Un site web peut paraître tout à fait normal et présenter pourtant de graves failles de sécurité. WordPress n'est pas en soi « sûr » ou « dangereux » pour toujours : tout dépend des mises à jour, des droits d'accès, de l'hébergement et d'une maintenance adéquate.
Voici huit vérifications qui méritent d’être intégrées à la routine de tout site professionnel. Elles ne remplacent pas un audit technique, mais aident à détecter à temps les points faibles les plus courants.
1. WordPress, les extensions et le thème sont-ils à jour ?
Vérifiez si des mises à jour sont disponibles pour le cœur de WordPress, les plugins et le thème. Toutes les mises à jour ne se valent pas : certaines corrigent des failles de sécurité connues, d’autres améliorent la compatibilité ou les fonctionnalités.
Ce qu’il faut faire : conservez une sauvegarde récente, lisez les modifications importantes et, lorsque cela est possible, testez d’abord les mises à jour critiques sur un environnement de test. Vérifiez ensuite que le site, les formulaires et le processus de paiement fonctionnent correctement.
2. Qui dispose de droits d’administrateur ?
Un ancien collaborateur, un compte d'essai ou un utilisateur disposant de droits trop étendus peut constituer un risque inutile.
Que faire : ouvrez la liste des utilisateurs, supprimez les accès qui ne sont plus nécessaires et attribuez à chaque collaborateur uniquement le rôle requis par son travail. Évitez les comptes d'administration partagés.
3. Disposez-vous de mots de passe forts et d’un deuxième facteur d’authentification ?
Utiliser le même mot de passe sur plusieurs systèmes est dangereux. Un mot de passe unique et fort, ainsi que l’activation de l’authentification à deux facteurs (2FA) via une solution adaptée, réduisent le risque d’accès non autorisé.
Ce que vous devez faire : utilisez un gestionnaire de mots de passe, changez vos mots de passe lorsque cela s’avère nécessaire et activez l’authentification à deux facteurs (2FA) pour les comptes disposant de droits privilégiés.
4. Pouvez-vous réellement restaurer le site ?
Un message « sauvegarde terminée » ne signifie pas nécessairement que la restauration aboutira. Vous avez besoin des fichiers et de la base de données, de préférence avec une copie stockée hors du serveur lui-même.
Que faire : vérifiez la fréquence des sauvegardes, leur durée de conservation et testez régulièrement la restauration dans un environnement sécurisé. Pour les boutiques en ligne, la stratégie de sauvegarde doit tenir compte des modifications fréquentes apportées aux commandes.
5. Y a-t-il des plugins qui ne sont pas utilisés ?
Chaque plugin supplémentaire signifie davantage de code à maintenir. Les plugins inactifs ou abandonnés n’ont pas lieu de rester en place sans raison.
Ce qu’il faut faire : répertoriez ce qui est réellement nécessaire, supprimez ce qui n’est pas utilisé et envisagez des alternatives lorsqu’un plugin n’est plus maintenu.
6. Le protocole HTTPS est-il correctement configuré ?
Le cadenas dans le navigateur contribue au chiffrement de la communication, mais ne garantit pas que WordPress ne puisse pas être piraté. Vérifiez également s’il existe des ressources non sécurisées (contenu mixte) ou des redirections problématiques.
7. Quelqu’un surveille-t-il les erreurs et la disponibilité ?
Un formulaire qui ne parvient plus à envoyer d’e-mails ou un processus de paiement qui renvoie une erreur peut passer inaperçu en l’absence de contrôles.
Que faire : surveillez la disponibilité du site, examinez les rapports d’erreurs critiques et testez les fonctionnalités importantes, en particulier après des modifications.
8. L'hébergement et le plan d'intervention en cas d'incident ont-ils été vérifiés ?
La sécurité ne s’arrête pas à WordPress. La version de PHP prise en charge, les mises à jour du serveur, la protection des accès et la désignation d’une personne chargée d’intervenir en cas de problème sont des éléments essentiels.
Que faites-vous : savez-vous où se trouvent les sauvegardes, qui a accès à l'hébergement et comment contacter le responsable du support technique en cas d'urgence ?
À quelle fréquence ces vérifications doivent-elles être effectuées ?
Il n’existe pas de calendrier universel. Un petit site d’information et une boutique en ligne qui reçoit des commandes quotidiennement ont des besoins différents. Définissez un calendrier en fonction de l’utilisation et des risques : les sauvegardes et les alertes critiques nécessitent un suivi plus fréquent, tandis que les inspections générales peuvent être effectuées de manière périodique.
Vous avez besoin d’aide pour la maintenance ?
BEEGITAL peut vous aider à organiser un audit technique et à identifier les points à améliorer sur votre site WordPress. Consultez nos services d’assistance technique ou contactez-nous pour nous faire part de vos besoins.
Sources officielles pour plus d’informations
Pour une documentation détaillée, vous pouvez consulter le guide officiel « Hardening WordPress » et les instructions relatives aux sauvegardes fournies par l’équipe WordPress.
Photo de l'article : Sasun Bughdaryan / Unsplash.