Sécuriser WordPress : wp-admin, extensions, 2FA et fichiers

Pourquoi sécuriser WordPress, même pour un petit site

WordPress fait tourner une très grande part des sites dans le monde, et c’est justement ce qui en fait une cible de choix. Votre entreprise en particulier ? Les pirates ne la visent presque jamais. Ce sont des robots qui balaient le web en continu et testent les mêmes failles sur des milliers de sites à la fois.

Pourquoi les robots ciblent-ils autant WordPress ? Regardez ce qu’ils cherchent et l’urgence saute aux yeux : un mot de passe faible, une extension oubliée, un thème jamais mis à jour. Entrés dans le site, ils peuvent afficher des pages de spam, rediriger vos visiteurs vers des arnaques ou envoyer des emails malveillants depuis votre domaine.

Pour un dirigeant de TPE ou de PME, le vrai coût n’a rien de technique. Il se compte en demandes de devis perdues, en positions envolées dans Google, en heures passées à tout réparer. C’est déjà arrivé chez vous ? Notre guide site piraté : que faire détaille la remise en état. Cet article, lui, parle de prévention.

Étape 1 : verrouiller l’accès à wp-admin et à la page de login

La page de connexion est la porte d’entrée du back office, et la première que testent les attaques par force brute. L’objectif est simple : rendre chaque tentative inutile et coûteuse pour l’attaquant.

Supprimer le compte admin par défaut

Beaucoup d’installations conservent un utilisateur nommé admin. Les robots le savent (c’est même le premier nom qu’ils essaient). Créez un nouveau compte administrateur avec un identifiant original, transférez-lui les contenus, puis supprimez l’ancien. Et pendant que vous y êtes, passez en revue la liste des utilisateurs : l’ancien prestataire ou le stagiaire parti depuis longtemps n’a plus rien à faire avec des droits d’administration.

Choisir des mots de passe solides et des rôles limités

Long, unique, rangé dans un gestionnaire : voilà un bon mot de passe. Celui de votre messagerie ne doit jamais resservir ici. Attribuez aussi à chacun le rôle minimal dont il a besoin, car un rédacteur publie des articles, il n’installe pas de plugin.

Limiter les tentatives de connexion

Par défaut, WordPress accepte un nombre illimité d’essais. Autant dire une invitation. Il faut donc limiter les tentatives de connexion : après quelques échecs, l’adresse IP est bloquée pendant un moment. La plupart des extensions de sécurité proposent ce réglage, et certains hébergeurs s’en chargent déjà côté serveur.

Activer l’authentification à deux facteurs

Si vous ne deviez retenir qu’une mesure, ce serait celle-ci : elle protège le mieux pour un effort minime. Activer l’authentification à deux facteurs, ou 2FA, revient à exiger en plus du mot de passe un code temporaire, généré par une application sur le téléphone. Un mot de passe fuite ? Le compte reste fermé. Je vous conseille de la rendre obligatoire pour tous les comptes qui accèdent au tableau de bord avec des droits élevés.

Restreindre wp-admin

Changer l’adresse de connexion ne suffit pas à protéger un site. Le bruit des robots, en revanche, baisse nettement. Votre équipe travaille depuis une adresse IP fixe ? Réservez l’accès à wp-admin à cette seule adresse. Dernier point, souvent oublié : désactivez XML-RPC si aucun outil ne s’en sert, car ce vieux protocole permet de tester des mots de passe en masse.

Étape 2 : mettre à jour WordPress, les extensions et les thèmes

Première ligne de défense : les mises à jour de WordPress. Chaque nouvelle version corrige des failles connues. Dès qu’elles sont publiées, ces failles servent de mode d’emploi aux pirates.

Pourquoi le délai pour mettre à jour se raccourcit

L’intelligence artificielle a changé la donne. Les chercheurs s’en servent pour analyser le code des extensions et repèrent les failles plus vite, tandis que les attaquants, avec les mêmes outils, exploitent un correctif dès sa sortie. Entre l’annonce d’une faille et les premières attaques, comptez désormais des heures, plus des semaines. Attendre la fin du mois pour mettre à jour ? Ce n’est plus raisonnable.

Activez les mises à jour automatiques pour les versions mineures du cœur et pour les extensions simples. Site e-commerce ou très personnalisé ? Passez plutôt par un environnement de test : on applique la mise à jour, on vérifie, puis on publie. C’est tout l’enjeu d’une bonne maintenance de site web.

Faire le tri dans ses plugins et ses thèmes

Chaque plugin ajoute du code, donc des risques. Les extensions inutiles et les thèmes que vous n’utilisez pas, supprimez-les : les désactiver ne suffit pas, puisqu’un fichier désactivé reste lisible sur le serveur. Avant d’installer une nouvelle extension, regardez la date de sa dernière mise à jour, le nombre d’installations actives et la réactivité de son auteur. Quant aux versions piratées de thèmes payants, fuyez-les. Elles cachent souvent du code malveillant.

