WordPress alimente une grande part des sites dans le monde, et cette popularité en fait une cible attrayante pour les attaquants. La bonne nouvelle est que la plupart des attaques réussies ne proviennent pas de failles techniques avancées, mais d'extensions obsolètes, de mots de passe faibles et de sites sans sauvegarde. Autrement dit, un site qui applique régulièrement les mesures de base est déjà protégé contre la plupart des attaques.
Dans cet article, nous décrivons d'abord les mesures de base qui ne nécessitent aucune extension, puis nous expliquons ce que font les extensions de sécurité et comment en choisir une. Les fonctionnalités des extensions changeant d'une version à l'autre, consultez la documentation actuelle de chaque produit pour les détails.
Les mesures de base d'abord
Une extension de sécurité ne remplace pas des fondations manquantes. Commencez par accomplir ces étapes :
- Ne retardez pas les mises à jour. Les failles de sécurité du cœur de WordPress, des thèmes et des extensions se corrigent par les mises à jour. Supprimez les extensions et thèmes que vous n'utilisez pas.
- Utilisez des mots de passe robustes et uniques. Utilisez un gestionnaire de mots de passe ; ne laissez pas le nom d'utilisateur administrateur « admin ».
- Activez la vérification en deux étapes. Au minimum pour les comptes administrateur et éditeur.
- Faites des sauvegardes et testez leur restauration. Une sauvegarde est le dernier recours qui vous sauvera après une attaque.
- Utilisez HTTPS. Sur un site sans certificat SSL, les identifiants de connexion circulent en clair.
- Limitez les autorisations des utilisateurs. Ne donnez pas le rôle d'administrateur à tout le monde ; appliquez le principe du moindre privilège.
- Installez les extensions et thèmes depuis des sources fiables. Les paquets non licenciés ou d'origine floue présentent un risque élevé de porte dérobée.
Que font les extensions de sécurité ?
Les extensions de sécurité proposent en général certaines de quatre fonctions : un pare-feu (WAF), l'analyse des logiciels malveillants, la protection de la connexion et la surveillance des modifications. Toutes les extensions ne sont pas aussi performantes dans chacun de ces domaines ; il faut donc d'abord préciser ce dont vous avez besoin.
- Pare-feu : bloque les requêtes malveillantes avant qu'elles n'atteignent le site ou avant l'exécution du code WordPress.
- Analyse : recherche dans les fichiers du code suspect et les fichiers du cœur modifiés.
- Protection de la connexion : limite les attaques par force brute et ajoute la vérification en deux étapes.
- Surveillance : enregistre qui a modifié quel réglage et quand.
Comparatif des extensions de sécurité populaires
| Solution | Approche | Point fort | Point de vigilance |
|---|---|---|---|
| Wordfence | Pare-feu et analyseur fonctionnant dans le site | Version gratuite étendue, analyse des logiciels malveillants | Consomme les ressources du serveur ; peut ralentir sur un hébergement faible |
| Sucuri | Pare-feu et service de nettoyage dans le cloud | Filtre le trafic avant qu'il n'atteigne le site, assistance au nettoyage après attaque | Les fonctions avancées dépendent d'une formule payante |
| Solid Security (anciennement iThemes Security) | Axée sur le durcissement et la protection de la connexion | Vérification en deux étapes, durcissement des réglages, limites de connexion | L'analyse peut être moins large que d'autres |
| CleanTalk | Protection anti-spam dans le cloud | Bloque les fausses inscriptions dans les formulaires et commentaires, sans captcha | Axée sur le spam, pas sur la sécurité générale ; elle complète les autres couches |
Plutôt que de chercher « l'extension unique idéale » dans ce tableau, raisonnez en combinaisons : une pour le pare-feu et l'analyse, une autre pour la protection anti-spam. N'utilisez pas plus d'une extension de pare-feu sur un même site ; cela crée des conflits.
