La plupart des piratages exploitent des négligences simples. Sept gestes pour protéger efficacement votre site. WordPress équipe une très grande partie des sites web dans le monde, ce qui en fait une cible privilégiée. Ce n’est pas parce qu’il serait mal conçu, mais parce qu’une faille trouvée sur une extension populaire peut être exploitée sur des milliers de sites à la fois.
Beaucoup de dirigeants de PME pensent que leur site est trop petit pour intéresser des pirates. C’est une erreur courante. Les attaquants ne visent généralement pas votre entreprise en particulier : ils cherchent des sites vulnérables pour y cacher des pages publicitaires, envoyer des courriels indésirables ou rediriger vos visiteurs. Votre site peut alors être signalé comme dangereux par les navigateurs, avec des conséquences directes sur votre image.
Les attaques sont automatisées
Des robots testent en permanence des milliers de sites à la recherche de failles connues. Un site non entretenu finit presque toujours par être touché. Heureusement, quelques gestes suffisent à se protéger.
Ces robots essaient par exemple des combinaisons d’identifiants courants sur la page de connexion, ou repèrent les versions d’extensions connues pour être vulnérables. Ils ne se fatiguent jamais et repassent régulièrement. La protection repose donc sur des habitudes durables plutôt que sur une action ponctuelle.
Les 7 gestes essentiels
Voici les sept mesures que nous appliquons sur tous les sites dont nous avons la charge. Prises ensemble, elles écartent la grande majorité des attaques courantes.
- Mettre à jour WordPress, le thème et les extensions
- Supprimer les extensions inutilisées
- Utiliser des mots de passe longs et uniques
- Activer la double authentification
- Limiter les tentatives de connexion
- Sauvegarder chaque jour, hors du serveur
- Utiliser le HTTPS sur toutes les pages
Bien appliquer ces gestes au quotidien
Les mises à jour sont la première ligne de défense, mais elles doivent être faites avec méthode : de préférence après une sauvegarde, et en vérifiant ensuite que le site fonctionne toujours. Une extension désactivée mais toujours installée reste une porte d’entrée possible ; mieux vaut la supprimer.
Pour les mots de passe, un gestionnaire de mots de passe facilite beaucoup les choses : il génère des mots de passe longs et les retient pour vous. La double authentification ajoute un code reçu sur le téléphone : même si un mot de passe est découvert, il ne suffit plus à entrer. Enfin, une sauvegarde n’a de valeur que si elle est stockée ailleurs que sur le serveur du site, et si l’on a vérifié au moins une fois qu’elle permet bien de restaurer le site.
Les comptes utilisateurs, un point souvent oublié
Au fil des années, un site accumule des comptes : ancien stagiaire, prestataire qui a fait une modification ponctuelle, collègue parti de l’entreprise. Chacun de ces comptes est un risque. Faites régulièrement le tri et donnez à chaque personne le niveau d’accès strictement nécessaire.
Un rédacteur qui publie des articles n’a pas besoin d’être administrateur. Évitez aussi les identifiants évidents comme « admin » ou le nom de l’entreprise, que les robots essaient en premier.
Que faire si votre site est piraté ?
Si vous constatez des pages inconnues, des redirections étranges ou un avertissement de Google, gardez votre calme et suivez ces étapes.
- Changer immédiatement tous les mots de passe : administration, hébergement, base de données, messagerie
- Prévenir votre hébergeur et votre prestataire web
- Restaurer une sauvegarde saine, antérieure à l’attaque
- Identifier et corriger la faille, sans quoi le piratage se reproduira
- Demander à Google de réexaminer le site une fois nettoyé
Un doute sur votre site ?
Nous proposons un audit de sécurité gratuit : nous vérifions votre site et vous remettons une liste de corrections prioritaires. Vous savez ainsi précisément où vous en êtes, et ce qu’il faut faire en premier.
L’audit passe en revue les versions installées, les extensions abandonnées par leurs auteurs, les comptes administrateurs, la configuration du certificat HTTPS et l’existence de sauvegardes exploitables. Vous pouvez ensuite appliquer les corrections vous-même ou nous les confier.
La sécurité d’un site WordPress ne demande pas de compétences extraordinaires, mais de la régularité. En appliquant ces sept gestes, vous réduisez considérablement les risques et protégez la confiance de vos clients. Pour bénéficier de notre audit gratuit ou nous confier l’entretien de votre site, appelez le 06 35 36 38 50 ou remplissez notre formulaire de demande de devis.
