Voici les 3 types d’actions à mettre en place pour préserver votre site :
- Sécuriser les accès
- Adopter de bonnes pratiques de mises à jour
- Assurer vos arrières
1. Sécuriser les accès
Cela devrait être un automatisme maintenant : on choisit un mot de passe unique et robuste, et on met en place l’authentification à deux facteurs (2FA). De préférence avec une application d’authentification TOTP, plutôt qu’avec l’envoi d’un code par mail ou par SMS.
Limitez les privilèges donnés : tout le monde n’a pas besoin d’être administrateur. Un compte ne devrait disposer que des permissions nécessaires à son utilisation. Pensez aussi à supprimer les anciens comptes qui ne servent plus.
En complément, je change aussi l’URL de connexion à WordPress. Avec une règle de filtrage sur Cloudflare, cela permet notamment de bloquer les tentatives automatisées sur wp-login.php et donc d’alléger la pression sur le serveur.
Je dis bien en complément : masquer la porte ne remplace pas le fait de la fermer à clé. Si vos identifiants sont faibles ou compromis, changer l’adresse de connexion ne vous protégera pas.
2. Adopter de bonnes pratiques de mises à jour
C’est un point moins facile qu’il n’y paraît.
Ce qui est important, c’est d’être réactif lorsqu’une vulnérabilité est identifiée et corrigée. Dès qu’une faille devient publique, des robots peuvent scanner automatiquement les sites à la recherche des installations vulnérables : le temps compte. Les mises à jour de sécurité doivent être appliquées rapidement.
En revanche, les autres mises à jour ne présentent pas la même urgence, au contraire. Une nouvelle version majeure peut apporter de nouvelles fonctionnalités, mais aussi un fonctionnement différent -> et donc introduire des bugs ou des problèmes de compatibilité avec votre installation. Elle peut également avoir des failles : ce n’est pas une version éprouvée.
La bonne approche est donc plutôt :
- correctifs de sécurité : rapidement ;
- évolutions majeures : sauvegarde, test, puis mise à jour planifiée.
Pour WordPress lui-même, les mises à jour mineures et de sécurité peuvent être appliquées automatiquement. Pour les changements de version plus importants, je recommande de les tester d’abord sur une copie locale du site ou sur un environnement de staging.
Pour les extensions, la situation est un peu différente. WordPress permet d’activer les mises à jour automatiques par extension, mais pas de limiter aux seuls correctifs de sécurité. Il faut donc choisir une stratégie entre mises à jour automatiques et validation manuelle.
Ma règle pratique : une vulnérabilité de sécurité connue : mise à jour dans les 24 heures si possible ; le reste : revue et test des mises à jour chaque semaine. Je peux également consulter la fiche de l’extension et son onglet « Support » pour vérifier qu’aucun problème n’est signalé.
Alors oui, je confirme, cela demande du temps. Personnellement, et je faisais déjà ça avant d’être pro, je pense que c’est du temps nécessaire et bien investi. Mettre à jour automatiquement les extensions sans les tester… forcément un jour ou l’autre ça va mal se passer. Et cela sera plus difficile de savoir quand et pourquoi, et de régler le problème. Et si vous n’avez pas le temps, vous pouvez confier à quelqu’un la maintenance de votre site (indice ? moi).
Enfin, moins vous avez de composants à maintenir, moins vous avez de risques à gérer. Supprimez les plugins et thèmes inutilisés, et évitez les extensions qui ne sont plus maintenues (elles doivent être « testées jusqu’à » votre version de WordPress).
3. Assurer ses arrières
Il faut être lucide : on peut se protéger, tout faire bien et malgré tout avoir un problème. La sécurité ne consiste donc pas seulement à empêcher un incident. Elle consiste aussi à pouvoir revenir rapidement à un état sain lorsqu’un incident arrive.
Pour cela, il faut avoir des sauvegardes et savoir les restaurer.
Pour les sauvegardes, la règle est la redondance. L’idée n’est pas simplement d’avoir trois copies du même fichier au même endroit, mais de ne pas dépendre d’un seul système ou d’un seul prestataire.
Bretelle, ceinture et parachute.
- Généralement, votre hébergeur réalise déjà des sauvegardes automatiques. C’est très bien, mais cela ne devrait pas être votre unique sauvegarde. Un problème chez l’hébergeur, une mauvaise manipulation ou un incident touchant votre compte peut aussi rendre ces sauvegardes indisponibles.
- Sur WordPress, vous pouvez par exemple utiliser UpdraftPlus : un plugin connu qui permet de planifier des sauvegardes et de les envoyer vers un stockage distant, comme Google Drive.
- Vous pouvez ensuite conserver une troisième copie, idéalement automatique elle aussi, ou à défaut réalisée régulièrement sur un ordinateur ou un disque externe.
Une sauvegarde complète doit permettre de retrouver à la fois les fichiers du site et sa base de données.
Et surtout : une sauvegarde que vous n’avez jamais essayé de restaurer n’est pas vraiment une sauvegarde. Faites au moins une fois le test : si votre site disparaissait aujourd’hui, sauriez-vous le remettre en ligne à partir de vos sauvegardes ?
En résumé
Sécuriser WordPress ne nécessite pas forcément d’empiler les plugins de sécurité ou de maîtriser des dizaines de réglages techniques.
Il faut surtout appliquer quelques principes simples :
- protéger sérieusement les accès ;
- corriger rapidement les vulnérabilités sans mettre à jour aveuglément ;
- limiter le nombre de composants installés ;
- disposer de plusieurs sauvegardes indépendantes ;
- et vérifier que vous savez les restaurer.
On ne peut jamais garantir qu’un site sera intouchable.
En revanche, on peut rendre une attaque beaucoup plus difficile, et faire en sorte qu’un problème ne se transforme pas en catastrophe.
