Problèmes de sécurité WordPress : les erreurs à éviter

Les problèmes de sécurité WordPress proviennent souvent de mises à jour négligées, d’accès mal protégés ou d’extensions vulnérables. Pour réduire les risques, vérifiez régulièrement les comptes, les composants installés, les sauvegardes et la configuration de l’hébergement. Si votre site montre des signes de piratage, évitez de supprimer des fichiers au hasard avant d’avoir identifié la cause.

Négliger les mises à jour et les sauvegardes WordPress

Laisser WordPress, les thèmes et les extensions obsolètes

Repousser les mises à jour est une erreur fréquente. Certaines corrigent des vulnérabilités connues : un site qui conserve un composant vulnérable reste exposé aux attaques cherchant à exploiter cette faille.

La crainte de casser le site est légitime, mais elle ne justifie pas de figer durablement WordPress. Pour préparer une mise à jour dans de bonnes conditions :

1. Réalisez une sauvegarde complète des fichiers et de la base de données.
2. Vérifiez les changements annoncés et les éventuelles incompatibilités.
3. Testez les mises à jour sur un environnement de test si vous en disposez.
4. Appliquez les mises à jour, puis contrôlez les pages et les fonctions importantes du site.

La mise à jour de WordPress, du thème et des extensions doit s’accompagner d’un suivi de PHP et des autres composants de l’hébergement. Un site non maintenu peut aussi rencontrer des problèmes de compatibilité, de performance et de visibilité.

Se fier à des sauvegardes qui n’ont jamais été testées

Une sauvegarde n’est utile que si elle contient les éléments nécessaires et peut être restaurée. Vérifiez qu’elle comprend à la fois les fichiers du site et sa base de données.

Les erreurs courantes sont notamment une fréquence inadaptée, une seule copie écrasée à chaque sauvegarde ou un stockage sur le même serveur que le site. Prévoyez si possible des copies automatisées et externalisées, plusieurs points de restauration et un chiffrement lorsque les données le nécessitent.

Testez régulièrement la restauration et documentez la procédure : qui peut intervenir, comment accéder aux copies et comment vérifier que le site restauré fonctionne correctement. Une sauvegarde ancienne ou déjà compromise ne suffit pas toujours à remettre le site en sécurité.

Mal protéger les comptes et les connexions WordPress

Accorder trop de droits administrateur

Chaque compte administrateur peut modifier des réglages importants, installer une extension ou supprimer du contenu. Un compte compromis ou une erreur de manipulation peut donc avoir des conséquences sur tout le site.

Appliquez le principe du moindre privilège : attribuez à chacun les droits nécessaires à son travail, sans davantage. Un rédacteur n’a pas systématiquement besoin d’un accès administrateur, et un prestataire peut disposer d’un accès limité à sa mission.

Examinez régulièrement les comptes dans Utilisateurs de l’administration WordPress. Supprimez les comptes inutilisés et retirez les accès des anciens intervenants. Prévoyez aussi la fin des accès temporaires dès leur création.

Réutiliser des mots de passe ou ignorer l’authentification multifacteur

Les attaques par force brute essaient de nombreux mots de passe. D’autres utilisent des identifiants volés sur un autre service, en espérant qu’ils aient été réutilisés sur votre site.

Demandez à chaque utilisateur un mot de passe long et unique, par exemple une phrase difficile à deviner. Un gestionnaire de mots de passe aide à créer et à conserver des identifiants distincts. Activez l’authentification multifacteur lorsque c’est possible, en particulier pour les administrateurs.

Si elle ne peut pas être utilisée pour tous les comptes, maintenez des règles strictes sur les mots de passe et surveillez les connexions. Évitez également les identifiants administrateur évidents et le partage d’un même compte entre plusieurs personnes.

Laisser les tentatives de connexion sans contrôle

La page de connexion peut recevoir de nombreuses tentatives automatisées. Elles encombrent les journaux et peuvent aboutir si un compte utilise un mot de passe faible ou réutilisé.

La limitation des tentatives de connexion peut s’appuyer sur des délais progressifs ou sur le blocage d’adresses IP, selon la solution choisie. Configurez ces protections avec prudence pour éviter de bloquer les utilisateurs légitimes, et conservez une méthode pour retrouver l’accès en cas de verrouillage.

Installer des extensions et des thèmes non fiables

Accumuler des extensions inutiles ou abandonnées

Chaque extension ajoute du code et peut introduire une vulnérabilité. Le risque augmente lorsqu’elle n’est plus maintenue, qu’elle est incompatible avec le site ou qu’elle provient d’une source douteuse.

Avant d’installer une extension, vérifiez son utilité, sa provenance, son historique de mises à jour, sa compatibilité et sa réputation. Évitez d’ajouter plusieurs outils qui remplissent la même fonction sans nécessité.

Faites régulièrement l’inventaire des extensions actives et désactivées : ces dernières restent présentes sur le serveur tant qu’elles ne sont pas supprimées. Supprimez celles dont vous n’avez plus besoin, après avoir vérifié les conséquences sur le site et réalisé une sauvegarde.

Utiliser un thème piraté ou difficile à maintenir

Les thèmes premium téléchargés illégalement, parfois appelés nulled, peuvent contenir des portes dérobées, des scripts malveillants ou des redirections indésirables. Un thème gratuit obtenu hors d’une source fiable peut présenter les mêmes risques.

Choisissez un thème provenant d’une source fiable et bénéficiant d’un suivi. Un thème chargé de fonctionnalités inutiles ajoute du code à maintenir et peut rendre les mises à jour plus délicates. Selon vos besoins, comparez les fonctionnalités réellement nécessaires et la facilité de maintenance avant de choisir une solution du marché ou un développement sur mesure.

