Sécuriser un site WordPress existant : 15 réglages à appliquer sans attendre

WordPress fait fonctionner une très grande partie du web, ce qui en fait une cible privilégiée : la plupart des intrusions ne visent pas un site précis, mais exploitent à grande échelle un plugin non mis à jour ou un mot de passe faible. Bonne nouvelle : une quinzaine de réglages suffisent à écarter l'essentiel des attaques courantes. Que vous gardiez WordPress ou que vous prépariez une migration vers Laravel, voici la checklist à appliquer.

Mettre de l'ordre dans le site

1. Mettre à jour le cœur, les thèmes et les plugins

Les failles connues sont la porte d'entrée numéro un. Activez les mises à jour automatiques pour les correctifs de sécurité, planifiez une revue hebdomadaire du reste et testez sur un environnement de préproduction pour les mises à jour majeures. Mettez aussi à jour PHP vers une version encore supportée.

2. Supprimer ce qui ne sert pas

Un plugin ou un thème désactivé reste une surface d'attaque. Supprimez-les, ainsi que les comptes inutilisés. Privilégiez des extensions maintenues régulièrement, avec un historique clair de correctifs : l'actualité récente rappelle que la chaîne d'approvisionnement logicielle est aussi un risque, comme nous l'expliquions dans notre article sur la faille Axios et la sécurisation de npm.

3. Télécharger thèmes et plugins aux sources officielles

Les versions « piratées » de plugins payants contiennent très souvent des portes dérobées. N'installez que des extensions issues du dépôt officiel ou du site de l'éditeur.

Protéger les accès

4. Imposer des mots de passe forts et la double authentification

Utilisez un gestionnaire de mots de passe et activez l'authentification à deux facteurs pour tous les comptes administrateurs et éditeurs, avec un plugin reconnu.

5. Limiter les tentatives de connexion

Bloquez temporairement une adresse après quelques échecs pour décourager les attaques par force brute. Vous pouvez aussi protéger la page de connexion par une règle de pare-feu ou par une liste d'adresses autorisées.

6. Ne plus utiliser l'identifiant « admin »

Créez un compte administrateur nominatif, attribuez des rôles minimaux aux autres utilisateurs (un rédacteur n'a pas besoin d'être administrateur) et supprimez l'ancien compte.

7. Empêcher l'énumération des utilisateurs

Par défaut, des adresses comme /?author=1 ou l'API REST révèlent les noms d'utilisateurs. Désactivez ces fuites avec un plugin de sécurité ou une règle serveur.

Durcir la configuration

8. Désactiver l'éditeur de fichiers de l'administration

Si un attaquant accède à l'administration, l'éditeur de thèmes lui permet de modifier du code PHP. Dans wp-config.php :

define('DISALLOW_FILE_EDIT', true);

9. Protéger wp-config.php et les fichiers sensibles

Restreignez les permissions du fichier (par exemple 640 ou 600 selon votre hébergement), bloquez son accès depuis le web, et vérifiez que les clés de sécurité (salts) sont uniques. Les dossiers sont généralement en 755 et les fichiers en 644 : évitez 777 en toutes circonstances.

10. Désactiver XML-RPC si vous ne l'utilisez pas

Le fichier xmlrpc.php est une cible fréquente d'attaques par force brute et d'amplification. S'il n'est pas utile à votre site (application mobile, outil de publication externe), bloquez-le.

11. Imposer HTTPS et des en-têtes de sécurité

Redirigez tout le trafic vers HTTPS et ajoutez des en-têtes comme Strict-Transport-Security, X-Content-Type-Options et une politique Content-Security-Policy adaptée. Chaque en-tête doit être testé : une politique trop stricte peut casser des fonctionnalités.

12. Interdire l'exécution de PHP dans le dossier des téléversements

Le dossier wp-content/uploads ne doit contenir que des médias. Une règle serveur qui refuse d'y exécuter du PHP neutralise de nombreuses portes dérobées.

Se protéger et réagir

13. Mettre un pare-feu applicatif (WAF) devant le site

Un service comme celui d'un CDN ou un plugin spécialisé filtre les requêtes malveillantes avant qu'elles n'atteignent WordPress. C'est particulièrement utile pour absorber les robots et gagner du temps entre la publication d'une faille et votre mise à jour.

14. Sauvegarder, et tester la restauration

Une sauvegarde qu'on n'a jamais restaurée n'est qu'une hypothèse. Programmez des sauvegardes automatiques (base de données et fichiers), stockées hors du serveur, avec plusieurs versions conservées. Testez la restauration sur un environnement de test au moins deux fois par an.

15. Surveiller

Activez un journal d'activité (qui a modifié quoi), une surveillance de l'intégrité des fichiers et une alerte en cas de changement suspect ou d'indisponibilité. Surveillez aussi la Search Console : un message de sécurité ou l'apparition de pages indésirables est souvent le premier signe d'un piratage.

Que faire si le site est déjà compromis ?

1. Mettez le site en maintenance et conservez une copie pour analyse.
2. Changez tous les mots de passe (administration, base de données, FTP/SSH, hébergeur) et les clés de sécurité.
3. Restaurez une sauvegarde saine antérieure à l'intrusion, ou réinstallez le cœur, les thèmes et les plugins depuis les sources officielles.
4. Recherchez les comptes et fichiers ajoutés par l'attaquant, puis corrigez la faille d'origine avant de rouvrir.
5. Demandez le réexamen dans la Search Console si le site a été signalé.

Pour aller plus loin sur les principes généraux de protection des données, consultez notre article sur les bonnes pratiques de cybersécurité.

Conclusion

La sécurité de WordPress est avant tout une affaire de discipline : mises à jour régulières, accès maîtrisés, configuration durcie, sauvegardes testées. Ces quinze réglages demandent une demi-journée et éliminent la majorité du risque. Si le site est devenu trop lourd à entretenir, c'est peut-être le signe que le moment est venu d'envisager une alternative sur mesure.