Pourquoi sécuriser un site WordPress ?

Un site compromis peut entraîner une indisponibilité, une modification de contenus, l’envoi de spam, une fuite de données ou encore une dégradation de l’expérience proposée aux visiteurs.

Pour une TPE ou une PME, les conséquences ne sont pas uniquement techniques. Un incident peut également affecter l’image de l’entreprise, interrompre la génération de contacts et nécessiter du temps pour remettre le site en état.

L’objectif n’est pas de rendre un site « invulnérable », mais de réduire sa surface d’attaque, limiter les risques et être capable de réagir rapidement en cas de problème.

1. Maintenir WordPress, les thèmes et les extensions à jour

Les mises à jour de WordPress, des thèmes et des extensions peuvent notamment corriger des vulnérabilités découvertes après leur publication.

Un site utilisant une ancienne version d’une extension vulnérable peut rester exposé alors qu’un correctif existe déjà.

Il est donc important de surveiller régulièrement :

• le cœur de WordPress
• les extensions installées
• le thème utilisé
• les extensions ou thèmes devenus inutiles

Une extension inutilisée ne devrait pas rester installée sans raison. Plus un site comporte de composants, plus il existe d’éléments à maintenir et à surveiller.

Avant une mise à jour importante, disposer d’une sauvegarde récente permet également de revenir en arrière en cas de dysfonctionnement.

2. Sécuriser les comptes et les accès WordPress

L’administration WordPress constitue naturellement un point sensible.

Utiliser des mots de passe robustes et uniques

Chaque compte disposant d’un accès au site doit utiliser un mot de passe suffisamment long, difficile à deviner et surtout unique.

Réutiliser le même mot de passe sur plusieurs services augmente le risque : si l’un d’eux est compromis, les identifiants peuvent être testés automatiquement sur d’autres plateformes.

Il est également préférable d’éviter les identifiants administrateur trop prévisibles.

Limiter les comptes administrateurs

Tous les utilisateurs n’ont pas besoin des mêmes permissions.

WordPress permet notamment d’attribuer différents rôles : administrateur, éditeur, auteur, contributeur ou abonné.

Le principe est simple : attribuer uniquement les droits nécessaires à chaque personne.

Un collaborateur chargé de publier des contenus n’a, par exemple, généralement pas besoin d’un accès administrateur permettant d’installer des extensions ou de modifier la configuration du site.

Les comptes inutilisés devraient également être supprimés ou désactivés.

Protéger les tentatives de connexion

Les attaques automatisées peuvent tester de nombreuses combinaisons d’identifiants et de mots de passe.

Limiter les tentatives de connexion, détecter les comportements suspects ou renforcer l’authentification permet d’ajouter une protection supplémentaire à l’accès à l’administration.

3. Sauvegarder régulièrement son site WordPress

Une sauvegarde ne bloque pas une attaque. Elle permet en revanche de restaurer le site lorsqu’un incident survient.

Une stratégie de sauvegarde doit prendre en compte au minimum :

• les fichiers du site
• la base de données
• la fréquence des modifications
• la durée de conservation des sauvegardes
• leur emplacement

Il est préférable de ne pas dépendre uniquement d’une sauvegarde stockée au même endroit que le site.

La fréquence dépend de l’activité : un site vitrine modifié occasionnellement n’a pas nécessairement les mêmes besoins qu’un site recevant quotidiennement des commandes, inscriptions ou nouveaux contenus.

Et surtout, une sauvegarde n’est réellement utile que si elle peut être restaurée.

4. Utiliser HTTPS pour sécuriser les échanges

HTTPS permet de chiffrer les échanges entre le navigateur du visiteur et le serveur grâce à un certificat TLS.

Il est aujourd’hui indispensable pour protéger les informations transmises au site, notamment lors d’une connexion ou de l’utilisation d’un formulaire.

Le certificat doit être correctement configuré et renouvelé afin d’éviter les erreurs de sécurité affichées aux visiteurs.

5. Faut-il installer un plugin de sécurité WordPress ?

Un plugin de sécurité peut ajouter plusieurs mécanismes de protection ou de surveillance à WordPress.

Selon la solution choisie, il peut notamment proposer :

• protection contre certaines tentatives de connexion
• blocage d’adresses IP
• pare-feu applicatif
• détection de modifications de fichiers
• analyse de fichiers suspects
• journalisation des événements
• alertes de sécurité.

Comment choisir un plugin de sécurité ?

Ajouter plusieurs extensions de sécurité n’est pas nécessairement synonyme d’une meilleure protection.

