Sécuriser votre site WordPress

Chaque minute, 90 000 attaques ciblent des sites WordPress. Ce chiffre impressionnant ne reflète pas une faiblesse intrinsèque de WordPress lui-même. Il s’explique simplement par son omniprésence : la plateforme alimente 43,3 % de tous les sites internet, ce qui en fait naturellement la cible privilégiée des cybercriminels. Plus populaire signifie plus attaqué.

La bonne nouvelle ? Les failles du cœur de WordPress sont rares. En 2023, d’après kinsta, a enregistré seulement 0,2 % de vulnérabilités liées au noyau WordPress. La mauvaise nouvelle concerne vos extensions : en 2024, les plugins comptent pour 96 % de toutes les vulnérabilités WordPress.
Concrètement, selon Amphibee, 70 % des vulnérabilités proviennent des plugins, souvent installés sans réflexion ou abandonnés par leurs développeurs. Les attaques les plus fréquentes ? Le cross-site scripting (XSS) : 47 % des failles identifiées.

L’élément qui choque souvent les propriétaires de sites : 39,1 % des sites WordPress piratés fonctionnaient avec des logiciels obsolètes au moment de l’infection. Des sites où tout aurait pu être évité en maintenant son site à jour.

Rassurez-vous : Sécuriser son site n’est pas sorcier. Cela repose sur quelques fondamentaux que nous décrivons dans cet article.

Utilisez des identifiants de connexion sécurisés

L’utilisation d’identifiants de connexion solides et uniques est une étape essentielle de la sécurisation d’un site web WordPress. Il est recommandé d’utiliser un nom d’utilisateur difficile à deviner, tel qu’une combinaison de lettres, de chiffres et de symboles. En outre, il est important de créer un mot de passe fort et unique d’au moins 12 caractères, avec une combinaison de lettres majuscules et minuscules, de chiffres et de symboles. Les mots de passe ne doivent jamais être réutilisés sur plusieurs sites et il est conseillé de les changer régulièrement.
Les attaquants utilisent une technique appelée « force brute » (brute force en Anglais) pour essayer de multiples combinaisons de noms d’utilisateur et de mots de passe jusqu’à ce qu’ils en trouvent une qui fonctionne. En utilisant des identifiants de connexion sécurisés, vous pouvez réduire la probabilité que les attaques par force brute réussissent, ce qui rend l’accès non autorisé à votre site web beaucoup plus difficile pour les pirates.

Maintenez WordPress à jour

WordPress est l’un des systèmes de gestion de contenu les plus populaires au monde, ce qui en fait une cible privilégiée pour les pirates. Il est essentiel de maintenir WordPress à jour afin d’empêcher les pirates d’exploiter les vulnérabilités du noyau, des thèmes et des plugins de WordPress. La mise à jour régulière de WordPress garantit l’application des correctifs de sécurité, ce qui réduit le risque de piratage de votre site web.
Il est important de noter que le noyau, les thèmes et les plugins de WordPress sont constamment mis à jour pour corriger les failles de sécurité. Si vous ne mettez pas WordPress à jour, votre site web risque d’être la cible d’attaques qui peuvent être facilement évitées par des mises à jour régulières. En gardant WordPress à jour, vous pouvez réduire considérablement le risque de compromission de votre site web.

Utilisez HTTPS

HTTPS (Hypertext Transfer Protocol Secure) est un protocole de communication sécurisée sur l’internet. Il crypte la communication entre le navigateur de l’utilisateur et le serveur, ce qui rend plus difficile l’interception de données sensibles par des pirates. HTTPS est essentiel pour les sites web qui traitent des informations sensibles telles que les identifiants de connexion, les détails des cartes de crédit et les informations personnelles.

Limitez les tentatives de connexion

Limiter le nombre de tentatives de connexion est un moyen efficace de prévenir les attaques par force brute sur votre site web. Par défaut, WordPress autorise un nombre illimité de tentatives de connexion, ce qui permet aux pirates d’essayer plusieurs combinaisons de noms d’utilisateur et de mots de passe jusqu’à ce qu’ils en trouvent une qui fonctionne. Un plugin de limitation de connexion peut être installé pour limiter le nombre de tentatives de connexion et bloquer les adresses IP suspectes.
Ce plugin peut être configuré pour bloquer automatiquement les adresses IP qui ont dépassé la limite de connexion, ce qui rend plus difficile l’accès non autorisé à votre site web pour les pirates. Il est également conseillé d’utiliser l’authentification à deux facteurs (2FA) pour ajouter une couche de sécurité supplémentaire à votre processus de connexion.

Utilisez des plugins de sécurité

Des plugins de sécurité tels que Wordfence, Sucuri ou iThemes Security peuvent être installés pour ajouter une couche de sécurité supplémentaire à votre site web WordPress. Ces plugins peuvent analyser votre site web à la recherche de vulnérabilités, de logiciels malveillants et d’activités suspectes, et vous alerter si un problème est détecté. Ils peuvent également bloquer le trafic malveillant, limiter les tentatives de connexion et fournir des journaux détaillés de l’activité sur votre site web.
Les plugins de sécurité peuvent être configurés pour répondre aux besoins spécifiques de votre site web en matière de sécurité. Ils sont faciles à installer et à utiliser, et offrent un niveau de protection supplémentaire à votre site web sans nécessiter d’expertise technique.

Effectuez des sauvegardes régulières

La création de sauvegardes régulières de votre site web est cruciale en cas de violation de la sécurité. Les sauvegardes vous permettent de restaurer votre site web dans un état antérieur, minimisant ainsi l’impact d’une faille de sécurité. Les sauvegardes régulières doivent être stockées hors site afin de s’assurer qu’elles ne sont pas affectées par une faille de sécurité. Un webmaster professionnel peut sécuriser votre site de bout en bout.

À propos de l'auteur

Olivier Cotasson

Développeur depuis plus de 20 ans, et spécialisé WordPress et WooCommerce , je travaille principalement avec des PME françaises qui ont besoin de solutions sur mesure et néanmoins abordables. Je suis également l'auteur du Manuel WooCommerce.
Voir aussi la page A propos.

LinkedIn