Sécurité WordPress

Qu’est-ce que la sécurité WordPress?

La sécurité WordPress désigne l’ensemble des choix de configuration, des habitudes de mise à jour, des contrôles d’accès et des protections serveur qui empêchent un site WordPress d’être défiguré, utilisé pour envoyer du pourriel, infecté par des redirections malveillantes ou exploité pour voler des données de clients. Elle couvre le noyau de WordPress, chaque extension et chaque thème installés, les comptes d’utilisateurs, l’environnement d’hébergement et la base de données.

Le noyau de WordPress est lui-même examiné par une équipe de sécurité dédiée, qui publie des mises à jour de sécurité mineures que la plupart des sites installent automatiquement. Dans les faits, la plupart des compromissions viennent des couches qui l’entourent : une extension désuète ou abandonnée, un mot de passe administrateur réutilisé, un thème premium piraté (« nulled ») ou un compte d’hébergement mutualisé où un site vulnérable expose ses voisins. Une bonne sécurité WordPress tient donc moins à une seule extension qu’à la réduction du nombre de choses qui peuvent mal tourner.

Pourquoi la sécurité WordPress est importante

Parce que WordPress est très répandu, des robots automatisés cherchent jour et nuit des failles connues. Le site d’une petite entreprise n’est pas trop petit pour être ciblé : c’est simplement une adresse de plus sur une liste.

Les données des clients : les formulaires de contact, les comptes et les commandes WooCommerce contiennent des renseignements personnels. En vertu de la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques), une atteinte qui présente un risque réel de préjudice grave doit être déclarée au Commissariat à la protection de la vie privée du Canada et aux personnes touchées.
La visibilité dans les moteurs de recherche : Google signale les sites piratés dans ses résultats de recherche, et Chrome peut afficher un avertissement pleine page, ce qui coupe le trafic jusqu’à ce que le site soit nettoyé et réexaminé.
Les revenus et la réputation : des liens de pourriel injectés, des redirections vers des pages frauduleuses ou une page d’accueil défigurée minent la confiance longtemps après le nettoyage.
Les conséquences chez l’hébergeur : les hébergeurs suspendent souvent les comptes qui envoient du pourriel ou diffusent des logiciels malveillants, ce qui met hors ligne le courriel et tous les autres sites du compte.
Le coût du nettoyage : éliminer une infection persistante, trouver le point d’entrée et rebâtir la confiance coûte bien plus cher que la prévention.

Les couches clés de la sécurité WordPress

Les mises à jour : garder à jour le noyau, les extensions, les thèmes et la version de PHP du serveur, idéalement en testant d’abord sur une copie de préproduction pour que la crainte de briser le site ne retarde pas les correctifs de sécurité.
L’authentification : des mots de passe forts et uniques, l’authentification à deux facteurs pour chaque compte doté de droits de modification, une limite aux tentatives de connexion et le moins d’administrateurs possible.
Le principe du moindre privilège : donner aux éditeurs, aux auteurs et aux gestionnaires de boutique seulement les rôles dont ils ont besoin; limiter la portée des mots de passe d’application et des clés d’API, et les révoquer lorsqu’ils ne servent plus.
Le renforcement : des réglages dans wp-config.php, comme DISALLOW_FILE_EDIT pour désactiver l’éditeur de fichiers intégré des thèmes et des extensions, des clés de sécurité et des « salts » uniques, des permissions de fichiers appropriées et la désactivation de XML-RPC si rien n’en dépend.
Le serveur et le réseau : le HTTPS partout avec un certificat SSL valide, un pare-feu applicatif Web chez l’hébergeur ou au niveau du CDN, des comptes isolés pour chaque site, et SFTP ou SSH plutôt que le FTP non chiffré.
La détection et la récupération : l’analyse des modifications de fichiers et des logiciels malveillants, la surveillance de la disponibilité, des journaux d’activité et des sauvegardes hors site testées, pour qu’une mauvaise journée se termine par une restauration plutôt que par une reconstruction.