Ne négligez pas la protection contre le spam et les fausses inscriptions
Le trafic des robots ne produit pas seulement du spam ; il alourdit la base de données via les formulaires d'inscription, les champs de commentaires et les formulaires de contact, sollicite le serveur et diffuse parfois des liens malveillants. Des solutions dans le cloud comme CleanTalk filtrent ce trafic sans gêner les visiteurs. Cette couche est particulièrement précieuse sur les sites WooCommerce et les sites à adhésion, car les tentatives de création de faux comptes y sont fréquentes.
Sauvegarde : le dernier maillon de la sécurité
Même le site le mieux protégé peut un jour être endommagé. Une erreur de mise à jour, une panne de serveur, une extension défectueuse ou une attaque : dans tous ces cas, le remède consiste à revenir à une sauvegarde saine. Les sauvegardes doivent être conservées non pas sur le serveur qui héberge le site, mais dans un lieu distinct (stockage cloud, autre serveur). Des extensions comme WPvivid Backup Bundle proposent des sauvegardes programmées, l'envoi vers un stockage externe et la restauration en un clic. Aussi important que de faire la sauvegarde est de tester une fois par mois qu'elle fonctionne, en la restaurant sur un site de test.
Quelle extension choisir ? Un guide rapide
Si vous gérez un blog unique et que votre budget est limité, une extension de sécurité gratuite intégrée au site, une solution de sauvegarde solide et une protection anti-spam forment en général un trio suffisant. Si vous exploitez une boutique en ligne qui est une cible constante, il est pertinent d'ajouter aussi un pare-feu dans le cloud, car le mauvais trafic est filtré avant d'atteindre votre serveur. Si vous êtes une agence qui héberge des sites clients, la gestion centralisée et les rapports de sécurité réguliers comptent davantage pour vous que les fonctionnalités des extensions.
Dans tous les cas, après l'installation de l'extension, surveillez les journaux pendant une semaine. Assouplir une règle qui déclenche de fausses alertes vaut mieux que de manquer de vraies menaces ; mais vous devez aussi vérifier qu'un système qui ne déclenche jamais d'alerte fonctionne réellement. Pour cela, vous pouvez effectuer une tentative de connexion contrôlée et vérifier qu'elle est bien enregistrée.
Gérer plusieurs sites
Si vous êtes une agence qui gère des sites clients, ou une personne ayant plusieurs projets, se connecter à chaque site séparément pour les mettre à jour prend du temps et augmente le risque d'erreur. Des outils de gestion centralisée comme MainWP Pro vous permettent de suivre les mises à jour, les sauvegardes et l'état de tous les sites depuis un seul tableau de bord. Du point de vue de la sécurité, cela réduit les retards de mise à jour.
Nettoyer la base de données et les données inutiles
Les tables laissées par des extensions abandonnées, les anciens brouillons et les commentaires spam ne nuisent pas seulement aux performances ; ils élargissent aussi la surface d'attaque. Des outils comme Advanced Database Cleaner Pro aident à nettoyer ces résidus en toute sécurité. Faites toujours une sauvegarde avant un nettoyage.
N'oubliez pas votre propre ordinateur
Si l'ordinateur que vous utilisez pour gérer le site est infecté, vos identifiants peuvent être volés. Utilisez un logiciel de protection à jour sur les appareils que vous utilisez en tant qu'administrateur ; des solutions complètes comme Kaspersky Premium Total Security ajoutent une couche contre l'hameçonnage et les logiciels malveillants. Ne vous connectez pas au panneau d'administration sur des réseaux Wi-Fi publics.
Durcissement au niveau du serveur et des fichiers
Au-delà des extensions, quelques réglages renforcent sensiblement votre site. Vous pouvez les effectuer depuis le panneau de votre hébergeur ou avec l'administrateur de votre serveur :
- Version actuelle de PHP : les versions de PHP arrivées en fin de support ne reçoivent plus de correctifs de sécurité. Passez à la version supportée la plus récente depuis le panneau de votre hébergeur, en testant sa compatibilité avec vos extensions.
