas de sécuriser votre installation, mais ils constituent une base importante.
Vérifiez que votre offre comprend un certificat de sécurité, des sauvegardes régulières et une version de PHP maintenue. Le certificat permet d’utiliser le protocole HTTPS, reconnaissable au cadenas affiché dans le navigateur. Il chiffre les échanges entre le site et ses visiteurs, notamment lorsqu’ils transmettent des données. Le cadenas ne garantit pas, à lui seul, qu’un site est sans danger, mais son absence est un problème à corriger.
Demandez aussi comment les sauvegardes sont conservées : à quelle fréquence sont-elles réalisées, combien de temps restent-elles disponibles et pouvez-vous les restaurer sans intervention complexe ? Une sauvegarde stockée uniquement au même endroit que le site peut disparaître avec lui en cas de panne grave. Pour un site important, conserver une copie distincte est une précaution judicieuse.
Installez une protection sans alourdir votre site
Des extensions de sécurité peuvent surveiller les fichiers, bloquer certaines connexions suspectes et signaler des modifications inattendues. Elles sont utiles, mais ne font pas de miracles. Installer plusieurs outils qui analysent la même chose peut consommer des ressources, créer des conflits et ralentir les pages. Choisissez une solution reconnue, configurez-la correctement et vérifiez régulièrement ses alertes.
Vous pouvez aussi réduire les risques en limitant les accès inutiles. Si votre hébergeur propose un pare-feu applicatif, renseignez-vous sur son activation. Un pare-feu filtre certaines requêtes avant qu’elles n’atteignent votre site. Selon votre configuration, il est également possible de restreindre l’accès à certaines pages d’administration ou d’autoriser uniquement les connexions nécessaires.
Ne modifiez toutefois pas des fichiers système au hasard en suivant une instruction trouvée sur un forum. Une règle mal rédigée peut rendre votre site inaccessible. Avant toute modification technique, effectuez une sauvegarde et assurez-vous de comprendre comment revenir en arrière.
Faites des sauvegardes et vérifiez qu’elles fonctionnent
Une sauvegarde n’empêche pas une attaque, mais elle peut transformer une crise en incident gérable. Elle vous permet de restaurer une version saine de votre site après une erreur de manipulation, une panne ou une intrusion. Encore faut-il qu’elle soit récente, complète et récupérable.
Déterminez la fréquence des sauvegardes selon l’activité de votre site. Un blogue mis à jour une fois par mois n’a pas les mêmes besoins qu’une boutique qui reçoit des commandes chaque jour. Dans ce dernier cas, une sauvegarde quotidienne, voire plus fréquente, peut être nécessaire afin de ne pas perdre les nouvelles commandes ou les changements apportés au catalogue.
- Sauvegardez les fichiers du site et sa base de données : les deux sont nécessaires pour une restauration complète.
- Conservez au moins une copie dans un emplacement distinct du serveur principal.
- Testez la restauration de temps en temps sur un environnement de travail, sans remplacer votre site en ligne.
- Notez la procédure de récupération et les coordonnées de l’assistance de votre hébergeur.
Une sauvegarde jamais testée ressemble à un parachute dont personne n’a vérifié les sangles. Il est rassurant de savoir qu’elle existe ; il est plus rassurant encore de savoir qu’elle fonctionne.
Surveillez votre site et repérez les signes d’alerte
Un site piraté ne se manifeste pas toujours par une page entièrement remplacée. Les signes peuvent être plus discrets : comptes inconnus, fichiers modifiés sans raison, redirections inattendues, lenteur soudaine ou alertes de sécurité envoyées par votre hébergeur. Des visiteurs peuvent aussi vous signaler des fenêtres inhabituelles ou des pages qu’ils n’arrivent plus à consulter.
Consultez régulièrement les comptes utilisateurs, les extensions installées et les notifications de votre tableau de bord. Contrôlez également les messages envoyés par votre hébergeur et par les outils de suivi de votre site. Une hausse brutale des erreurs ou une activité inhabituelle mérite une vérification rapide.
Si vous soupçonnez une intrusion, évitez de supprimer des fichiers au hasard : vous pourriez effacer des éléments nécessaires à l’enquête ou à la restauration. Changez les mots de passe concernés depuis un appareil sûr, demandez conseil à votre hébergeur ou à un spécialiste, puis restaurez une copie propre si nécessaire. Une fois le site rétabli, corrigez la cause de l’incident. Sinon, la même porte restera ouverte.
Préparez un plan simple pour réagir
En cas d’attaque, les décisions prises dans la précipitation coûtent souvent plus cher que l’incident lui-même. Préparez quelques consignes à l’avance : qui contacter, où trouver les sauvegardes, comment changer les accès et qui peut communiquer avec vos clients si des données sont concernées. Même une petite équipe gagne à savoir qui prend les décisions.
Si des renseignements personnels ont pu être consultés ou dérobés, ne minimisez pas la situation. Évaluez les données touchées et les obligations qui s’appliquent à votre organisation. Selon la nature de l’incident, il peut être nécessaire d’informer les personnes concernées ou les autorités compétentes. En cas de doute, demandez conseil à un professionnel.
Sécuriser WordPress ne demande pas de surveiller son site à chaque minute. Il s’agit plutôt de construire une routine réaliste : appliquer les mises à jour, contrôler les accès, conserver des sauvegardes distinctes et savoir où demander de l’aide. Commencez par ces gestes, puis améliorez progressivement votre protection. Votre site sera moins facile à prendre pour cible — et vous pourrez consacrer davantage de temps à ce qu’il est censé faire : servir vos visiteurs.