Maintenance et sécurité
Sécuriser WordPress : réduire les risques sans fausse garantie
Aucune extension ne rend WordPress invulnérable. La sécurité repose sur plusieurs couches : composants maintenus, accès protégés, permissions minimales, sauvegardes restaurables, journalisation et capacité de réaction.
Lire le conseilSécuriser WordPress commence par des choix assez concrets : savoir qui peut intervenir, quels composants sont installés et comment remettre le site en état si quelque chose tourne mal. Une extension de sécurité peut aider sur certains points. Elle ne remplace ni les mises à jour, ni la protection des accès, ni une sauvegarde que l’on sait restaurer.
Repérer les accès et les composants à protéger
Avant de modifier des réglages, faites un inventaire court. L’objectif est de retrouver les éléments qui permettent d’agir sur le site, y compris en dehors de WordPress. Un compte administrateur bien protégé ne suffit pas si l’accès à l’hébergement ou à la messagerie de récupération est laissé à une personne qui n’intervient plus.
- WordPress : version du cœur, thèmes, extensions, code ajouté et origine de chaque composant.
- Accès : personnes autorisées, rôles, comptes techniques et moyens de récupération utilisés.
- Hébergement et services : panneau serveur, transferts de fichiers, domaine, DNS et intégrations réellement actives.
- Reprise : contenu des sauvegardes, lieu de conservation et personne capable de les restaurer.
Vérifiez les informations de maintenance auprès de l’éditeur ou de la source officielle. Une date ancienne ne prouve pas, à elle seule, qu’une extension est dangereuse ; une disponibilité récente ne prouve pas non plus qu’elle convient au site. Une alerte précise sur une version installée mérite une vérification et une décision identifiées, plutôt qu’un simple ajout d’extension de protection.
Mettre à jour en gardant une possibilité de retour
Les mises à jour du cœur, des thèmes et des extensions font partie de l’entretien de sécurité. Utilisez les sources légitimes de ces composants et vérifiez les conditions de compatibilité annoncées. Un paquet récupéré sur un site tiers parce qu’il est gratuit ne donne pas la même assurance sur son origine.
Avant une intervention, contrôlez qu’une sauvegarde récente couvre les fichiers et la base de données nécessaires. Une archive présente dans un panneau ne démontre pas qu’elle est complète ou exploitable. La restauration sur un environnement isolé permet de vérifier le résultat sans remplacer le site en production.
Adaptez la recette aux fonctions utilisées : connexion, formulaire, recherche, commande, paiement ou espace privé. Sur une boutique active, revenir à une ancienne base peut effacer des commandes reçues depuis la sauvegarde ; un retour arrière doit donc tenir compte des données nouvelles. Ne remplacez pas la production avec une copie locale par simple commodité.
Retirez les composants réellement inutilisés après avoir vérifié leurs dépendances et conservé ce qui sert au retour arrière. Pour un correctif de sécurité confirmé, évitez un report sans échéance : préparez son application ou faites définir une mesure temporaire adaptée. Un pare-feu peut compléter la protection ; sa présence ne prouve pas qu’un composant vulnérable est corrigé.
Donner les bons droits et tester la récupération
Une personne chargée de publier un article n’a pas nécessairement besoin de gérer les extensions et les autres comptes. Choisissez le rôle qui correspond à son travail et vérifiez ses capacités réelles : des extensions ou du code peuvent modifier les droits habituels. Réservez les accès administrateur aux personnes qui en ont l’usage.
Privilégiez des comptes nominatifs, des mots de passe uniques et un gestionnaire de mots de passe. Activez une authentification à deux facteurs avec une solution adaptée lorsque le service la propose ; sa disponibilité et son fonctionnement doivent être vérifiés pour les comptes concernés. Protégez aussi l’hébergement, le domaine et la messagerie qui permet de récupérer ces accès.
Conservez les moyens de récupération dans un espace protégé, accessible aux seules personnes autorisées. Vérifiez qu’un responsable peut reprendre l’accès si le téléphone ou l’interlocuteur habituel n’est plus disponible. À la fin d’une prestation, retirez les droits devenus inutiles après avoir identifié les comptes techniques et intégrations qui en dépendent.
Changer l’adresse de connexion ou masquer le nom d’utilisateur ne corrige pas une faille dans une extension. Ces réglages éventuels ne doivent pas faire oublier les droits, les mises à jour et la récupération. Évitez aussi d’empiler des restrictions sans tester la connexion normale et les outils légitimes qui utilisent le site.
Protéger les fichiers et séparer les sauvegardes
Les propriétaires et permissions doivent correspondre à l’hébergement et aux processus qui écrivent réellement les fichiers. Ouvrir tous les droits avec chmod 777 pour faire disparaître une erreur expose davantage le site. Faites corriger le chemin et le droit en cause, sans modification récursive générale ni valeur copiée au hasard.
Utilisez des transferts chiffrés lorsque l’hébergement les prend en charge et conservez HTTPS sur le site. Ces protections concernent le transport ; elles ne rendent pas sain un fichier déjà compromis. Empêchez l’accès public aux sauvegardes, secrets et journaux de diagnostic. Si l’édition de code dans l’administration est désactivée, prévoyez un autre parcours de maintenance documenté.
Une sauvegarde conservée uniquement dans le même espace que le site peut être touchée par le même incident. Prévoyez une copie indépendante et des accès adaptés, puis vérifiez périodiquement une restauration isolée. La fréquence et la conservation dépendent des données que le site peut perdre : un formulaire vitrine et une boutique qui reçoit des commandes ne posent pas le même problème de reprise.
Savoir qui reçoit une alerte et quoi faire ensuite
Définissez les événements utiles à suivre : nouveau compte privilégié, modification de fichiers inattendue, redirection inconnue, échecs de connexion ou indisponibilité. Une modification peut être légitime ; rapprochez l’alerte des interventions prévues avant de conclure à une intrusion. Limitez les données enregistrées à ce qui sert au diagnostic et protégez leur accès.
Vérifiez qu’une alerte arrive réellement à la personne responsable et qu’elle sait quelle première action effectuer. Un tableau de bord vert n’est pas une preuve d’absence d’intrusion. En cas de suspicion, conservez les éléments utiles et faites qualifier le périmètre avant de supprimer des fichiers ou de réinstaller au hasard.
Si le site semble déjà compromis, utilisez le parcours d’intervention pour un site piraté. Pour organiser les mises à jour, les contrôles et la reprise dans la durée, la maintenance WordPress permet de définir un périmètre et des responsabilités clairs. Les protections doivent être suivies ; aucun outil ne permet de promettre un site invulnérable.