- Désactiver l'éditeur de fichiers : désactiver l'éditeur de fichiers des thèmes et extensions dans le panneau d'administration empêche un compte administrateur compromis d'écrire directement du code.
- Droits sur les fichiers : n'accordez pas plus de droits d'écriture que nécessaire aux fichiers et dossiers ; gardez le fichier de configuration (wp-config) inaccessible.
- Dossier des téléversements : bloquez l'exécution des fichiers PHP dans le dossier où sont conservés les fichiers téléversés par les utilisateurs.
- XML-RPC : si vous ne l'utilisez pas, désactivez-le ; il est fréquemment exploité dans les attaques par force brute.
- Préfixe de base de données et énumération des utilisateurs : activez les réglages qui empêchent de lister les noms d'utilisateurs depuis l'extérieur.
Certains de ces réglages peuvent être effectués en un clic par les extensions de sécurité ; assurez-vous néanmoins que les outils de sécurité propres à votre hébergeur n'entrent pas en conflit avec eux.
Routine de sécurité mensuelle
La sécurité n'est pas une tâche ponctuelle que l'on fait puis que l'on oublie ; c'est une habitude modeste mais régulière. Consacrez une heure par mois à parcourir cette liste : la liste des comptes administrateur et éditeur est-elle à jour ? Les extensions inutilisées ont-elles été supprimées ? Les sauvegardes sont-elles réellement créées ? Y a-t-il une hausse inhabituelle des rapports de tentatives de connexion ? La date d'expiration du certificat SSL approche-t-elle ? Y a-t-il un avertissement de sécurité dans la Search Console ? Lorsque ces contrôles sont rattachés à une routine accompagnée d'un petit rappel dans le calendrier, les problèmes sont repérés avant de grossir.
Comment savoir que le site a été attaqué ?
- Des pages ou des titres que vous ne reconnaissez pas apparaissent dans les résultats de recherche.
- Des redirections ou des fenêtres surgissantes inattendues apparaissent sur votre site.
- Des comptes administrateur que vous ne reconnaissez pas apparaissent.
- Votre hébergeur vous envoie un avertissement de consommation excessive de ressources ou de logiciel malveillant.
- Le site ralentit à l'ouverture et le navigateur affiche un avertissement de sécurité.
Dans un tel cas, mettez d'abord le site en mode maintenance, changez les mots de passe, revenez à une sauvegarde saine, et ne rouvrez pas le site avant d'avoir fermé la faille. Si vous ne parvenez pas à résoudre le problème seul, consultez un expert en sécurité.
Pour vos besoins en extensions et thèmes, vous pouvez consulter la catégorie Extensions et thèmes WordPress ; sur LisansX, la livraison est numérique et les versions sous licence reçoivent les mises à jour.
Questions fréquemment posées
Une extension de sécurité gratuite suffit-elle ?
Pour un petit blog, elle est souvent suffisante. Pour les sites qui hébergent du commerce électronique, des espaces membres ou des données clients, il faut envisager les formules payantes pour les fonctionnalités premium, l'assistance et les règles du pare-feu.
Une extension de sécurité ralentit-elle le site ?
Les extensions qui fonctionnent dans le site consomment des ressources serveur et peuvent se remarquer sur un hébergement faible. Les solutions dans le cloud déchargent le serveur de cette charge. Refaites une mesure de vitesse après l'installation.
Modifier l'adresse de connexion WordPress est-il utile ?
Cela réduit les robots simples, mais ce n'est pas une mesure de sécurité suffisante à elle seule. Un mot de passe robuste, la vérification en deux étapes et la limitation des connexions sont beaucoup plus efficaces.
À quelle fréquence faut-il faire des sauvegardes ?
Pour les sites qui reçoivent des contenus chaque jour, des sauvegardes quotidiennes, et pour les sites qui changent rarement, des sauvegardes hebdomadaires, constituent un point de départ raisonnable. Les boutiques qui enregistrent des commandes doivent sauvegarder la base de données plus souvent.
