Table des matières
Les sites WordPress étant de plus en plus populaires, ils sont également de plus en plus ciblés par les pirates informatiques.
La sécurité des sites web est donc devenue une priorité absolue pour les entreprises comme pour les particuliers. Selon une étude sérieuse, 27% des personnes victimes d’un piratage ont indiqué avoir subi une perte de revenus, tout en dégradant l’image de marque de leurs clients, ce qui est tout aussi peu réjouissant.
Dans cet article, nous vous fournirons des conseils d’experts pour sécuriser votre site WordPress et le protéger contre les menaces potentielles.
Nous allons vous montrer comment renforcer la sécurité de votre site WordPress en utilisant des plugins de sécurité, en configurant correctement votre site et en suivant les meilleures pratiques de sécurité. De la mise en place de mots de passe forts et d’une authentification à deux facteurs à la mise à jour régulière des plugins et des thèmes, nous couvrirons tous les aspects de la sécurité d’un site web.
Que vous soyez un débutant ou un utilisateur expérimenté de WordPress, ce guide vous fournira les connaissances et les outils nécessaires pour protéger votre site et conserver vos précieuses données en toute sécurité. En suivant ces étapes, vous pourrez protéger votre site contre les attaques et vous assurez qu’il continue de fonctionner de manière efficace.
Pourquoi la sécurité de WordPress est-elle importante ?
Une mauvaise sécurité peut permettre à des individus malveillants de pirater votre site, d’accéder à des données sensibles ou de compromettre votre site de différentes manières.
Si votre site WordPress collecte des informations personnelles, telles que des adresses e-mail, des noms d’utilisateurs, ou des informations de paiement, il est de votre responsabilité de sécuriser ces données. Une faille de sécurité peut entraîner la fuite de données sensibles, ce qui peut nuire à la réputation de votre site et à la confiance des utilisateurs.
Une bonne sécurité permet également de réduire les attaques de type DDoS (Distributed Denial of Service), assurant ainsi une disponibilité de votre site. Votre site reste accessible et continue de fonctionner malgré les attaques.
Les vulnérabilités bien connues de WordPress:
Même si l’avantage de WordPress est d’être efficace en termes de sécurité et de mises à jour, on n’est jamais à l’abri de l’un des problèmes suivants:
L’utilisation de mots de passe faibles :
Les utilisateurs doivent utiliser des mots de passe forts et uniques, combinant des lettres, des chiffres et des caractères spéciaux, et éviter d’utiliser des informations personnelles évidentes.
Plugins et thèmes vulnérables :
Les plugins et les thèmes doivent être choisis avec soins. Il est donc recommander d’installer des plugins et des thèmes provenant de sources fiables et de vérifier les avis et les mises à jour de sécurité avant de les installer.
Absence de mises à jour régulières :
Il est important de maintenir votre installation WordPress à jour afin de bénéficier de ces correctifs et de protéger votre site contre les failles connues. Il faut mettre à jour sa version de WordPress, ses plugins et son thème, pour éviter de vous retrouver le bec dans l’eau et de perdre le fruit de votre travail. Effectuez vos mises à jour pour renforcer la sécurité de votre wordpress et dormez sur vos deux oreilles !
Fichiers de configuration accessibles :
Les fichiers de configuration sensibles, tels que le fichier wp-config.php, readme.html et .htaccess peuvent contenir des informations sensibles, y compris des identifiants de base de données. S’assurer que ces fichiers sont correctement sécurisés et qu’il ne sont pas éditables par les internautes. Au besoin, changer les autorisations d’accès pour la sécurité globale du site.
Ajouter un Captcha sur la page de connexion
Pour renforcer votre connexion à votre tableau de bord WordPress, vous pouvez avoir un capcha pour indiquer que vous êtes bien une personne et non un robot. Le cacha empêche qui pourrait tester vos identifiants de connexion afin de rentrer dans votre interface.
Utiliser cet outil de limitation des tentatives de connexion peut aider à prévenir les d’attaques par force brute.
