Sécuriser WordPress – sans panique.

Comment les sites WordPress sont réellement attaqués

Presque personne ne s’assoit devant votre site pour y chercher une faille précise. Les attaques sont automatiques : des programmes passent en revue des millions de sites web et testent des vulnérabilités connues et des mots de passe courants. Autrement dit : qui corrige les failles connues et n’utilise pas de mots de passe faibles passe entre les mailles du filet.

Les portes d’entrée les plus fréquentes sont les extensions et thèmes obsolètes, les mots de passe faciles à deviner ou ayant fuité ailleurs, et les extensions provenant de sources douteuses.

Les mises à jour : la mesure la plus importante

Lorsqu’une faille est découverte dans une extension, une mise à jour paraît généralement en quelques jours – et c’est précisément à partir de ce moment que les attaques automatiques cherchent les sites qui ne l’ont pas encore.

• WordPress installe de lui-même les petites mises à jour de sécurité du cœur. Pour les extensions, vous pouvez activer les mises à jour automatiques une par une.
• Les grosses mises à jour (nouvelle version majeure, constructeur de pages, boutique) sont à tester d’abord. Chez nous, vous créez pour cela une copie de test de votre site web dans l’Espace client.
• Une extension qui n’a plus reçu de mise à jour depuis des années doit être remplacée. Plus personne n’y corrige les failles.

Protéger les accès

• Des mots de passe longs et uniques pour chaque compte, le plus simple étant un gestionnaire de mots de passe.
• L’authentification à deux facteurs pour tous les administrateurs – une extension gratuite suffit, et un mot de passe volé ne suffit alors plus à lui seul.
• Attribuer les rôles avec parcimonie. Quelqu’un qui ne fait qu’écrire des articles n’a pas besoin d’un compte administrateur.
• Supprimer les anciens comptes, par exemple celui de l’agence qui a créé le site il y a des années.

Choisir les extensions avec soin

Installez les extensions et thèmes depuis le répertoire officiel sur wordpress.org ou directement chez l’éditeur. Évitez absolument les copies « gratuites » d’extensions payantes (souvent appelées « nulled ») : c’est le moyen le plus commode pour introduire du code malveillant dans un site web.

Un coup d’œil avant l’installation est utile : quand date la dernière mise à jour, combien d’installations y a-t-il, le développeur répond-il aux questions ? Et ce que vous n’utilisez plus, supprimez-le – même désactivé, cela reste sur le serveur.

Les sauvegardes : le plan B

Aucune mesure ne protège complètement. Ce qui compte en cas de problème, c’est un état propre d’avant-hier. Une bonne sauvegarde se trouve au moins une fois en dehors du serveur, remonte à plusieurs jours et est testée – une sauvegarde qu’on ne peut pas restaurer n’en est pas une.

Chez nous, chaque espace web est sauvegardé quotidiennement, sur le serveur et en plus en externe. Nous conservons 7 états quotidiens et 4 états hebdomadaires, et nous restaurons gratuitement pour vous l’un de ces états. Avant une mise à jour importante, vous créez en plus vous-même une sauvegarde dans le panneau d’hébergement.

Ce que le serveur doit apporter

Certaines choses ne dépendent pas de vous, mais de l’hébergeur : une connexion chiffrée (HTTPS), une version de PHP à jour, des mises à jour de sécurité du système d’exploitation installées rapidement et une protection qui bloque les adresses ayant trop de tentatives de connexion échouées. Interrogez votre hébergeur à ce sujet – chez nous, tout cela est standard.

Votre site a été piraté – que faire ?

1. Garder son calme et ne rien supprimer – vous avez besoin de cet état pour trouver la cause.
2. Changer tous les mots de passe : comptes WordPress, base de données, FTP, Espace client.
3. Restaurer un état antérieur à l’infection. C’est pour cela que les sauvegardes remontent à plusieurs jours.
4. Combler la faille avant que le site ne soit remis en ligne – sinon il sera de nouveau infecté en quelques heures. En général, cela signifie : tout mettre à jour, supprimer les extensions suspectes.

Vous n’êtes pas obligé de le faire seul. Contactez-nous, nous vous aidons à faire le ménage.