Sécuriser un site WordPress d’entreprise : mises à jour, comptes, extensions et sauvegardes
Sécuriser un site WordPress d’entreprise : mises à jour, extensions, double authentification, wp-config.php, droits des fichiers, pare-feu applicatif et sauvegardes.
La réponse courte : un site WordPress d’entreprise se fait rarement pirater par le cœur de WordPress lui-même. Les portes d’entrée habituelles sont une extension ou un thème non mis à jour, un mot de passe d’administration faible ou un hébergement mal configuré. Pour le sécuriser : tenir à jour le cœur, les extensions et les thèmes, supprimer ce qui ne sert pas, protéger les comptes par double authentification, durcir la configuration, filtrer le trafic par un pare-feu applicatif, surveiller et sauvegarder hors du serveur.
Ce guide reprend ces mesures dans l’ordre de priorité. Il s’appuie sur la documentation officielle de WordPress, notamment sa page consacrée au durcissement. Le site vitrine est souvent la première chose que voient un client ou un partenaire : un site défiguré, redirigé vers des pages frauduleuses ou utilisé pour héberger une page d’hameçonnage abîme la confiance bien au-delà de l’informatique.
Pourquoi les sites WordPress sont visés
WordPress est très répandu, ce qui en fait une cible automatisée : des robots parcourent Internet en permanence à la recherche de sites qui utilisent une version vulnérable d’une extension, ou qui acceptent des essais de mots de passe à répétition sur la page de connexion. Le site n’a pas besoin d’être connu pour être attaqué. Une fois compromis, il peut servir à :
- injecter des liens ou des pages de spam, ce qui dégrade le référencement ;
- rediriger les visiteurs vers des sites frauduleux ;
- héberger des pages d’hameçonnage qui imitent une banque ou Microsoft 365 ;
- voler les données saisies dans les formulaires de contact ou de commande ;
- envoyer des courriels depuis le serveur, au risque de faire bloquer votre domaine.
Les priorités, dans l’ordre
| Priorité | Mesure | Pourquoi |
|---|---|---|
| 1 | Mises à jour du cœur, des extensions, des thèmes et de PHP | Une faille corrigée ne peut plus être exploitée sur votre site |
| 2 | Suppression des extensions et thèmes inutiles ou abandonnés | Moins de code, moins de failles |
| 3 | Comptes : mots de passe forts, double authentification, rôles minimum | Bloque le vol d’identifiants et la force brute |
| 4 | Sauvegardes complètes, hors du serveur, testées | Seule garantie de pouvoir revenir en arrière |
| 5 | Durcissement de la configuration | Limite ce qu’un attaquant peut faire |
| 6 | Pare-feu applicatif et surveillance | Filtre les attaques et alerte en cas de changement |
1. Les mises à jour : le cœur, les extensions, les thèmes et PHP
La documentation WordPress est claire : il faut toujours utiliser la dernière version, et garder les extensions à jour. Par défaut, WordPress installe automatiquement les versions mineures du cœur et les traductions ; les versions majeures le sont aussi par défaut sur les installations récentes. Pour les extensions et les thèmes, les mises à jour automatiques s’activent depuis l’administration, extension par extension, ou par configuration.
Notre règle pour un site vitrine : mises à jour automatiques activées pour le cœur et les extensions bien maintenues, sauvegarde quotidienne, contrôle visuel régulier. Pour une boutique en ligne ou un site qui porte un service critique, les mises à jour majeures passent d’abord par une copie de préproduction. Dans les deux cas, le site entre dans la gestion des correctifs de l’entreprise, comme les postes et les serveurs.
Le serveur compte autant que WordPress : une version de PHP qui ne reçoit plus de correctifs expose le site, comme l’a rappelé notre alerte sur la faille PHP « PHP2Shell ».
2. Les extensions et les thèmes : moins, mais mieux
- Supprimer les extensions et thèmes désactivés : un fichier vulnérable reste exploitable même désactivé.
- Installer uniquement depuis des sources fiables, comme le répertoire officiel WordPress.org ou des éditeurs reconnus. Jamais de version « gratuite » d’une extension payante trouvée sur un site tiers : c’est un mode de diffusion courant de portes dérobées.
- Vérifier l’activité d’une extension avant de l’installer : date de dernière mise à jour, compatibilité avec la version actuelle de WordPress, réactivité de l’éditeur.
- Éviter les extensions qui permettent d’exécuter du code depuis l’administration, ce que la documentation WordPress déconseille.
3. Les comptes : le deuxième point d’entrée
- Un compte par personne, jamais d’identifiant partagé, et pas de nom d’utilisateur évident comme « admin ».
- Des mots de passe forts et uniques, générés et rangés dans un gestionnaire, selon votre politique de mots de passe.
- La double authentification pour tous les comptes qui peuvent publier ou administrer, recommandée par la documentation WordPress. La méthode est la même que pour le reste du système d’information, décrite dans notre guide de déploiement de la MFA.
- Le rôle minimum : un rédacteur n’a pas besoin d’être administrateur. On revoit la liste des comptes au départ de chaque salarié ou prestataire.
- Les accès techniques (hébergement, SFTP, base de données, registrar du nom de domaine) sont aussi protégés par double authentification lorsqu’ils le permettent.
4. Les sauvegardes : hors du serveur et testées
La documentation WordPress demande des sauvegardes régulières de la base de données et des fichiers, conservées dans un endroit fiable. En pratique :
- sauvegarde complète : fichiers, extensions, médias et base de données ;
- copie hors du serveur de l’hébergement, pour survivre à une compromission ou à une défaillance de l’hébergeur, selon la règle du 3-2-1 avec une copie immuable ;
- restauration testée sur une copie du site, comme nous le décrivons dans notre méthode pour tester une restauration.
