WordPress est le système de gestion de contenu le plus utilisé au monde, mais aussi le plus visé par les hackers. Un site WordPress mal sécurisé peut être facilement piraté et compromettre vos données, votre réputation et votre chiffre d’affaires. Il est donc essentiel de mettre en place des bonnes pratiques de sécurité dès la création de votre site et de les maintenir régulièrement. Dans cet article, nous allons vous donner 9 conseils d’expert pour sécuriser votre site WordPress et le protéger des attaques malveillantes.
1. Installer un certificat SSL (pour passer votre site en HTTPS)
Un certificat SSL (Secure Sockets Layer) est un protocole qui permet de chiffrer les données échangées entre le serveur et le navigateur. Il assure la confidentialité et l’intégrité des informations transmises, comme les mots de passe, les coordonnées bancaires ou les données personnelles. Un certificat SSL se reconnaît par le préfixe HTTPS (HyperText Transfer Protocol Secure) dans l’URL du site, ainsi que par le cadenas vert dans la barre d’adresse.
Installer un certificat SSL sur votre site WordPress présente plusieurs avantages :
- Il renforce la sécurité de votre site et de vos visiteurs, en empêchant les hackers d’intercepter ou de modifier les données.
- Il améliore le référencement naturel de votre site, car Google favorise les sites HTTPS dans ses résultats de recherche.
- Il augmente la confiance et la crédibilité de votre site, car les internautes sont rassurés de voir que vous prenez soin de leurs données.
Pour installer un certificat SSL sur votre site WordPress, vous pouvez :
- Acheter un certificat SSL auprès de votre hébergeur ou d’un fournisseur tiers, puis le configurer sur votre serveur.
- Utiliser un service gratuit comme Let’s Encrypt, qui vous permet d’obtenir et de renouveler automatiquement un certificat SSL.
- Utiliser un plugin comme Really Simple SSL, qui vous aide à passer votre site en HTTPS en quelques clics.
2. Choisir le bon hébergeur
Le choix de l’hébergeur est une étape cruciale pour la sécurité de votre site WordPress. En effet, un hébergeur de qualité doit vous garantir :
- Une disponibilité et une performance optimales, pour éviter les temps de chargement trop longs ou les pannes fréquentes.
- Une protection contre les attaques DDoS (Distributed Denial of Service), qui visent à saturer le serveur avec des requêtes malveillantes.
- Une isolation des sites hébergés sur le même serveur, pour éviter qu’un site infecté ne contamine les autres.
- Une sauvegarde régulière et automatique de votre site, pour pouvoir le restaurer en cas de problème.
- Un support technique réactif et compétent, pour vous aider à résoudre les éventuels incidents.
Il existe différents types d’hébergement pour votre site WordPress :
- L’hébergement mutualisé, qui consiste à partager un serveur avec d’autres sites. C’est le type d’hébergement le moins cher, mais aussi le moins sécurisé et le moins performant.
- L’hébergement dédié, qui consiste à louer un serveur entier pour votre site. C’est le type d’hébergement le plus cher, mais aussi le plus sécurisé et le plus performant.
- L’hébergement VPS (Virtual Private Server), qui consiste à louer une partie d’un serveur dédié. C’est un compromis entre l’hébergement mutualisé et l’hébergement dédié, qui offre plus de sécurité et de performance qu’un hébergement mutualisé, mais moins qu’un hébergement dédié.
- L’hébergement cloud, qui consiste à utiliser les ressources d’un réseau de serveurs répartis dans différents endroits. C’est le type d’hébergement le plus flexible et le plus évolutif, qui s’adapte aux besoins de votre site.
Pour choisir le bon hébergeur pour votre site WordPress, vous devez prendre en compte :
- Le budget dont vous disposez
- Le trafic que vous attendez
- Les fonctionnalités dont vous avez besoin
- La réputation et les avis des clients de l’hébergeur
3. Mettre à jour WordPress, les thèmes et les plugins
Une des causes principales des failles de sécurité sur WordPress est le manque de mise à jour du CMS, des thèmes et des plugins. En effet, ces éléments peuvent contenir des bugs ou des vulnérabilités qui sont corrigés par les développeurs au fil du temps. Si vous ne mettez pas à jour votre site, vous risquez de laisser une porte ouverte aux hackers qui peuvent exploiter ces failles pour s’introduire sur votre site.
