Un site WordPress piraté, ce n’est pas seulement une page d’accueil remplacée par un message étrange. C’est parfois une boutique qui redirige ses clients vers un site douteux, un formulaire qui siphonne des données ou un serveur utilisé à votre insu pour envoyer des courriels indésirables. Et le plus embêtant ? Une attaque peut passer inaperçue pendant plusieurs jours.
La bonne nouvelle, c’est qu’il n’est pas nécessaire d’être expert en cybersécurité pour réduire fortement les risques. Quelques habitudes simples, associées à un hébergement bien configuré, suffisent déjà à compliquer la tâche des pirates. Voici comment protéger efficacement votre site WordPress, sans transformer sa gestion en parcours du combattant.
Pourquoi les sites WordPress sont-ils ciblés ?
WordPress propulse une grande quantité de sites web. Cette popularité en fait une cible intéressante : les pirates peuvent automatiser leurs recherches et tenter les mêmes méthodes sur des milliers de sites. Ils ne vous connaissent pas forcément et ne vous en veulent pas personnellement. Bien souvent, un programme repère une extension dépassée, un mot de passe trop simple ou une configuration négligée, puis tente sa chance.
Les objectifs varient. Certains cherchent à afficher des publicités indésirables ou à rediriger les visiteurs vers des pages frauduleuses. D’autres veulent voler des données, prendre le contrôle du site, installer un logiciel malveillant ou utiliser votre serveur pour envoyer des pourriels. Un petit site vitrine peut donc intéresser un pirate, même s’il ne contient ni secrets d’État ni recette confidentielle de gaufres.
Les failles les plus courantes proviennent d’éléments familiers : un logiciel non mis à jour, une extension abandonnée, un compte administrateur mal protégé ou des sauvegardes inexistantes. La sécurité commence donc moins par une solution spectaculaire que par une série de gestes réguliers.
Gardez WordPress et ses extensions à jour
Une mise à jour ne sert pas uniquement à ajouter une fonction ou à changer un bouton. Elle corrige aussi des failles de sécurité découvertes dans le logiciel, les thèmes et les extensions. Lorsqu’une vulnérabilité est rendue publique, des pirates peuvent rapidement chercher les sites qui n’ont pas encore appliqué le correctif.
Avant une mise à jour importante, faites une sauvegarde et vérifiez que votre thème et vos extensions sont compatibles. Pour les mises à jour de sécurité mineures, une installation rapide est généralement préférable à plusieurs semaines d’attente. Activez les mises à jour automatiques lorsque c’est adapté à votre site, mais ne les laissez pas fonctionner sans contrôle : une boutique complexe mérite un suivi plus attentif qu’un site personnel simple.
J’ai déjà vu un site rester vulnérable plusieurs mois parce que son propriétaire craignait qu’une mise à jour « casse tout ». Cette inquiétude est compréhensible. Mais ne rien mettre à jour, c’est un peu comme laisser la porte ouverte parce que la serrure neuve pourrait grincer. Une sauvegarde récente et une vérification après mise à jour permettent de garder la main.
Enfin, supprimez les thèmes et extensions que vous n’utilisez pas. Un élément inactif peut tout de même contenir une faille. Choisissez des extensions suivies par leurs créateurs, régulièrement mises à jour et téléchargées depuis une source fiable. Si une extension n’a pas évolué depuis longtemps, cherchez une solution de remplacement avant qu’elle ne devienne le maillon faible.
Renforcez les comptes et les mots de passe
Le compte administrateur donne accès aux réglages essentiels du site. Il ne devrait donc pas être protégé par un mot de passe réutilisé sur plusieurs services, ni par une combinaison facile à deviner. Évitez également les identifiants génériques comme « admin » : cela offre déjà une partie de la réponse à un pirate qui tente de se connecter.
Utilisez un mot de passe long, unique et difficile à deviner. Un gestionnaire de mots de passe peut en créer et en retenir un pour chaque service. Activez aussi l’authentification à plusieurs facteurs, qui demande une preuve supplémentaire lors de la connexion, par exemple un code temporaire sur votre téléphone. Même si un mot de passe est volé, cette protection peut bloquer l’accès.
Accordez à chaque personne le niveau d’accès dont elle a réellement besoin. Un rédacteur n’a pas forcément besoin des droits d’administrateur, et un prestataire qui a terminé sa mission ne devrait pas conserver son compte actif. Faites régulièrement le tri parmi les utilisateurs et supprimez les accès inutilisés.
- Attribuez un compte distinct à chaque personne : les comptes partagés rendent les actions difficiles à retracer.
- Réservez le rôle d’administrateur aux personnes qui en ont réellement besoin.
- Changez immédiatement les accès d’un membre de l’équipe qui quitte le projet.
- Évitez les connexions depuis des appareils publics ou des réseaux inconnus lorsque c’est possible.
Choisissez un hébergement attentif à la sécurité
La sécurité de WordPress ne dépend pas seulement de votre tableau de bord. Votre hébergement joue un rôle essentiel : il conserve les fichiers, la base de données et les courriels associés à votre site. Un prestataire sérieux maintient ses serveurs à jour, isole les comptes de ses clients et propose des outils de surveillance et de sauvegarde.
Renseignez-vous sur les protections incluses : certificat de sécurité, pare-feu, détection de fichiers suspects, sauvegardes automatiques et assistance en cas d’incident. Vérifiez aussi où sont stockées les sauvegardes et combien de temps elles sont conservées. Une copie enregistrée uniquement sur le même serveur que le site risque de disparaître en même temps que lui.
Le certificat de sécurité, reconnaissable notamment à l’adresse commençant par « https », chiffre les échanges entre le navigateur et le site. Il protège les informations transmises, comme les données d’un formulaire. Il ne bloque pas à lui seul les attaques, mais son absence serait aujourd’hui une drôle d’économie.
