Sécuriser WordPress

La plupart des sites WordPress piratés ne sont pas visés nommément. Des outils automatisés parcourent le web à la recherche de logiciels obsolètes, de mots de passe faibles et d’extensions oubliées. Ce guide présente les habitudes qui comblent ces failles. Il s’adresse aux propriétaires de sites et à toute personne qui gère un site WordPress, et aucune étape ne demande de connaissances en programmation.

Tout garder à jour​

Les mises à jour corrigent les failles de sécurité autant que les bugs. Les extensions et thèmes obsolètes sont une porte d’entrée fréquente, car dès qu’un correctif est publié, la faiblesse qu’il corrige devient publique elle aussi.

• Mettez à jour WordPress lui-même, chaque extension et chaque thème, y compris ceux qui sont inactifs.
• Consultez Tableau de bord > Mises à jour au moins une fois par semaine, ou activez les mises à jour automatiques là où vous êtes à l’aise avec elles.
• Faites une sauvegarde avant les grosses mises à jour. Mettre à jour WordPress en toute sécurité explique l’ordre le plus sûr.

Protéger chaque compte​

Utilisez des mots de passe solides et uniques. Chaque compte a besoin d’un mot de passe long, utilisé nulle part ailleurs. Un gestionnaire de mots de passe rend cela simple. Réutiliser un mot de passe est dangereux, car une fuite sur un autre site peut ouvrir le vôtre.

Activez la double authentification. La double authentification (2FA) demande une seconde preuve après le mot de passe, généralement un code provenant d’une application sur votre téléphone. WordPress ne l’inclut pas par défaut : installez une extension de double authentification bien maintenue depuis le répertoire officiel des extensions et activez-la pour chaque administrateur.

Limitez les comptes administrateurs. Ne donnez les droits d’administrateur qu’aux personnes qui installent des extensions ou gèrent les utilisateurs. Les éditeurs et les auteurs peuvent faire l’essentiel du travail quotidien. Consultez le tableau des rôles dans Bien démarrer avec WordPress.

Vérifier qui a accès​

Ouvrez Users (Utilisateurs) tous les quelques mois et cherchez :

• Les comptes de personnes qui ne travaillent plus sur le site. Supprimez-les et attribuez leur contenu à un autre utilisateur quand WordPress vous le demande.
• Des administrateurs que vous ne reconnaissez pas. Un administrateur inconnu peut indiquer que le site a été compromis. Consultez Que faire si votre site web est piraté.
• D’anciens identifiants partagés. Remplacez-les par un compte par personne, pour toujours savoir qui a fait quoi.

Supprimer ce que vous n’utilisez pas​

Une extension ou un thème inactif reste sur le serveur, et ses fichiers peuvent toujours être attaqués s’ils contiennent une faille. Supprimez les extensions que vous n’utilisez plus, et ne gardez que votre thème actif plus un thème WordPress par défaut, en solution de repli pour le dépannage.

N’installer que depuis des sources fiables​

Procurez-vous les thèmes et les extensions dans les répertoires officiels de wordpress.org ou directement sur le site du développeur.

Garder des sauvegardes restaurables​

Une sauvegarde est votre porte de sortie si quelque chose tourne mal. Une bonne sauvegarde :

• Comprend à la fois les fichiers et la base de données.
• S’exécute automatiquement et est conservée plusieurs semaines, pour pouvoir revenir à un état antérieur au problème.
• Est stockée à l’écart du site lui-même, ou au moins en dehors du dossier du site web.
• A été testée : restaurez-la au moins une fois, par exemple sur une copie de préproduction, pour savoir qu’elle fonctionne.

Consultez Sauvegardes et restaurations.

Utiliser le HTTPS partout​

Le HTTPS chiffre la connexion entre les visiteurs et votre site : les mots de passe et les saisies de formulaires ne peuvent pas être lus en chemin. Installez un certificat SSL, réglez les deux adresses de Réglages > Général en https:// et redirigez tout le trafic http://. Consultez Les certificats SSL expliqués et Corriger le contenu mixte après le passage au HTTPS.

Désactiver l’éditeur de fichiers intégré​

WordPress dispose d’un éditeur qui permet aux administrateurs de modifier le code des thèmes et des extensions depuis le tableau de bord. Si quelqu’un prend le contrôle d’un compte administrateur, il peut s’en servir pour ajouter du code malveillant. Désactivez-le en ajoutant cette ligne dans wp-config.php, au-dessus de la ligne /* That's all, stop editing! */ :

define( 'DISALLOW_FILE_EDIT', true );

Vous pouvez toujours modifier le code en éditant les fichiers par SFTP. Modifiez wp-config.php avec prudence et gardez d’abord une copie de l’original. Consultez Téléverser des fichiers par SFTP.

Extensions de sécurité​

Une extension de sécurité peut ajouter des fonctions comme la limitation des tentatives de connexion échouées, un pare-feu qui filtre les requêtes malveillantes, des alertes en cas de modification de fichiers et des analyses antimalware. Choisissez une seule extension bien maintenue plutôt que plusieurs, car des extensions de sécurité qui se chevauchent peuvent entrer en conflit ou vous bloquer l’accès. Une extension aide, mais elle ne remplace pas les mises à jour, les mots de passe solides et les sauvegardes.

Guides associés​

• Mettre à jour WordPress en toute sécurité
• Protéger votre compte d’hébergement
• Que faire si votre site web est piraté
• Sauvegardes et restaurations