Par où les sites WordPress se font pirater
Le cœur de WordPress est rarement en cause. Dans l'écrasante majorité des cas, l'entrée se fait par l'un de ces chemins :
- Une extension ou un thème vulnérable. C'est là que se concentrent la plupart des failles publiées. Une extension abandonnée par son éditeur ne sera jamais corrigée.
- Un accès administrateur trop facile. Mot de passe réutilisé, pas de double authentification, anciens comptes de prestataires jamais supprimés, page de connexion bombardée sans limite.
- Un fichier sensible laissé en ligne. Copie de
wp-config.php, sauvegarde de base de données à la racine,phpinfo()de test, répertoireuploadslistable. - Une configuration serveur incomplète. HTTPS non forcé, cookies de session sans attributs de sécurité, en-têtes de protection absents.
Les priorités pour sécuriser WordPress
1. Faire l'inventaire et mettre à jour
Listez le cœur, le thème et chaque extension avec sa version, puis comparez-les aux failles publiées. Supprimez (pas seulement désactivez) ce qui ne sert plus. Mettez à jour en priorité ce qui a une faille connue, en testant d'abord sur une copie du site, surtout pour une boutique WooCommerce.
2. Verrouiller les accès
Double authentification pour tous les administrateurs, limitation des tentatives de connexion, un compte nominatif par personne, et suppression des comptes inutiles. Vérifiez aussi les accès FTP, SSH et hébergeur : ce sont d'autres portes d'entrée.
3. Retirer ce qui ne doit pas être public
Pas de sauvegarde ni de fichier de configuration accessible depuis le web, pas de listage de répertoires, pas de panneau phpMyAdmin exposé. Le test gratuit vérifie précisément ces points.
4. Renforcer le serveur et le domaine
HTTPS forcé avec HSTS, en-têtes de sécurité, cookies Secure et HttpOnly, et enregistrements SPF, DKIM et DMARC pour empêcher qu'on envoie des e-mails en votre nom.
5. Sauvegarder, hors du serveur
Une sauvegarde stockée sur le même serveur disparaît avec lui, ou se fait chiffrer avec lui. Gardez des copies régulières ailleurs, et vérifiez de temps en temps qu'elles se restaurent.
Une fois les failles corrigées, tout l'enjeu est de tenir dans la durée : de nouvelles failles d'extensions sont publiées en permanence, et un site sécurisé aujourd'hui ne le reste que s'il est suivi. Si vous n'avez pas le temps de surveiller les mises à jour vous-même, une maintenance WordPress au forfait s'en charge pour vous.
Déjà des signes de piratage ?
Redirections vers des sites douteux, nouveaux administrateurs inconnus, pages en japonais dans Google : ne vous contentez pas de mettre à jour, le site est peut-être déjà compromis. Voir site piraté : que faire.