Problèmes de sécurité WordPress : comment les résoudre

Pour résoudre les problèmes de sécurité WordPress, commencez par sauvegarder le site, mettre à jour ses composants et contrôler les comptes qui y ont accès. Ajoutez ensuite des protections adaptées, comme l’authentification à deux facteurs et la limitation des tentatives de connexion. Si vous suspectez un piratage, examinez le site avant de restaurer une sauvegarde.

Repérer les signes d’un problème de sécurité WordPress

Certains indices justifient une vérification : un compte administrateur inconnu, des modifications que vous n’avez pas effectuées, des alertes de votre hébergeur ou des redirections vers des pages inattendues. Une extension de sécurité peut aussi signaler des tentatives de connexion ou des fichiers modifiés.

Consultez les journaux disponibles auprès de votre hébergeur et, le cas échéant, les alertes de votre extension de sécurité. Le journal des erreurs peut aider à repérer une activité inhabituelle, mais une erreur seule ne prouve pas que le site a été piraté.

En présence de redirections indésirables sur WordPress, vérifiez leur origine plutôt que de supprimer des fichiers au hasard. Si une attaque semble en cours, changez les accès compromis et conservez une copie du site pour faciliter les recherches.

Mettre à jour WordPress, les extensions et le thème

Les mises à jour peuvent corriger des vulnérabilités connues. Vérifiez régulièrement les mises à jour du cœur de WordPress, des extensions et des thèmes depuis Tableau de bord > Mises à jour.

Avant de les appliquer :

1. Effectuez une sauvegarde des fichiers et de la base de données.
2. Vérifiez la compatibilité des extensions et du thème avec votre installation.
3. Lancez les mises à jour, puis contrôlez les pages principales et les fonctions importantes du site.

WordPress permet d’activer les mises à jour automatiques pour les extensions et les thèmes. Cette option réduit les oublis, mais ne remplace pas les sauvegardes ni les vérifications après modification. Pour préparer ces opérations, consultez notre guide sur les mises à jour WordPress.

Sécuriser les comptes et limiter les accès

Chaque personne doit disposer de son propre compte et des droits nécessaires à son travail. Un administrateur peut modifier l’ensemble du site : réservez donc ce rôle aux personnes qui en ont réellement besoin.

Dans Utilisateurs > Tous les comptes, examinez les comptes et leurs rôles. Supprimez les comptes inutilisés ou suspects après avoir vérifié à qui attribuer leurs contenus. Contrôlez également les accès à l’hébergement, au FTP et à la base de données.

Pour réduire le risque d’accès non autorisé :

• Utilisez un mot de passe long, fort et unique pour chaque compte.
• Activez l’authentification à deux facteurs lorsque cela est possible.
• Limitez les tentatives de connexion avec une extension adaptée.
• Déconnectez-vous après utilisation, notamment sur un ordinateur partagé.
• Méfiez-vous des courriels suspects demandant vos identifiants ou une action urgente.

La protection des comptes passe aussi par la gestion des problèmes de sécurité liés aux mots de passe WordPress. Si les inscriptions sont ouvertes, vérifiez les nouveaux comptes et le rôle attribué par défaut.

Installer un outil de sécurité et protéger l’administration

Une extension de sécurité peut surveiller certaines modifications, envoyer des alertes et limiter les tentatives de connexion. Selon ses fonctions, elle peut aussi proposer un pare-feu pour filtrer des requêtes malveillantes, notamment certaines tentatives d’injection SQL ou attaques XSS.

Choisissez une extension maintenue et compatible avec votre site, puis prenez le temps de configurer ses alertes. Vérifiez les signalements avant d’agir : un avertissement ne signifie pas toujours qu’un fichier est malveillant. Évitez de multiplier les extensions de sécurité sans vérifier qu’elles fonctionnent correctement ensemble.

Vous pouvez également désactiver l’éditeur de fichiers intégré à l’administration. Ajoutez cette ligne dans le fichier wp-config.php, avant la ligne indiquant d’arrêter les modifications :

define( 'DISALLOW_FILE_EDIT', true );

Cette mesure empêche la modification du code des thèmes et extensions depuis cet éditeur, sans supprimer les fichiers. Elle ne remplace pas la protection des autres accès. Pour limiter l’exécution directe de fichiers PHP dans les dossiers où elle n’est pas nécessaire, vérifiez les possibilités et les réglages avec votre hébergeur.

Enfin, assurez-vous que votre certificat SSL est valide et que le site utilise HTTPS, y compris pour l’administration. HTTPS protège les échanges entre le navigateur et le site, mais ne corrige pas à lui seul les failles ou les comptes compromis.

Supprimer les éléments inutilisés sans effacer les fichiers nécessaires

Les extensions et thèmes inutilisés augmentent le nombre d’éléments à surveiller. Supprimez-les depuis les menus Extensions et Apparence > Thèmes, après avoir vérifié qu’ils ne sont plus nécessaires. Conservez le thème actif et vérifiez les dépendances éventuelles avant toute suppression.

Examinez aussi les fichiers inutilisés présents sur l’hébergement. Une ancienne copie du site ou une installation oubliée peut rester accessible et contenir des composants obsolètes. En revanche, ne supprimez pas un fichier simplement parce que vous ne reconnaissez pas son nom : il peut être nécessaire au fonctionnement de WordPress ou d’une extension.

Faites une sauvegarde avant le nettoyage, puis testez le site. Une extension d’aide au nettoyage peut servir à repérer des éléments, mais ses suggestions doivent être vérifiées avant suppression.

Sauvegarder et réagir après une attaque

Une sauvegarde doit comprendre les fichiers du site et sa base de données. Programmez des sauvegardes régulières avec votre hébergeur ou une extension, et conservez au moins une copie dans un emplacement séparé du site. Vérifiez aussi que vous savez comment la restaurer.

En cas de piratage présumé :

1. Faites une copie de l’état actuel du site et relevez les alertes disponibles.
2. Sécurisez les comptes et changez les mots de passe compromis, y compris ceux de l’hébergement et du FTP si nécessaire.
3. Recherchez et corrigez la cause de l’intrusion avant de remettre le site en service.
4. Si une restauration est nécessaire, choisissez une sauvegarde saine et vérifiez le site après l’opération.

Restaurer une copie ne suffit pas si elle contient déjà des fichiers malveillants ou si la faille utilisée existe encore. Pour approfondir le nettoyage d’un site WordPress piraté, examinez les fichiers, les comptes et les composants avant de considérer l’intervention comme terminée.

Questions fréquentes

Article rédigé avec l’aide d’une IA à partir des sources citées et de notre pratique de la maintenance WordPress. Notre méthode éditoriale.