Avant d’en installer une, je conseille plutôt d’évaluer :

Sa maintenance

Le plugin est-il encore activement développé et régulièrement mis à jour ?

Sa compatibilité

Est-il compatible avec les versions actuelles de WordPress et avec l’environnement du site ?

Sa réputation

L’éditeur est-il clairement identifié ? Le plugin possède-t-il un historique et des retours suffisamment solides ?

Ses fonctionnalités

Répond-il réellement aux risques que vous souhaitez traiter ?

Son impact

Certaines fonctions de surveillance ou d’analyse peuvent consommer des ressources. Il faut trouver un équilibre entre protection et fonctionnement du site.

Parmi les solutions de sécurité WordPress connues figurent notamment Wordfence, Sucuri Security, Solid Security ou All-In-One Security. Le bon choix dépend toutefois de l’hébergement, de la configuration du site et des protections déjà présentes au niveau du serveur.

L’objectif n’est donc pas de rechercher systématiquement « le meilleur plugin de sécurité WordPress », mais la protection adaptée au contexte.

6. Protéger WordPress contre le spam

Le spam peut prendre plusieurs formes : commentaires indésirables, soumissions de formulaires automatisées, inscriptions frauduleuses ou messages générés par des bots.

Même lorsqu’il ne compromet pas directement le site, il peut encombrer les données, multiplier les notifications inutiles et dégrader le traitement des demandes légitimes.

Protéger les commentaires

Si les commentaires sont activés, leur configuration doit être adaptée à l’usage réel du site.

La modération et les outils anti-spam permettent d’éviter qu’un commentaire automatisé comportant des liens indésirables soit directement publié.

Et si les commentaires ne servent tout simplement pas, il peut être pertinent de les désactiver.

Protéger les formulaires

Les formulaires de contact, d’inscription ou de commande constituent également des cibles fréquentes pour les bots.

Selon le niveau de spam rencontré, différentes protections peuvent être utilisées :

• filtrage anti-spam
• CAPTCHA ou mécanisme équivalent
• honeypot
• limitation de fréquence
• blocage de comportements suspects

Il faut néanmoins conserver un équilibre : une protection trop contraignante peut également empêcher un véritable prospect d’envoyer son formulaire.

Choisir un plugin anti-spam WordPress

Des solutions comme Akismet, Antispam Bee ou CleanTalk peuvent répondre à différents usages.

Comme pour une extension de sécurité, le choix doit prendre en compte sa maintenance, sa compatibilité, son fonctionnement et le type de spam rencontré.

Installer un plugin anti-spam simplement parce qu’il est populaire n’est pas suffisant : la solution doit correspondre au problème observé sur le site.

7. Surveiller son site WordPress

La sécurité n’est pas une configuration effectuée une seule fois.

Il est utile de surveiller régulièrement :

• les connexions inhabituelles ;
• les comptes utilisateurs ;
• les extensions installées ;
• les mises à jour disponibles ;
• les modifications inattendues ;
• les formulaires et commentaires ;
• les alertes émises par les outils de sécurité ou l’hébergeur.

Une activité inhabituelle détectée rapidement est généralement plus simple à traiter qu’un problème découvert plusieurs semaines plus tard.

8. Checklist pour sécuriser un site WordPress

Pour vérifier rapidement les bases :

• WordPress est à jour ;
• les thèmes et extensions sont à jour ;
• les composants inutilisés sont supprimés ;
• les comptes disposent uniquement des droits nécessaires ;
• les mots de passe sont uniques et robustes ;
• l’accès à l’administration est protégé ;
• HTTPS est correctement configuré ;
• des sauvegardes régulières sont réalisées ;
• au moins une sauvegarde est conservée hors du site ;
• les sauvegardes peuvent être restaurées ;
• les formulaires et commentaires sont protégés contre le spam ;
• les comportements suspects sont surveillés ;
• les protections de l’hébergement sont prises en compte avant d’empiler les plugins.

Que faire si votre site WordPress a déjà été compromis ?

Si vous suspectez une intrusion, installer une nouvelle extension de sécurité ne suffit pas nécessairement.

Il faut notamment identifier ce qui s’est passé, sécuriser les accès, vérifier les comptes utilisateurs, rechercher les fichiers ou modifications suspects, corriger la vulnérabilité utilisée et restaurer une version saine lorsque cela est nécessaire.

Les identifiants susceptibles d’avoir été compromis doivent également être renouvelés.

Si l’origine du problème n’est pas identifiée, restaurer simplement une sauvegarde peut conduire à une nouvelle compromission.