Comment sécuriser un site WordPress ? Le guide complet

Protéger un site WordPress exige une approche multicouche, bien au-delà des simples plugins. Il faut impérativement blinder l’installation au niveau serveur via des règles .htaccess, sécuriser le cœur de WordPress, ses thèmes et extensions, et choisir un hébergement robuste. Une stratégie complète, proactive et technique est la seule garantie pour sécuriser WordPress efficacement contre les attaques et prévenir les failles de sécurité WP.

Sécurité WordPress : Pourquoi est-elle indispensable pour votre entreprise ?

Dans l’écosystème numérique actuel, où WordPress propulse 43% des sites web mondiaux, la plateforme est inévitablement une cible privilégiée pour les cybercriminels. Votre site n’est pas qu’une vitrine ; c’est un actif stratégique qui peut générer des leads, des ventes et renforcer votre image de marque. Une faille de sécurité, même minime, peut avoir des conséquences désastreuses pour votre TPE ou PME.

Les risques sont multiples :

• Perte de données : Informations clients, bases de données produits, données financières. Le coût de la récupération peut être astronomique.

• Atteinte à la réputation : Un site piraté qui diffuse du spam ou des malwares nuit gravement à votre crédibilité et à la confiance de vos clients. Il faut des mois, voire des années, pour reconstruire une réputation.

• Impact SEO : Google déliste ou signale les sites compromis, ce qui anéantit des années d’efforts en référencement naturel. Remonter la pente est un véritable parcours du combattant.

• Interruption de service : Un site hors ligne, c’est un manque à gagner direct, surtout si votre activité dépend du commerce en ligne ou de la génération de leads via votre site.

• Sanctions légales : En cas de fuite de données personnelles, les régulations comme le RGPD peuvent entraîner des amendes considérables, en plus des poursuites judiciaires de la part des utilisateurs.

L’objectif de ce guide est de vous fournir les stratégies éprouvées pour protéger WordPress piratage, en allant au-delà des solutions superficielles pour une défense en profondeur.

Quelles sont les principales failles de sécurité WP à surveiller ?

Comprendre l’ennemi est la première étape pour le vaincre. Les cybercriminels exploitent des points faibles connus. En identifiant ces vulnérabilités, vous pouvez anticiper et mettre en place les protections adéquates.

Les méthodes d’attaque les plus courantes incluent :

• Attaques par force brute : Tentatives répétées et automatisées pour deviner vos identifiants de connexion.

• Injections SQL : Les hackers insèrent du code malveillant dans les formulaires de votre site pour manipuler votre base de données et en extraire des informations sensibles.

• Cross-Site Scripting (XSS) : Des scripts malveillants sont injectés dans les pages web vues par d’autres utilisateurs, pouvant voler des cookies ou rediriger vers des sites frauduleux.

• Inclusions de fichiers (LFI/RFI) : Les attaquants forcent le serveur à exécuter des fichiers malveillants stockés localement ou à distance, permettant une exécution de code arbitraire.

• Malwares et portes dérobées (backdoors) : Une fois le site compromis, les attaquants installent des logiciels malveillants ou des accès cachés pour maintenir leur contrôle à long terme.

La majorité des piratages WordPress ne sont pas des attaques sophistiquées, mais l’exploitation de vulnérabilités connues et non corrigées. La négligence est le talon d’Achille de la sécurité.

Nicolas Buathier, Studio Move On

Comment renforcer la sécurité site WordPress au niveau du serveur avec .htaccess ?

C’est ici que nous nous distinguons des guides qui se contentent de lister des plugins. Le fichier .htaccess est un puissant bouclier au niveau du serveur Apache, permettant de bloquer de nombreuses menaces avant même qu’elles n’atteignent le code de WordPress. Il est l’une des premières lignes de défense et son rôle est capital pour sécuriser WordPress en profondeur.

1. Protéger le fichier wp-config.php

Ce fichier contient les informations les plus sensibles de votre site : identifiants de base de données, clés de sécurité. Il doit être absolument protégé contre tout accès non autorisé.

