Ressources

Sécurité WordPress : les bons réflexes pour une PME

Votre site n'a pas besoin d'intéresser qui que ce soit pour être piraté. Les attaques ne visent pas des entreprises mais des failles connues, testées en masse par des robots. La bonne nouvelle, c'est que l'essentiel de la protection tient à quelques réflexes réguliers.

Par tanguy mignot Mis à jour le

Quand on dirige une PME, on se dit volontiers que son site «  n'intéresse personne  », et c'est vrai. Mais les pirates ne choisissent pas leurs cibles : leurs robots le font, et ces robots ne regardent ni votre notoriété ni votre chiffre d'affaires. Ils testent, en continu, les mêmes failles connues sur tous les sites qu'ils croisent. Comprendre cela change la façon d'aborder le sujet : la sécurité WordPress n'est pas une affaire de forteresse, c'est une affaire d'hygiène.

Pourquoi votre site est visé, même si personne ne vous en veut

Quand une faille est découverte dans une extension ou un thème répandu, elle est documentée publiquement pour être corrigée. Dans les heures qui suivent, des robots parcourent le web pour trouver les sites qui ne l'ont pas encore corrigée, et y entrent automatiquement. Il n'y a donc pas de «  trop petit pour être attaqué  » : il y a des sites à jour et des sites qui ne le sont pas. Et un site de PME compromis a une vraie valeur pour un pirate : un serveur qui fonctionne, un nom de domaine à la réputation propre, depuis lequel envoyer du spam, héberger des pages frauduleuses ou rediriger du trafic.

Les portes d'entrée réelles, par ordre de fréquence

Les intrusions passent rarement par des techniques sophistiquées. Dans la grande majorité des cas, la porte d'entrée est l'une de celles-ci :

  • Des extensions ou thèmes obsolètes. C'est la voie royale : une faille publiée, une mise à jour disponible mais jamais appliquée, et le robot n'a plus qu'à entrer.
  • Des mots de passe faibles ou réutilisés. Un mot de passe déjà exposé dans la fuite d'un autre service est testé automatiquement sur votre page de connexion.
  • Des comptes administrateur inutiles. L'ancien stagiaire, le prestataire d'il y a trois ans : chaque compte oublié est une clé qui traîne.
  • Des thèmes ou extensions piratés, dits «  nulled  ». Une version payante récupérée gratuitement embarque très souvent un code malveillant. La porte n'est plus à forcer : vous l'avez installée vous-même.

Les bons réflexes, qui couvrent l'essentiel du risque

Face à des attaques automatisées, la parade est elle aussi une routine, pas un exploit. Ces réflexes rejoignent d'ailleurs ceux de la maintenance WordPress, dont la sécurité est l'un des piliers :

  • Mettre à jour régulièrement, et tester après. Cœur WordPress, extensions, thèmes. Une mise à jour appliquée sans vérification peut casser le site ; une mise à jour jamais appliquée finit par l'ouvrir.
  • Activer l'authentification à deux facteurs. Un code en plus du mot de passe, au moins pour les comptes administrateur : un mot de passe volé ne suffit plus.
  • Un compte par personne réelle, avec le moins de droits possible. Pas de compte partagé, pas de rôle administrateur pour rédiger un article, et suppression du compte dès que la personne part.
  • Un certificat SSL actif. Le cadenas dans le navigateur chiffre les échanges, dont vos mots de passe à la connexion.
  • Limiter le nombre d'extensions. Chaque extension est une porte potentielle : moins il y en a, moins il y a de surface à surveiller.
  • Supprimer ce qui ne sert plus. Une extension désactivée mais présente reste attaquable : désinstallez, ne vous contentez pas de désactiver.

Comment savoir si un site est déjà compromis

Un site piraté ne s'affiche pas toujours défiguré, au contraire : le pirate a intérêt à rester discret le plus longtemps possible. Quatre signaux doivent vous faire réagir, et chacun se vérifie sans compétence technique.

Des pages étranges dans Google

Pages en langue étrangère ou à contenu pharmaceutique associées à votre domaine.