Mettre à jour WordPress, les thèmes et les plugins présente plusieurs avantages :
- Il améliore la sécurité de votre site, en éliminant les risques de piratage.
- Il optimise la performance de votre site, en bénéficiant des dernières améliorations techniques.
- Il enrichit la fonctionnalité de votre site, en profitant des nouvelles fonctionnalités ajoutées.
Pour mettre à jour WordPress, les thèmes et les plugins, vous pouvez :
- Activer les mises à jour automatiques, qui se font en arrière-plan sans intervention de votre part. C’est l’option la plus simple et la plus sûre, mais elle peut entraîner des incompatibilités entre les différents éléments de votre site.
- Faire les mises à jour manuellement, en vous rendant dans le tableau de bord de WordPress et en cliquant sur les notifications de mise à jour. C’est l’option la plus contrôlée et la plus personnalisée, mais elle demande plus de temps et d’attention.
- Utiliser un service ou un plugin de gestion de mises à jour, qui vous permet de centraliser et de planifier les mises à jour de plusieurs sites WordPress. C’est l’option la plus pratique et la plus efficace, mais elle nécessite un coût supplémentaire.
Quelle que soit l’option que vous choisissez, il est recommandé de :
- Faire une sauvegarde complète de votre site avant chaque mise à jour, pour pouvoir le restaurer en cas de problème.
- Tester la compatibilité des mises à jour sur un site de développement ou un site clone, avant de les appliquer sur le site en production.
- Vérifier le bon fonctionnement du site après chaque mise à jour, en testant les principales fonctionnalités et en vérifiant l’affichage sur différents navigateurs et appareils.
4. Utiliser un plugin de sécurité
Un plugin de sécurité est un outil qui vous permet de renforcer la protection de votre site WordPress contre les attaques malveillantes. Il existe plusieurs types de plugins de sécurité, qui offrent des fonctionnalités variées, comme :
- La détection et la prévention des intrusions
- Le blocage des adresses IP suspectes ou malveillantes
- La protection contre les attaques par force brute
- La protection contre les injections SQL ou XSS
- La protection contre le spam
- Le scan et le nettoyage des fichiers infectés
- La création et la restauration des sauvegardes
- Le chiffrement et le masquage des données sensibles
- La surveillance et l’audit du site
Il est conseillé d’utiliser un plugin de sécurité pour compléter les mesures que vous avez déjà prises pour sécuriser votre site WordPress. Cependant, il faut faire attention à ne pas installer trop de plugins de sécurité, car cela peut ralentir votre site ou créer des conflits entre eux. Il vaut mieux choisir un plugin de sécurité complet et fiable, qui couvre l’essentiel de vos besoins.
5. Changer les identifiants de connexion
Un des moyens les plus courants pour les hackers d’accéder à votre site WordPress est de deviner vos identifiants de connexion, c’est-à-dire votre nom d’utilisateur et votre mot de passe. Pour éviter cela, il est important de changer les identifiants de connexion par défaut et de choisir des identifiants de connexion sécurisés.
Changer les identifiants de connexion présente plusieurs avantages :
- Il réduit le risque de piratage par force brute, qui consiste à essayer plusieurs combinaisons de noms d’utilisateur et de mots de passe jusqu’à trouver la bonne.
- Il empêche l’accès à votre site par des personnes non autorisées, qui pourraient avoir obtenu vos identifiants de connexion par d’autres moyens, comme le phishing ou le vol de données.
- Il protège votre site contre les attaques par usurpation d’identité, qui visent à se faire passer pour vous ou pour un administrateur du site.
Pour changer les identifiants de connexion, vous pouvez :
- Changer le nom d’utilisateur par défaut “admin”, qui est trop facile à deviner, par un nom d’utilisateur unique et personnalisé. Vous pouvez le faire en créant un nouvel utilisateur avec un rôle d’administrateur, puis en supprimant l’ancien utilisateur “admin”.
