Sécurité WordPress
Un site WordPress piraté fait perdre des visiteurs, des clients et du référencement. La bonne nouvelle : la plupart des attaques exploitent des failles connues et évitables. Voici comment protéger votre site, étape par étape.
WordPress fait fonctionner une très grande part des sites web. Cette popularité en fait une cible naturelle : une faille découverte dans le cœur, un thème ou une extension peut être exploitée sur des milliers de sites à la fois, par des robots qui scannent le web en continu.
Dans la pratique, ce n'est pas WordPress lui-même qui est le plus souvent en cause, mais ce qui l'entoure : des extensions ou des thèmes qui ne sont plus mis à jour, des mots de passe faibles, un hébergement mal configuré. Autrement dit, des points sur lesquels vous pouvez agir.
Voici les attaques les plus courantes contre un site WordPress :
Le point commun de ces attaques : elles réussissent surtout sur des sites qui ne sont plus entretenus.
Dix gestes simples protègent déjà contre la grande majorité des attaques automatisées :
À retenir
Une sauvegarde récente et externe est votre meilleure assurance : même dans le pire des cas, vous pouvez remettre le site en l'état.
Au-delà des réflexes de base, quelques réglages techniques ferment des portes supplémentaires :
Ces réglages demandent un minimum de précautions : sauvegardez avant de modifier wp-config.php, et testez le site après chaque changement.
Un site protégé n'est pas un site que l'on oublie. La surveillance permet de détecter un problème avant que vos visiteurs ne le voient :
Pour savoir où vous en êtes aujourd'hui, notre quiz sécurité vous donne un score de risque en 2 minutes.
Si vous constatez des redirections inattendues, des pages que vous n'avez pas créées ou une alerte de votre navigateur ou de Google, agissez dans cet ordre :
Besoin d'aide ?
Un nettoyage mal fait laisse souvent une porte dérobée qui permet au pirate de revenir. Si vous n'êtes pas à l'aise, faites-vous accompagner : demandez un audit gratuit.
La sécurité n'est pas un réglage que l'on fait une fois : c'est un ensemble de gestes répétés. C'est ce que couvre une maintenance régulière : mises à jour hebdomadaires, sauvegardes quotidiennes externalisées, surveillance et protection du site.
Si vous préférez ne plus y penser, découvrez notre forfait de maintenance WordPress.
Chacun de ces guides approfondit un point de cette page. Ils sont publiés au fur et à mesure.
Lire l'article →
Le guide d'urgence, étape par étape.
Lire l'article →
Repérer, supprimer et prévenir le retour d'un logiciel malveillant.
Bientôt
Quand votre site renvoie vos visiteurs ailleurs.
Bientôt
Comment la lever et demander un réexamen.
Bientôt
Les critères pour choisir une extension de sécurité.
Bientôt
Sécuriser la porte d'entrée de l'administration.
Bientôt
Comment se tenir informé et réagir vite.
Bientôt
Installation, renouvellement et erreurs fréquentes.
Bientôt
Les réglages techniques qui ferment des portes.
WordPress est-il un CMS sûr ?
Le cœur de WordPress est régulièrement audité et corrigé. Les problèmes viennent surtout des extensions et des thèmes non mis à jour, des mots de passe faibles et d'un hébergement mal configuré. Un WordPress entretenu est un site sûr.
Faut-il installer un plugin de sécurité ?
Une extension de sécurité apporte une analyse des malwares, un pare-feu et une limitation des tentatives de connexion. Elle ne remplace ni les mises à jour ni les sauvegardes : elle les complète. Une seule extension de sécurité suffit, il est inutile d'en empiler plusieurs.
Comment savoir si mon site a été piraté ?
Les signes courants : redirections vers d'autres sites, pages ou liens que vous n'avez pas créés, avertissement du navigateur ou de Google, comptes administrateurs inconnus, site soudainement très lent. Une analyse complète permet de le confirmer.
Le HTTPS suffit-il à protéger mon site ?
Non. Le HTTPS chiffre les échanges entre le visiteur et le site, mais ne protège pas contre une faille d'extension ou un mot de passe faible. C'est une protection nécessaire, pas suffisante.
À quelle fréquence faut-il mettre à jour ?
Idéalement chaque semaine, et immédiatement quand un correctif de sécurité est publié. C'est la fréquence que nous appliquons aux sites en maintenance.
Sécurité WordPress
Faites le quiz en 2 minutes pour obtenir votre score de risque, ou demandez un audit gratuit.