Erreurs courantes en matière de sécurité WordPress

Garder des extensions inactives installées : une extension désactivée peut demeurer accessible et exploitable; si vous ne l’utilisez pas, supprimez-la.
Utiliser des thèmes ou des extensions piratés : les copies « gratuites » de produits premium provenant de sources non officielles contiennent souvent des portes dérobées et ne reçoivent jamais de mises à jour.
Partager une seule connexion administrateur : des identifiants partagés empêchent de révoquer l’accès d’un contractuel qui part ou de savoir qui a modifié quoi.
Compter uniquement sur une extension de sécurité : une extension ne peut pas corriger une version de PHP désuète, un hébergement mal configuré ou un thème abandonné.
Stocker les sauvegardes sur le même serveur : si le serveur est compromis ou supprimé, les sauvegardes disparaissent avec lui.

Bonnes pratiques de sécurité WordPress

Passez en revue vos extensions : vérifiez la date de dernière mise à jour et l’activité du soutien de chaque extension; remplacez toute extension abandonnée ou retirée du répertoire WordPress.org. Notre guide des extensions WordPress explique comment les évaluer.
Imposez l’authentification à deux facteurs : exigez-la au minimum pour les administrateurs, les éditeurs et les gestionnaires de boutique.
Gérez les mises à jour avec un environnement de préproduction : appliquez rapidement les mises à jour de sécurité et testez les changements de version importants en préproduction avant la mise en ligne.
Choisissez un hébergement avec isolation et pare-feu : l’isolation de chaque site, l’analyse des logiciels malveillants au niveau du serveur et une version de PHP à jour comptent plus qu’une longue liste de fonctionnalités.
Rédigez un plan d’intervention : qui appeler, où se trouvent les sauvegardes, comment changer les mots de passe et les clés, et comment aviser les clients si des renseignements personnels sont en cause.
Faites une revue trimestrielle : supprimez les anciens comptes d’utilisateurs, renouvelez les clés d’API et confirmez que les sauvegardes se restaurent réellement.

La sécurité WordPress chez PerfectPixels

Nous renforçons chaque site WordPress que nous concevons : des extensions peu nombreuses et soigneusement évaluées, des connexions à deux facteurs, des réglages judicieux dans wp-config.php et un hébergement choisi pour son isolation et sa prise en charge des versions récentes de PHP. Pour nos clients réguliers, nous nous occupons des mises à jour testées, de la surveillance et des sauvegardes hors site dans le cadre de nos services de développement WordPress. Et lorsqu’un site a déjà été compromis, nous le nettoyons, trouvons le point d’entrée et le colmatons, plutôt que de simplement faire disparaître les symptômes visibles.

Questions fréquentes

WordPress est-il moins sécuritaire que d’autres plateformes?

Le noyau de WordPress est activement entretenu et bénéficie d’une équipe de sécurité dédiée. Sa réputation tient surtout à la taille de son écosystème d’extensions et aux sites qui ne sont jamais mis à jour. Un site WordPress bien entretenu, doté d’extensions évaluées avec soin, est un choix solide pour la plupart des entreprises.

Ai-je besoin d’une extension de sécurité?

Une extension de sécurité réputée peut ajouter une protection de la connexion, des alertes de modification de fichiers et l’analyse des logiciels malveillants, ce qui est utile sur bien des sites. Elle doit compléter un bon hébergement, des mises à jour et des sauvegardes, et non les remplacer. Certains hébergeurs gérés offrent une protection équivalente au niveau du serveur; une extension lourde ferait alors double emploi.

Que faire si mon site WordPress est piraté?

Mettez le site en mode maintenance, changez tous les mots de passe et toutes les clés, et communiquez avec votre hébergeur. Restaurez ensuite une sauvegarde reconnue saine ou faites retirer l’infection par des professionnels, déterminez comment l’attaquant est entré et corrigez la faille. Si des données de clients ont pu être consultées, évaluez vos obligations de déclaration d’atteinte en vertu de la LPRPDE.

Ressources connexes

Pour en savoir plus : Hardening WordPress (en anglais) — WordPress Developer Resources.