Le numéro de version ne prouve rien

Afficher ou cacher la version de WordPress ou de PHP ne change rien au fond. Certains hébergeurs corrigent une faille sans toucher au numéro affiché ; à l’inverse, un numéro récent ne garantit pas que tout est à jour. Et les robots ? Ils testent directement la faille, sans rien lire. Masquez ces informations par hygiène, soit, mais jugez votre niveau de sécurité sur les correctifs réellement appliqués.

Étape 3 : installer un plugin de sécurité et un pare-feu

Un plugin de sécurité rassemble plusieurs protections dans une seule interface. Il ne remplace pas ce qui précède. Son rôle : surveiller ce que vous, vous ne voyez pas.

Wordfence, Sucuri Security et les autres

Wordfence tourne directement sur votre site, avec pare-feu, scanner de fichiers, 2FA et blocage des connexions suspectes. Sucuri Security mise davantage sur la surveillance et le contrôle de l’intégrité des fichiers, et propose un pare-feu en ligne en option. D’autres solutions existent, souvent fournies par les hébergeurs eux-mêmes.

Lequel choisir ? Tout dépend de votre hébergement, de votre trafic et de la personne qui lira les alertes. Ma recommandation, elle, ne varie pas : un seul plugin de sécurité. Deux outils qui font la même chose se gênent, ralentissent le site et noient les alertes importantes.

Le pare-feu côté hébergeur

Un pare-feu applicatif filtre les requêtes avant qu’elles n’atteignent WordPress. Placé en amont (chez l’hébergeur ou via un CDN), il bloque une grande partie des attaques automatiques sans solliciter votre serveur. Interrogez votre hébergeur avant de sortir la carte bancaire : vous paieriez peut-être pour une protection que vous avez déjà.

Étape 4 : régler les droits des fichiers, wp-config et HTTPS

On entre ici dans le plus technique. Bonne nouvelle : ça se règle une fois, puis ça se vérifie après chaque migration ou changement d’hébergeur.

Les bons droits sur les fichiers et dossiers

Les droits définissent qui peut lire, écrire ou exécuter un fichier. Voici la règle recommandée par WordPress :

• Dossiers : 755, c’est-à-dire lecture pour tous et écriture réservée au propriétaire.
• Fichiers : 644, lisibles par tous, modifiables par le propriétaire seul.
• wp-config.php : 440 ou 400, puisqu’il contient les identifiants de la base de données.
• Jamais de 777 : avec ce réglage, n’importe quel processus peut écrire dans vos fichiers.

Tout se fait depuis votre client FTP ou le gestionnaire de fichiers de l’hébergeur. Méfiance sur les serveurs mutualisés, où des droits trop stricts bloquent parfois les mises à jour. Dans ce cas, n’ouvrez pas les droits au hasard : demandez la configuration conseillée à l’hébergeur.

Durcir wp-config.php

Ajoutez la ligne define('DISALLOW_FILE_EDIT', true); pour couper l’éditeur de code intégré. Résultat : un intrus qui atteint le tableau de bord ne pourra plus modifier thèmes et extensions en un clic. Profitez-en pour renouveler les clés de sécurité du fichier et vérifier que le débogage est bien désactivé en production.

Passer en HTTPS et surveiller l’API REST

Un certificat SSL chiffre les échanges entre le visiteur et le serveur. Sans lui ? Un mot de passe tapé sur un wifi public peut être intercepté. Forcez le HTTPS partout, page de login comprise. Reste l’API REST : par défaut, la liste des utilisateurs qu’elle expose peut révéler vos identifiants de connexion, alors réservez-en l’accès aux seuls comptes connectés.

Étape 5 : sauvegardes automatiques et surveillance

Aucune mesure n’est infaillible, d’où l’importance des sauvegardes. Voyez-les comme une assurance : quelques minutes suffisent pour revenir en arrière, là où il faudrait sinon reconstruire le site.

Des sauvegardes régulières, stockées ailleurs

Programmez des sauvegardes automatiques des fichiers et de la base de données, à un rythme calé sur vos mises à jour de contenu. Une boutique en ligne en réclame de bien plus fréquentes qu’un site vitrine. Où les stocker ? Hors du serveur, impérativement : s’il est compromis, une copie posée au même endroit l’est aussi. Testez enfin une restauration au moins une fois, sans quoi vous ignorez si elle fonctionne. Notre guide pour sauvegarder un site WordPress détaille la méthode.

Ce qui fait varier le temps et le coût

Combien coûte la sécurisation d’un site ? Il n’existe pas de prix unique. Le temps nécessaire varie selon le nombre d’extensions, l’âge du thème, le type d’hébergement, la présence d’un module de paiement et l’état de départ. Un site neuf et bien construit se protège vite. Un site ancien, alourdi de plugins abandonnés, passe d’abord par un audit. Pour faire le point, appuyez-vous sur notre checklist sécurité site web.

Autre option : déléguer. Chez RankerSquare, la création de site internet vitrine sur-mesure est proposée dès 19,90 € par mois en abonnement ; les besoins plus complexes passent par un devis. Peu importe la formule retenue, gardez cette règle en tête : la sécurité n’est pas une tâche ponctuelle, c’est un suivi !

Questions fréquentes