- Changer le mot de passe par défaut, qui est souvent trop simple ou trop court, par un mot de passe fort et complexe. Vous pouvez le faire en utilisant un générateur de mots de passe aléatoires, comme celui proposé par WordPress lui-même, ou en utilisant une phrase secrète facile à mémoriser mais difficile à deviner.
- Utiliser un plugin comme Limit Login Attempts Reloaded, qui vous permet de limiter le nombre de tentatives de connexion autorisées, et de bloquer temporairement ou définitivement les adresses IP qui dépassent ce nombre.
6. Modifier les préfixes des tables
Lorsque vous installez WordPress, vous créez une base de données qui contient toutes les informations relatives à votre site, comme les articles, les pages, les commentaires, les utilisateurs, etc. Cette base de données est composée de plusieurs tables, qui ont par défaut le préfixe “wp_”. Par exemple, la table qui contient les utilisateurs s’appelle “wp_users”.
Modifier les préfixes des tables présente plusieurs avantages :
- Il augmente la sécurité de votre site, en rendant plus difficile l’accès aux données de votre base de données par des hackers qui connaissent la structure par défaut des tables WordPress.
- Il évite les conflits entre les tables, si vous avez plusieurs installations WordPress sur la même base de données.
- Il optimise la performance de votre site, en facilitant la gestion et la maintenance de votre base de données.
Pour modifier les préfixes des tables, vous pouvez :
- Le faire lors de l’installation de WordPress, en choisissant un préfixe personnalisé dans le champ “Préfixe des tables” du formulaire.
- Le faire après l’installation de WordPress, en utilisant un plugin comme Change DB Prefix, qui vous permet de changer le préfixe des tables en quelques clics.
- Le faire manuellement, en modifiant le fichier wp-config.php et en renommant les tables dans votre base de données avec un outil comme phpMyAdmin. Attention, cette méthode est plus risquée et nécessite une sauvegarde préalable.
7. Limiter l’accès aux fichiers sensibles
Votre site WordPress est composé de plusieurs fichiers, qui contiennent le code source, les images, les styles, les scripts, etc. Certains de ces fichiers sont sensibles, car ils contiennent des informations importantes ou confidentielles, comme le fichier wp-config.php, qui contient les paramètres de connexion à la base de données, ou le fichier .htaccess, qui contient les règles de configuration du serveur.
Limiter l’accès aux fichiers sensibles présente plusieurs avantages :
- Il renforce la sécurité de votre site, en empêchant les hackers de lire ou de modifier ces fichiers, ce qui pourrait compromettre le fonctionnement ou les données de votre site.
- Il protège votre site contre les attaques par injection de code, qui visent à insérer du code malveillant dans ces fichiers, pour exécuter des actions indésirables sur votre site ou sur le serveur.
- Il préserve la confidentialité de votre site, en évitant que des personnes malintentionnées ne puissent accéder à des informations sensibles, comme vos identifiants de connexion ou vos paramètres de sécurité.
8. Désactiver ou supprimer les éléments inutiles
Votre site WordPress peut contenir des éléments inutiles, qui ne sont pas utilisés ou qui sont obsolètes, comme des thèmes, des plugins, des widgets, des commentaires, des révisions, etc. Ces éléments peuvent représenter un risque pour la sécurité de votre site, car ils peuvent contenir des failles ou des malwares, ou être exploités par des hackers pour accéder à votre site.
Désactiver ou supprimer les éléments inutiles présente plusieurs avantages :
- Il améliore la sécurité de votre site, en réduisant les points d’entrée potentiels pour les attaques malveillantes.
- Il optimise la performance de votre site, en libérant de l’espace disque et en diminuant la charge du serveur.
- Il simplifie la gestion de votre site, en éliminant les sources de confusion et de conflit entre les différents éléments.