<Files wp-config.php>
    Order allow,deny
    Deny from all
</Files>

2. Désactiver l’exécution de PHP dans certains dossiers

Les dossiers /wp-content/uploads/ sont destinés à contenir des fichiers médias (images, PDF) et non des scripts PHP exécutables. Empêcher l’exécution de PHP ici bloque une porte d’entrée majeure pour les malwares.

Créez un fichier .htaccess vide dans le répertoire /wp-content/uploads/ et ajoutez-y :

<Files *.php>
    Deny from all
</Files>

Pour une protection plus fine, vous pouvez autoriser uniquement les fichiers PHP nécessaires si vous avez des plugins qui en ont besoin (rare dans uploads) :

<Files *.php>
    Order Deny,Allow
    Deny from All
</Files>
<FilesMatch "(wp-config.php|php.ini|php)$">
    Order Deny,Allow
    Deny from All
</FilesMatch>

3. Désactiver la navigation dans les répertoires

Par défaut, si aucun fichier index.php ou index.html n’est présent dans un répertoire, le serveur affiche la liste de tous les fichiers. C’est une fuite d’informations que les attaquants peuvent exploiter pour identifier des vulnérabilités.

Options -Indexes

4. Restreindre l’accès à l’administration WordPress (wp-admin)

Si vous êtes la seule personne ou une équipe restreinte à accéder à l’administration, vous pouvez restreindre l’accès à wp-admin aux seules adresses IP autorisées. Remplacez XXX.XXX.XXX.XXX par votre adresse IP.

<Files wp-login.php>
    Order Deny,Allow
    Deny from all
    Allow from XXX.XXX.XXX.XXX
</Files>

5. Bloquer les adresses IP malveillantes

Si vous identifiez des adresses IP qui tentent régulièrement des attaques par force brute ou d’autres activités suspectes, vous pouvez les bloquer directement via .htaccess.

Order Allow,Deny
Allow from All
Deny from XXX.XXX.XXX.XXX
Deny from YYY.YYY.YYY.YYY

Ces règles .htaccess constituent un socle solide pour protéger WordPress piratage à un niveau fondamental. Elles sont souvent négligées par les utilisateurs qui se concentrent uniquement sur les plugins.

Comment sécuriser WordPress avec les bonnes pratiques d’installation ?

Au-delà du serveur, la configuration même de votre installation WordPress est cruciale. Ces mesures sont souvent simples à mettre en œuvre et réduisent considérablement votre surface d’attaque.

1. Utilisez des identifiants forts et uniques

C’est la base. Oubliez « admin » comme nom d’utilisateur. Utilisez un nom d’utilisateur complexe et un mot de passe d’au moins 12 caractères, mélangeant majuscules, minuscules, chiffres et symboles. Utilisez un gestionnaire de mots de passe pour ne pas les oublier.

2. Mises à jour régulières : le réflexe vital

Le noyau de WordPress, vos thèmes et vos plugins sont constamment mis à jour pour corriger des bugs, améliorer les fonctionnalités et, surtout, colmater les failles de sécurité WP. Négliger les mises à jour, c’est laisser des portes grandes ouvertes aux attaquants.

• Noyau WordPress : Mettez à jour dès qu’une nouvelle version est disponible.

• Thèmes et Plugins : Vérifiez régulièrement les mises à jour et supprimez ceux que vous n’utilisez plus.

Un site WordPress à jour est 85% moins susceptible d’être piraté qu’une installation obsolète. La procrastination en matière de mise à jour est la principale cause de compromission.

Statistiques de sécurité WordPress, Sucuri

3. Activez l’authentification à deux facteurs (2FA)

Le 2FA ajoute une couche de sécurité essentielle. Même si un hacker devine votre mot de passe, il aura besoin d’un second facteur (un code envoyé à votre téléphone, une empreinte digitale) pour se connecter. De nombreux plugins de sécurité offrent cette fonctionnalité (Google Authenticator, Authy).