Exposer des fichiers, la base de données ou l’hébergement

Laisser des fichiers sensibles accessibles

Des permissions trop larges, des répertoires dont le contenu est listable ou des sauvegardes placées dans un dossier public peuvent exposer des informations sensibles. Vérifiez notamment la protection de wp-config.php, des fichiers .env, des journaux et des archives de sauvegarde.

Attention aussi aux copies oubliées, comme wp-config.php~ ou wp-config-old.php. Selon la configuration du serveur, elles peuvent être accessibles différemment du fichier d’origine.

Appliquez les permissions minimales adaptées à votre hébergement, désactivez l’affichage du contenu des répertoires et bloquez l’accès public aux fichiers sensibles par la configuration serveur lorsque nécessaire. Stockez les sauvegardes hors de l’espace accessible publiquement. Les réglages précis dépendent de l’hébergement : vérifiez-les avant toute modification.

Oublier la base de données et les accès serveur

La sécurité ne s’arrête pas à l’administration WordPress. Un compte de base de données trop permissif, un mot de passe faible ou une base exposée inutilement peuvent faciliter l’accès aux données ou leur modification.

Contrôlez aussi les versions de PHP et des composants serveur, ainsi que les accès au panneau d’hébergement, en SSH ou en FTP. Évitez les comptes partagés entre prestataires, retirez les accès devenus inutiles et limitez les droits d’écriture. Préférez un transfert de fichiers sécurisé plutôt qu’un FTP non chiffré.

Une erreur de connexion à la base de données n’indique pas automatiquement un piratage. Si elle revient régulièrement, examinez toutefois l’hébergement et les accès dans le cadre du diagnostic de sécurité.

Oublier HTTPS et le durcissement de l’administration

Laisser une configuration HTTPS incomplète

Sans HTTPS correctement configuré, les données échangées peuvent être exposées à une interception, notamment sur un réseau public. Vérifiez le certificat, les redirections et l’accès à l’administration en HTTPS.

Contrôlez également le contenu mixte : une page chargée en HTTPS peut encore appeler des ressources en HTTP. Des redirections mal configurées peuvent, quant à elles, empêcher l’accès au site ou provoquer des boucles.

Les en-têtes de sécurité, les restrictions de chargement de ressources externes et certaines règles serveur constituent des protections supplémentaires selon le contexte. Ils ne remplacent ni les mises à jour ni la protection des comptes et doivent être testés avant leur mise en production.

Multiplier les points d’entrée inutiles

Le durcissement consiste à réduire les fonctions exposées et les actions risquées, sans chercher simplement à cacher que le site utilise WordPress. Examinez notamment :

• l’API XML-RPC, si aucune fonctionnalité du site n’en a besoin ;
• l’exposition d’informations de version ;
• la possibilité de modifier des fichiers depuis l’administration ;
• les protections supplémentaires des pages d’authentification.

Procédez progressivement. Un réglage appliqué sans comprendre son rôle peut interrompre une fonction utilisée par le site ou par un outil connecté. Testez chaque changement et conservez un moyen de revenir en arrière.

Ne pas surveiller le site ni préparer une réaction

Ignorer les signes de compromission

Un site piraté peut continuer à fonctionner normalement tout en diffusant du spam dans les moteurs de recherche, en affichant des publicités cachées ou en envoyant des messages frauduleux. Des alertes de navigateur, une baisse de trafic ou des signalements d’utilisateurs peuvent aussi révéler un problème.

Pour détecter plus tôt une anomalie, mettez en place une surveillance adaptée :

• alertes sur les modifications de fichiers ;
• contrôle des journaux de connexion et de l’activité administrateur ;
• détection de logiciels malveillants ;
• vérification régulière des comptes et des tâches planifiées.

Ces contrôles ne prouvent pas à eux seuls qu’un site est sain, mais ils aident à repérer des changements inhabituels et à les examiner.

Improviser lorsque le site est compromis

Supprimer quelques fichiers suspects ou changer uniquement le mot de passe administrateur peut laisser la porte d’entrée ouverte. Une extension vulnérable, un compte caché, une porte dérobée, une tâche planifiée ou un accès serveur compromis peuvent permettre une nouvelle intrusion.

Suivez plutôt un ordre de traitement :

1. Mettez le site en quarantaine si nécessaire.
2. Analysez les fichiers, les comptes, les tâches planifiées et les accès.
3. Nettoyez les éléments malveillants et corrigez la faille identifiée.
4. Renouvelez les identifiants concernés, y compris ceux de l’hébergement et de la base de données.
5. Renforcez les protections, puis surveillez le site après intervention.

Une restauration peut faire partie de la remise en état, mais elle doit s’appuyer sur une copie saine et sur la correction de la cause. Si le site est déjà compromis, le nettoyage et la sécurisation d’un site WordPress piraté nécessitent une vérification de l’ensemble des accès et des composants.

Documenter les gestes de l’équipe

Le phishing, les mots de passe réutilisés ou l’installation précipitée d’une extension recommandée dans un message douteux peuvent contourner les protections techniques. Évitez aussi d’envoyer des identifiants par e-mail.

Même dans une petite équipe, une courte procédure aide à clarifier les responsabilités : attribution des rôles, règles de mots de passe, validation des extensions, mises à jour et réaction à une anomalie. Associez-la à une routine de contrôle des comptes, des sauvegardes, des composants et des alertes.

Questions fréquentes

Article rédigé avec l’aide d’une IA à partir des sources citées et de notre pratique de la maintenance WordPress. Notre méthode éditoriale.