Login No Captcha reCAPTCHA
Par Robert Peake
- Version : 1.6.10
- Dernière mise à jour : il y a 8 mois
- Installations actives : 80 000+
- Version de WordPress : 4.6 ou plus Testé jusqu’à : 5.4.4
Sinon, vous avez l’option de l’authentification en deux étapes ou bien Limit Login Attempts Reloaded pour éviter les attaques par force brute.
Désactiver l’édition de vos fichiers directement depuis le backoffice
Dans votre fichier « wp-config.php », qui se trouve dans la source de votre template WordPress, après la mention placez cette ligne de code :
define('disallow_file_edit',true);Masquer votre version de WordPress:
Utiliser pour cela le fichier « function.php » et ajouter ce bout de code :
remove_action("wp_head", "wp_generator");On peut également empêcher le flux RSS d’afficher la version WordPress avec la fonction suivante
function wpt_remove_version() {
return ''; }
add_filter('the_generator', 'wpt_remove_version');Mise en œuvre du protocole HTTPS:
Google recommande que tous les sites Web utilisent le protocole SSL / HTTPS afin d’améliorer la sécurité. Assurez-vous de disposer d’un certificat SSL valide et correctement configuré au niveau de votre hébergeur. Ensuite, installez le plugin Really Simple SSL depuis votre back-office Worpress.
Faites des sauvegardes régulières :
Les sauvegardes régulières garantissent que vous disposez d’une copie récente de votre site et de toutes ses données. En cas de problème, vous n’avez qu’à restaurer votre site pour éviter la perte de vos données. Si votre site est compromis, une restauration à partir d’une sauvegarde antérieure, effectuée avant l’attaque, vous permet de supprimer les fichiers malveillants et de rétablir l’intégrité de votre site.
Plugin de sauvegarde automatique : UpdraftPlus, Jetpack (payant)
Vous pouvez aussi demander à votre hébergeur de restaurer une sauvegarde antérieure.
Surveiller et détecter les failles de sécurité:
Si vous avez des doutes et que vous pensez avoir attrapé un malware, vous pouvez faire un scan de votre site WordPress à Sucuri.
Les plugins dédiés à la sécurité de WordPress
Installer un Firewall WordPress :
All-In-One Security (AIOS) – Security and Firewall surveille le trafic de votre site Web et bloquent les nombreuses menaces avant d’accéder à votre site Web
Ce plugin protège votre site en surveillant le trafic et en bloquant les requêtes malveillantes.
Installer des plugins de surveillance :
Utilisez des plugins de sécurité qui offrent des fonctionnalités de surveillance des activités. Ces plugins peuvent vous alerter en cas de tentatives de connexion suspectes, de modifications de fichiers inattendues ou de toute autre activité malveillante.
Cela vous permet de surveiller les pratiques suspectes sur votre WordPress, de réagir rapidement et de prendre les mesures nécessaires pour protéger votre site.
Parmi les plugin de sécurité WordPress on compte : Secupress ou Wordfence ou Defender pro
D’autres plugins spécifiques pour sécuriser votre site :
Il existe aussi des extensions complémentaires assez utiles pour la sécurité de votre WordPress:
Login LockDown : limite les tentatives de login à l’administration du site
Breach Avoider : prévient certaines failles de votre hébergeur concernant le protocole HTTPS
SF Author URL Control : modifie manuellement les URL des pages auteurs ce qui évite de donner le nom des utilisateurs utilisés lors de la connexion à l’administration.
SX User Name Security : empêche WordPress d’afficher votre « Pseudo » ou « Nom d’affichage » pour trouver votre véritable identifiant.
Block Bad Queries : bloque certaines requêtes malicieuses
Conclusion :
La sécurité de votre site WordPress est essentielle pour garantir la disponibilité et la confidentialité de vos données.
En suivant les étapes décrites dans cet article, vous pouvez dors et déjà prendre des mesures pour éviter les attaques en utilisant des plugins de sécurité, en configurant correctement votre site et en suivant les meilleures pratiques de sécurité.
N’oubliez pas de vérifier régulièrement les mises à jour et de réagir rapidement en cas d’attaque. Il est important de travailler avec un webmaster WordPress qualifié pour garantir la sécurité de votre site ou désinfecter votre CMS.