4. Changez l’URL de connexion par défaut (wp-admin)

La page de connexion par défaut est votresite.fr/wp-login.php. En la changeant pour une URL personnalisée, vous masquez l’entrée principale de votre site aux robots et aux tentatives de force brute.

5. Limitez les tentatives de connexion

Cela bloque les attaques par force brute en verrouillant un compte après un certain nombre de tentatives de connexion échouées. Par exemple, après 3 tentatives, l’IP est bloquée pendant 30 minutes.

6. Modifiez le préfixe de la base de données

Par défaut, WordPress utilise wp_ comme préfixe pour ses tables de base de données. Changer ce préfixe (ex: wps_, monprojet_) rend les attaques par injection SQL plus difficiles, car les attaquants ne connaissent pas le nom des tables.

7. Désactivez l’édition de fichiers via l’administration

Par défaut, WordPress permet d’éditer les fichiers de thèmes et de plugins directement depuis l’interface d’administration. Si un attaquant parvient à accéder à votre tableau de bord, il pourrait injecter du code malveillant très facilement. Désactivez cette fonctionnalité en ajoutant la ligne suivante dans wp-config.php :

define('DISALLOW_FILE_EDIT', true);

8. Désactivez XML-RPC

XML-RPC (xmlrpc.php) est une API qui permettait à des applications externes d’interagir avec WordPress. Bien que toujours présent, il est souvent une source de vulnérabilités, notamment pour les attaques par force brute ou DDoS. Si vous n’utilisez pas d’applications nécessitant XML-RPC (comme l’application mobile WordPress avant sa refonte), désactivez-le.

Ajoutez cette règle dans votre fichier .htaccess :

<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

Ces mesures, combinées aux protections `.htaccess`, constituent une base solide pour sécuriser WordPress contre les menaces les plus courantes.

Quels plugins de sécurité site WordPress recommandez-vous et pourquoi ?

Les plugins de sécurité sont des outils précieux, mais ils ne remplacent pas les bonnes pratiques. Ils viennent en complément pour automatiser la surveillance, le scan, et ajouter des couches de protection spécifiques. Il est crucial de choisir des plugins réputés et bien maintenus pour protéger WordPress piratage.

Les catégories de plugins à considérer :

• Pare-feu (WAF – Web Application Firewall) : Ils filtrent le trafic malveillant avant qu’il n’atteigne votre site, bloquant les attaques connues.

• Scanners de malwares : Ils analysent les fichiers de votre site pour détecter les codes malveillants, les backdoors et les modifications suspectes.

• Sécurité de connexion : Ils renforcent la page de connexion (limitation des tentatives, 2FA, captcha).

• Surveillance et audit : Ils enregistrent les activités sur votre site, aidant à identifier les comportements suspects.

Comparatif des plugins de sécurité populaires

Nos recommandations et pourquoi :

• Wordfence Security : C’est une solution très complète, souvent recommandée pour sa version gratuite déjà très efficace. Son WAF et son scanner sont parmi les meilleurs. Il permet de voir les tentatives d’attaque en temps réel.

• Sucuri Security : Si votre budget le permet, Sucuri offre un WAF basé sur le cloud, ce qui signifie que le trafic est filtré avant même d’atteindre votre serveur, réduisant la charge et augmentant l’efficacité. Leurs services de nettoyage en cas de piratage sont également très appréciés.

• iThemes Security Pro : Moins axé sur le WAF pur, iThemes excelle dans le renforcement de la configuration de votre site (changement d’URL de connexion, changement de préfixe de base de données, etc.). C’est un excellent complément à une solution WAF au niveau serveur ou à Wordfence.

L’important est de choisir un plugin et de le configurer correctement. Un plugin mal configuré est aussi inutile qu’une porte ouverte.

L’hébergement web : un pilier essentiel pour protéger WordPress piratage ?

Votre hébergeur est votre première ligne de défense physique. Un hébergement de qualité n’est pas seulement une question de performance ; c’est aussi un facteur déterminant pour la sécurité site WordPress. Ne sous-estimez jamais l’importance de choisir un hébergeur fiable.

