Sécuriser WordPress : les mesures les plus utiles

WordPress alimente une part importante du web, ce qui en fait une cible fréquente d’attaques automatisées. La bonne nouvelle : la grande majorité de ces attaques ciblent des failles connues et déjà corrigées, ou des pratiques qu’il est possible d’éviter. Voici les mesures qui ont généralement le plus d’effet.

1. Les mises à jour, avant tout

La majorité des compromissions WordPress exploitent des vulnérabilités déjà corrigées dans une version plus récente du cœur, d’un thème ou d’une extension. Tenir son site à jour écarte donc l’essentiel de cette catégorie de risque. C’est souvent la mesure la plus efficace ; elle est pourtant fréquemment repoussée, par manque de temps ou par crainte de casser le site en production. Un environnement de test permet de valider une mise à jour avant de la déployer.

2. Les sauvegardes, testées

Une sauvegarde n’est vraiment utile que si l’on a vérifié qu’elle peut être restaurée. Au-delà de la fréquence des sauvegardes, ce qui compte est la capacité à remettre en ligne rapidement un site compromis ou corrompu.

3. Le filtrage en amont du serveur

Un pare-feu applicatif qui filtre le trafic avant qu’il n’atteigne votre serveur (au niveau du réseau, pas d’un plugin WordPress) réduit la charge sur le site et bloque une partie des tentatives d’attaque avant même qu’elles n’exécutent du code PHP.

4. Les identifiants et les accès

Authentification forte sur les comptes administrateurs, limitation des tentatives de connexion, suppression des comptes utilisateurs inutilisés : des mesures simples, qui protègent l’accès le plus direct à un site — son panneau d’administration.

5. L’environnement d’hébergement

Sur un serveur partagé, une faille exploitée sur un autre compte peut, selon la configuration et le niveau d’isolation entre comptes, avoir des conséquences sur les sites voisins. Le nombre de comptes par serveur, l’isolation entre eux et la surveillance assurée par l’hébergeur font partie des critères à examiner au moment de choisir un hébergement.

Et les extensions de sécurité ?

Les extensions qui analysent les fichiers détectent le plus souvent une compromission après coup. Elles restent utiles comme filet de sécurité, mais ne remplacent pas les mesures de prévention décrites ci-dessus.