5. Durcir la configuration
La page de durcissement de WordPress détaille les réglages suivants :
| Réglage | Recommandation officielle |
|---|---|
| Édition de fichiers depuis l’administration | La désactiver avec la constante DISALLOW_FILE_EDIT dans wp-config.php |
| Droits des fichiers | Dossiers en 755, fichiers en 644 ; seul wp-content doit être modifiable par le serveur web |
| Fichier wp-config.php | Lecture réservée au propriétaire et au serveur web (400 ou 440), accès web refusé |
| Base de données | Un utilisateur dédié par site, avec les droits nécessaires seulement ; préfixe des tables différent de « wp_ » |
| Transferts de fichiers | SFTP plutôt que FTP |
| Administration | En HTTPS, avec une protection supplémentaire possible côté serveur sur /wp-admin/ |
S’y ajoutent des réglages de bon sens : certificat HTTPS sur tout le site, formulaires protégés contre les robots, limitation des tentatives de connexion.
6. Pare-feu applicatif et surveillance
La documentation WordPress distingue trois niveaux de filtrage, cumulables :
- L’extension de sécurité avec pare-feu applicatif intégré, limitation des connexions et contrôle de l’intégrité des fichiers.
- Le pare-feu applicatif côté serveur, comme ModSecurity, géré par l’hébergeur.
- Le service de proxy inverse placé devant le site, qui filtre le trafic avant qu’il n’atteigne le serveur et absorbe une partie des attaques.
La surveillance compte autant : journaux d’accès et d’erreurs, alerte sur la modification des fichiers PHP, vérification externe que le site ne sert pas de logiciel malveillant, et surveillance de disponibilité. Si le site est piraté, la démarche suit notre plan de réponse à incident : isoler, changer les accès, restaurer une sauvegarde saine, corriger la porte d’entrée.
Les données personnelles du site
Un formulaire de contact, un espace client ou une boutique collectent des données personnelles. La loi 09-08 et la CNDP imposent de les protéger par des mesures de sécurité adaptées. Un site WordPress à jour, avec des comptes protégés et des sauvegardes testées, fait partie de ces mesures.
Les erreurs les plus fréquentes
- Laisser des extensions désactivées ou abandonnées sur le serveur.
- Installer une extension payante « gratuite » trouvée sur un site tiers.
- Partager un seul compte administrateur entre l’agence, le prestataire et l’entreprise.
- Garder la seule sauvegarde chez le même hébergeur que le site.
- Ne jamais mettre à jour PHP.
- Confier le site à un prestataire puis perdre les accès à l’hébergement et au nom de domaine.
Comment nous accompagnons les entreprises
Nous commençons par l’audit initial offert : versions du cœur, des extensions et de PHP, comptes et rôles, double authentification, configuration, sauvegardes et accès à l’hébergement et au nom de domaine. Nous appliquons ensuite les corrections, mettons en place des sauvegardes hors du serveur avec notre offre de sauvegarde et continuité d’activité, et intégrons le site à la supervision.
Dans le cadre de notre offre de cybersécurité des entreprises au Maroc, le site est suivi par la supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.
Questions fréquentes
WordPress est-il un CMS peu sûr ?
Non. Le cœur de WordPress est maintenu par une équipe de sécurité et ses versions mineures s’installent automatiquement par défaut. Les incidents viennent surtout de ce qu’on ajoute autour : extensions et thèmes non mis à jour ou abandonnés, mots de passe faibles, hébergement mal configuré. Un WordPress bien entretenu est un choix raisonnable pour un site d’entreprise.
Faut-il activer les mises à jour automatiques des extensions ?
Pour la plupart des sites vitrines, oui, à condition d’avoir des sauvegardes récentes et de vérifier le site régulièrement. WordPress installe déjà automatiquement les versions mineures du cœur et les traductions ; pour les extensions et les thèmes, l’activation se fait extension par extension ou par configuration. Pour un site de commerce en ligne critique, on préfère tester d’abord sur une copie du site.
Un plugin de sécurité suffit-il à protéger un site WordPress ?
Non. Une extension de sécurité apporte un pare-feu applicatif, la limitation des tentatives de connexion ou la surveillance des fichiers, mais elle ne remplace ni les mises à jour, ni la double authentification, ni les sauvegardes hors du serveur. La documentation WordPress cite aussi les pare-feu côté serveur et les services de proxy inverse qui filtrent le trafic avant qu’il n’atteigne le site.
Que faire si mon site WordPress a été piraté ?
Mettre le site en maintenance, changer tous les mots de passe (administrateurs WordPress, hébergement, base de données, accès SFTP), identifier la porte d’entrée, puis restaurer une sauvegarde saine antérieure à l’intrusion et appliquer toutes les mises à jour avant de remettre le site en ligne. Nettoyer à la main un site compromis laisse souvent une porte dérobée.
Où héberger un site WordPress d’entreprise ?
Chez un hébergeur qui parle ouvertement de sécurité, utilise des versions récentes de PHP et de la base de données, propose l’accès SFTP plutôt que FTP et fournit des sauvegardes avec restauration simple. Sur un hébergement mutualisé, la documentation WordPress conseille de demander quelles précautions sont prises, car un site voisin compromis peut affecter le vôtre.
À propos de la rédaction
ALLSAFE SOLUTIONS
Ingénieurs réseau, sécurité et cloud
Rédigé par l’équipe d’ingénieurs d’ALLSAFE SOLUTIONS, infogérant fondé à Casablanca par des ingénieurs réseau, sécurité et cloud. Nos articles s’appuient sur les projets que nous menons chez nos clients, au Maroc comme à l’international.
LinkedIn
