Un site WordPress se protège surtout avec des gestes simples et réguliers : mettre à jour le cœur, les extensions et le thème, garder des sauvegardes hors du serveur, choisir des mots de passe solides et limiter les comptes administrateur. WordPress est le CMS le plus répandu, donc l’un des plus visés. Beaucoup d’attaques sont automatisées : des robots cherchent les failles connues, site après site, sans se soucier de savoir s’il s’agit d’une boutique, d’une mairie ou d’une association.
L’essentiel
- Un site à jour, avec peu d’extensions bien choisies, ferme la plupart des portes d’entrée connues.
- Une sauvegarde stockée hors du serveur et testée permet de repartir sur une version saine.
- Des mots de passe uniques, la double authentification et peu de comptes administrateur limitent les intrusions.
Pourquoi les sites WordPress sont-ils visés ?
Parce qu’une faille trouvée dans une extension répandue ouvre la porte à tous les sites qui ne l’ont pas mise à jour. Pour un pirate, c’est rentable : un même script teste les sites à la chaîne.
Une fois dans la place, un logiciel malveillant (malware) peut prendre plusieurs formes : du code injecté dans les pages, des redirections vers des sites douteux, des pages de spam cachées, ou un script qui récupère les identifiants et les adresses e-mail des utilisateurs. Sur une boutique en ligne, les données des clients sont exposées.
Les conséquences dépassent le site lui-même. Les visiteurs atterrissent sur des contenus qui n’ont rien à voir avec vous, votre réputation en prend un coup, et les navigateurs ou Google peuvent afficher un avertissement de site dangereux.
Les mises à jour, première protection
Les mises à jour de WordPress, des extensions et du thème contiennent souvent des correctifs de sécurité. Une fois un correctif publié, la faille devient publique. Un site qui reste en retard devient donc une cible facile.
Quelques réflexes :
- Faire une sauvegarde avant chaque mise à jour importante.
- Mettre à jour le cœur, les extensions et le thème, pas seulement l’un des trois.
- Vérifier ensuite que le site s’affiche et que les formulaires fonctionnent.
- Demander à l’hébergeur une version de PHP encore maintenue.
WordPress peut appliquer automatiquement certaines mises à jour de sécurité. Pour les mises à jour plus lourdes, un contrôle humain reste préférable, surtout sur un site qui fait vivre l’activité.
Moins d’extensions, mieux choisies
Chaque extension ajoute du code, donc une porte d’entrée possible. Une extension désactivée reste présente sur le serveur : si elle ne sert plus, supprimez-la. Même chose pour les thèmes inutilisés.
Avant d’installer une extension, regardez sa date de dernière mise à jour, sa compatibilité avec votre version de WordPress et sa provenance. Téléchargez-la depuis le répertoire officiel de WordPress ou le site de l’éditeur. Les versions payantes « offertes » sur des sites pirates contiennent souvent du code malveillant (le cadeau coûte cher).
Des sauvegardes qui servent le jour où tout casse
Une sauvegarde utile comprend les fichiers du site et la base de données. Elle se fait automatiquement, à un rythme adapté à la fréquence de vos modifications.
Stockez-la ailleurs que sur le serveur du site : si l’hébergement est compromis, une copie posée au même endroit peut l’être aussi. Gardez plusieurs versions, car une infection peut dater de plusieurs semaines avant d’être repérée. Et testez la restauration de temps en temps. Une sauvegarde jamais restaurée reste une promesse. Pour comparer les options, voyez notre article sur les solutions de sauvegarde des données.
Mots de passe et comptes administrateur
Une partie des intrusions passe par la page de connexion, avec des robots qui essaient des combinaisons en boucle. Les bons réflexes :
- Un mot de passe long et unique par compte, stocké dans un gestionnaire de mots de passe.
- La double authentification pour les comptes qui ont des droits élevés.
- Pas d’identifiant « admin », l’un des premiers testés par les robots.
- Le moins possible de comptes administrateur. La personne qui publie les actualités n’a besoin que d’un rôle Éditeur ou Auteur.
- La suppression des comptes des anciens salariés, bénévoles ou prestataires.
- Une limite au nombre de tentatives de connexion, via l’hébergeur ou une extension.
Hébergeur et extension de sécurité : des renforts utiles
Un hébergeur sérieux apporte une partie de la protection : certificat HTTPS, pare-feu, analyse des fichiers, sauvegardes côté serveur. Posez-lui la question avant de choisir.
Une extension de sécurité ajoute un pare-feu applicatif, une analyse des fichiers et des alertes en cas de modification suspecte. C’est un renfort, pas une baguette magique : elle ne remplace ni les mises à jour ni les sauvegardes.
Votre site a été piraté : que faire ?
Agissez vite, mais dans l’ordre :
- Notez ce que vous constatez (captures d’écran, date, pages touchées).
- Prévenez votre hébergeur, qui peut isoler le site.
- Changez tous les mots de passe : WordPress, hébergement, accès FTP, base de données, messagerie liée.
- Restaurez une sauvegarde saine, antérieure à l’infection, puis mettez tout à jour.
- Cherchez la faille d’origine, sinon l’attaque risque de recommencer.
Si des données personnelles ont pu fuiter, le RGPD peut vous imposer de notifier la violation à la CNIL et parfois aux personnes concernées. Nous en parlons dans notre article sur le RGPD et la sécurité.
Et chez InfoRéso ?
Nous créons des sites sur mesure sous WordPress et nous gérons ceux de nos clients au quotidien. Si vous voulez un site suivi dans la durée, voyez notre page création de site internet. Et si votre site montre des signes inquiétants, contactez-nous.