Pour un site professionnel ou une boutique, un hébergement géré pour WordPress peut simplifier les mises à jour, les sauvegardes et la surveillance. Ce n’est pas une protection magique : votre mot de passe reste votre responsabilité. En revanche, une infrastructure bien entretenue réduit le nombre de problèmes à gérer soi-même.
Préparez des sauvegardes réellement utilisables
Une sauvegarde n’empêche pas une attaque, mais elle transforme souvent une catastrophe en incident réparable. Encore faut-il qu’elle soit récente, complète et restaurable. Elle doit inclure les fichiers du site et sa base de données, qui contient notamment les articles, les réglages et les informations nécessaires à son fonctionnement.
Définissez la fréquence selon l’activité du site. Pour une boutique qui reçoit des commandes chaque jour, une sauvegarde quotidienne — voire plus fréquente — est pertinente. Pour un site vitrine rarement modifié, une fréquence moins élevée peut suffire. Conservez plusieurs versions et stockez-en au moins une en dehors de l’hébergement principal.
Le test décisif consiste à restaurer une sauvegarde sur un environnement de test. Une archive qui semble intacte mais ne permet pas de remettre le site en ligne n’est qu’un faux sentiment de sécurité. Notez la procédure de restauration et les coordonnées de la personne qui peut intervenir : le jour d’un incident, personne n’a envie de jouer aux devinettes.
Limitez les portes d’entrée
Chaque extension et chaque compte supplémentaire peuvent augmenter la surface d’attaque. Gardez donc votre installation aussi simple que possible. Supprimez les extensions inutiles, évitez les thèmes provenant de sites inconnus et ne téléchargez jamais une version prétendument « déverrouillée » d’un logiciel payant. Ces copies peuvent cacher du code malveillant dès leur installation.
Vous pouvez également limiter les tentatives répétées de connexion et surveiller les accès inhabituels. Un pare-feu applicatif, proposé par certains hébergeurs ou services de sécurité, filtre une partie des requêtes malveillantes avant qu’elles n’atteignent WordPress. Configurez ces protections sans bloquer vos propres utilisateurs ni les outils nécessaires au fonctionnement du site.
Les fichiers de configuration et les répertoires sensibles doivent aussi être protégés par des permissions adaptées. Si votre hébergeur propose une analyse des fichiers ou une alerte en cas de modification suspecte, activez-la. Évitez toutefois de multiplier les extensions de sécurité qui font toutes la même chose : elles peuvent ralentir le site et compliquer les réglages sans apporter de bénéfice réel.
Repérez rapidement les signes d’une attaque
Un site piraté ne se manifeste pas toujours par une page d’accueil remplacée. Les premiers signes sont parfois discrets : ralentissements inhabituels, nouveaux comptes administrateurs, fichiers inconnus, messages envoyés sans votre accord ou alertes de votre hébergeur. Des visiteurs peuvent aussi signaler des redirections que vous ne voyez pas depuis votre propre ordinateur.
Surveillez régulièrement les mises à jour, les utilisateurs, les commentaires et les notifications liées à la sécurité. Consultez les journaux d’accès si votre hébergement les met à disposition. Une hausse soudaine des tentatives de connexion ou un trafic anormal peut mériter une vérification. L’objectif n’est pas de scruter chaque ligne chaque matin, mais de savoir où regarder quand quelque chose cloche.
Si votre site est référencé par des moteurs de recherche, leurs outils pour propriétaires de sites peuvent signaler des problèmes de sécurité. Prenez ces alertes au sérieux, même si votre page semble fonctionner normalement. Un site compromis peut continuer à s’afficher correctement pour vous tout en présentant du contenu dangereux à certains visiteurs.
Que faire si votre site WordPress est piraté ?
Commencez par contacter votre hébergeur et, si vous en avez un, votre prestataire technique. Ne vous contentez pas de supprimer le fichier suspect visible : le pirate peut avoir laissé une porte dérobée ailleurs. Si le site collecte des données ou permet des paiements, évaluez aussi les conséquences pour vos clients et suivez les obligations qui s’appliquent à votre activité.
- Demandez à l’hébergeur de vérifier les fichiers, la base de données et les journaux d’accès.
- Changez les mots de passe WordPress, ceux de l’hébergement et ceux des autres services liés au site.
- Supprimez les comptes inconnus et révoquez les accès qui ne sont plus nécessaires.
- Restaurez une sauvegarde connue comme saine, puis mettez le logiciel et les extensions à jour.
- Faites analyser le site avant de le remettre pleinement en service et surveillez-le après sa restauration.
Évitez de restaurer immédiatement une sauvegarde sans comprendre la cause de l’intrusion : si la faille est toujours présente, le problème reviendra. Une intervention méthodique est généralement plus rapide qu’une série de suppressions improvisées.
Une routine simple pour rester protégé
La cybersécurité n’est pas un réglage que l’on active une fois pour l’oublier. Elle repose sur une routine réaliste : vérifier les mises à jour chaque semaine, contrôler les utilisateurs chaque mois et tester régulièrement les sauvegardes. Ajoutez à cela des mots de passe uniques, une authentification à plusieurs facteurs et un hébergement correctement entretenu.
WordPress est une plateforme souple et puissante, mais cette liberté s’accompagne d’un peu d’entretien. En gardant votre installation à jour, en limitant les accès et en sachant restaurer le site, vous réduisez nettement les risques. Les pirates préfèrent généralement les portes faciles. Votre objectif est simple : leur faire comprendre que la vôtre est fermée, surveillée et, surtout, que la clé n’est pas cachée sous le paillasson.