1. SSL/TLS (HTTPS) : la norme

Un certificat SSL/TLS (signalé par « HTTPS » dans l’URL) crypte les données échangées entre le navigateur de l’utilisateur et votre serveur. C’est indispensable pour la confiance des utilisateurs, le SEO (Google favorise les sites HTTPS) et bien sûr la sécurité. La plupart des bons hébergeurs offrent des certificats SSL gratuits (Let’s Encrypt).

2. Sauvegardes régulières et automatisées

Un bon hébergeur propose des sauvegardes automatiques et régulières de votre site et de votre base de données. En cas de piratage, c’est votre bouée de sauvetage. Assurez-vous de pouvoir restaurer facilement une version propre de votre site.

3. Pare-feu (WAF) au niveau du serveur

Certains hébergeurs intègrent un WAF au niveau de leur infrastructure, protégeant tous les sites hébergés. C’est une protection supplémentaire qui agit avant même que le trafic n’atteigne votre installation WordPress.

4. Isolation des comptes et gestion des ressources

Dans un hébergement mutualisé, assurez-vous que votre hébergeur isole correctement les comptes. Si un site voisin sur le même serveur est piraté, il ne doit pas pouvoir contaminer le vôtre. Un bon hébergeur met en place des mesures d’isolation strictes.

5. Surveillance proactive et détection d’intrusions

Les hébergeurs de qualité surveillent leurs serveurs 24h/24 et 7j/7 pour détecter les activités suspectes, les attaques DDoS et les tentatives d’intrusion. Ils réagissent rapidement pour neutraliser les menaces.

Un hébergeur à bas prix peut sembler économique à court terme, mais le coût d’une faille de sécurité due à une infrastructure déficiente sera toujours bien plus élevé.

Analyse des coûts de sécurité, Norton

Comment surveiller et réagir face à une faille de sécurité WP ?

Même avec les meilleures protections, la vigilance reste de mise. La sécurité est un processus continu. Savoir quoi faire en cas de compromission est tout aussi important que de prévenir les attaques.

1. Outils de surveillance essentiels

• Google Search Console : Surveillez la section « Problèmes de sécurité ». Google vous alertera si votre site est détecté comme piraté ou distribuant des malwares.

• Outils de surveillance d’uptime : Des services comme UptimeRobot ou Pingdom vous informent si votre site est hors ligne, ce qui peut être un signe de problème.

• Journaux d’activité WordPress : Utilisez un plugin d’audit pour enregistrer toutes les actions sur votre site (connexions, modifications de fichiers, installations de plugins). Cela aide à identifier les comportements suspects.

• Scans de sécurité réguliers : Utilisez les scanners de votre plugin de sécurité (Wordfence, Sucuri) ou des services externes pour des analyses approfondies.

2. Que faire en cas de piratage ?

La rapidité est essentielle. Voici les étapes clés :

1. Isolez le site : Si possible, mettez votre site en mode maintenance pour éviter de propager le problème ou de compromettre davantage de données.

2. Changez tous les mots de passe : Administrateur WordPress, FTP, base de données, cPanel. Tout doit être réinitialisé.

3. Restaurez une sauvegarde propre : C’est l’option la plus rapide si vous avez une sauvegarde récente et non infectée. Vérifiez toujours l’intégrité de la sauvegarde avant de la restaurer.

4. Nettoyage manuel ou via un expert : Si pas de sauvegarde propre, un nettoyage manuel est nécessaire. Cela implique de scanner les fichiers, la base de données, et de supprimer tout code malveillant. C’est une tâche complexe qui nécessite souvent l’aide d’un expert.

5. Renforcez la sécurité : Une fois le site nettoyé, mettez en place toutes les mesures de sécurité mentionnées dans ce guide.

6. Informez Google : Si votre site a été signalé par Google, demandez une révision via la Search Console une fois le nettoyage effectué.

7. Analysez la cause : Comprenez comment la faille s’est produite pour éviter qu’elle ne se reproduise. Était-ce un plugin, un thème, un mot de passe faible ?