Où regarder : Tapez site:votredomaine.fr dans Google et parcourez les résultats.
Premier geste : Alertez votre prestataire avec une capture des résultats.
Le site redirige parfois ailleurs

Vous arrivez par moments sur un autre site, sans avoir cliqué nulle part.

Où regarder : Testez depuis un mobile en 4G. Les pirates ciblent souvent le mobile seulement.
Premier geste : N'attendez pas « que ça passe ». Ça ne passe jamais seul.
Avertissement rouge du navigateur

« Site trompeur » à l'écran, ou un mail d'alerte de Google Search Console.

Où regarder : Ouvrez le site en navigation privée et vérifiez la boîte mail liée à Search Console.
Premier geste : Restauration d'une sauvegarde saine, puis correction de la faille.
Lenteur ou pics de charge soudains

Le site travaille pour quelqu'un d'autre (envoi de spam, minage).

Où regarder : Comparez avec la vitesse habituelle et regardez les graphes de votre hébergeur.
Premier geste : Demandez une analyse serveur avant que l'hébergeur ne suspende le site.
Ces quatre vérifications ne demandent aucune compétence technique. Au moindre doute, agissez le jour même.

Que faire si c'est le cas

Le réflexe naturel est de «  nettoyer  » : supprimer les pages étranges, changer un mot de passe, et espérer que c'est réglé. C'est presque toujours insuffisant, car un site compromis contient des portes dérobées que le nettoyage manuel ne trouve pas. La démarche sérieuse tient en trois temps : restaurer une sauvegarde saine, antérieure à l'intrusion ; identifier et corriger la faille d'origine, sans quoi la même porte se rouvre en quelques jours ; et changer tous les accès (comptes WordPress, base de données, FTP, hébergement). C'est aussi pour cela que la sauvegarde régulière, testée, est le premier outil de sécurité : sans elle, il n'y a rien de sain à restaurer.

La sécurité n'est pas un produit, c'est une routine

Aucune de ces mesures n'est spectaculaire, et c'est bien le point : face à des robots qui exploitent la négligence, la constance protège mieux que n'importe quel outil miracle. La vraie question pour une PME n'est pas «  quoi faire  » mais «  qui le fait, chaque semaine  ». Chez prosperis, cette routine fait partie de la maintenance incluse dans la présence gérée : mises à jour testées, sauvegardes, surveillance, pour que le sujet soit traité sans que vous ayez à y penser.

À faire

Cinq réflexes qui couvrent l'essentiel du risque

Face à des robots qui exploitent la négligence, la constance protège mieux que n'importe quel outil miracle.

  1. Appliquez les mises à jour, puis vérifiez le site après. Une mise à jour posée sans contrôle peut casser le site ; une mise à jour jamais appliquée finit par l'ouvrir.
  2. Faites le ménage dans les comptes administrateur. L'ancien stagiaire, le prestataire d'il y a trois ans : chaque compte oublié est une clé qui traîne. Un compte par personne réelle, avec le moins de droits possible.
  3. Activez l'authentification à deux facteurs sur les comptes administrateur. Un mot de passe déjà exposé dans la fuite d'un autre service est testé automatiquement sur votre page de connexion : avec un second facteur, il ne suffit plus.
  4. Désinstallez les extensions inutiles, ne vous contentez pas de les désactiver. Une extension désactivée mais présente reste attaquable. Et n'installez jamais de version payante récupérée gratuitement : elle embarque très souvent un code malveillant.
  5. Assurez-vous qu'une sauvegarde saine existe avant d'en avoir besoin. Un site compromis contient des portes dérobées que le nettoyage manuel ne trouve pas : sans sauvegarde antérieure à l'intrusion, il n'y a rien de sain à restaurer.

Un doute sur l'état de votre site, ou personne qui s'en occupe vraiment depuis sa mise en ligne ? C'est exactement le genre de point que l'on fait lors du diagnostic gratuit : 20 minutes pour vérifier l'essentiel, sans jargon ni engagement.

Envie d'en parler concrètement ?

Un diagnostic gratuit de 20 minutes, sans jargon ni engagement.

Demander mon diagnostic