Pour désactiver ou supprimer les éléments inutiles, vous pouvez :
- Désactiver ou supprimer les thèmes et les plugins que vous n’utilisez pas ou qui sont périmés. Vous pouvez le faire en vous rendant dans le tableau de bord de WordPress, puis dans les sections “Apparence” et “Extensions”. Il est recommandé de garder un seul thème actif et les plugins indispensables à votre site.
- Désactiver ou supprimer les widgets que vous n’utilisez pas ou qui sont superflus. Vous pouvez le faire en vous rendant dans le tableau de bord de WordPress, puis dans la section “Apparence”, puis dans la sous-section “Widgets”. Il est recommandé de garder les widgets utiles à votre site et à vos visiteurs.
- Désactiver ou supprimer les commentaires que vous n’acceptez pas ou qui sont indésirables. Vous pouvez le faire en vous rendant dans le tableau de bord de WordPress, puis dans la section “Commentaires”. Vous pouvez également configurer les paramètres des commentaires dans la section “Réglages”, puis dans la sous-section “Discussion”. Il est recommandé de modérer les commentaires avant leur publication et d’utiliser un plugin anti-spam comme Akismet.
- Désactiver ou supprimer les révisions que vous n’utilisez pas ou qui sont anciennes. Vous pouvez le faire en utilisant un plugin comme WP-Optimize, qui vous permet de nettoyer votre base de données et d’optimiser votre site. Vous pouvez également limiter le nombre de révisions en ajoutant la ligne suivante dans le fichier wp-config.php :
define( 'WP_POST_REVISIONS', 3 );Cette ligne indique que vous voulez garder 3 révisions par article. Vous pouvez changer ce nombre selon vos besoins.
9. Sensibiliser et former les utilisateurs
La sécurité de votre site WordPress ne dépend pas seulement des mesures techniques que vous mettez en place, mais aussi du comportement et de la compétence des utilisateurs qui accèdent à votre site, que ce soit vous-même, vos collaborateurs, vos clients ou vos visiteurs. Il est donc important de sensibiliser et de former les utilisateurs aux bonnes pratiques de sécurité, pour éviter qu’ils ne compromettent votre site par inadvertance ou par ignorance.
Sensibiliser et former les utilisateurs présente plusieurs avantages :
- Il réduit le risque de piratage par phishing, qui consiste à tromper les utilisateurs pour leur soutirer des informations sensibles, comme leurs identifiants de connexion ou leurs coordonnées bancaires.
- Il prévient le risque de piratage par malware, qui consiste à infecter les utilisateurs avec des logiciels malveillants, qui peuvent endommager leur ordinateur ou leur appareil mobile, ou accéder à leur site WordPress.
- Il favorise le respect des règles de sécurité, qui consistent à utiliser des identifiants de connexion sécurisés, à mettre à jour régulièrement le site WordPress, les thèmes et les plugins, à faire des sauvegardes fréquentes, etc.
Pour sensibiliser et former les utilisateurs, vous pouvez :
- Créer et diffuser une charte de sécurité, qui explique les principes et les procédures de sécurité à respecter sur votre site WordPress. Vous pouvez la publier sur votre site ou l’envoyer par e-mail aux utilisateurs concernés.
- Organiser des sessions de formation, qui permettent d’enseigner aux utilisateurs comment se protéger contre les attaques malveillantes et comment réagir en cas d’incident. Vous pouvez utiliser des supports pédagogiques comme des vidéos, des quiz ou des jeux.
- Utiliser un plugin comme WP Security Audit Log, qui vous permet de surveiller et d’auditer l’activité des utilisateurs sur votre site WordPress. Vous pouvez ainsi détecter les comportements suspects ou dangereux, et intervenir en conséquence.
Voilà, vous avez maintenant 9 conseils d’expert pour sécuriser votre site WordPress et le protéger des attaques malveillantes. En suivant ces conseils, vous pourrez améliorer la sécurité, la performance et la fiabilité de votre site WordPress. N’hésitez pas à partager cet article avec vos amis ou vos collègues qui utilisent WordPress. Et si vous avez besoin d’aide pour sécuriser votre site WordPress, vous pouvez faire appel à un professionnel qualifié.