Sécuriser WordPress

WordPress n'est pas fragile par nature : ce sont les extensions abandonnées, les comptes faibles et les mises à jour repoussées qui créent les incidents. Sécuriser un site consiste à réduire la surface d'attaque, puis à pouvoir revenir en arrière si une modification casse quelque chose.

Mises à jour et extensions

Activez les mises à jour automatiques des versions mineures et de sécurité du cœur. Pour une version majeure, sauvegardez fichiers et base avant de lancer la mise à jour, puis testez le site.

• Mettez à jour thème et extensions dès qu'une correction de sécurité sort.
• Supprimez tout ce qui est inactif : une extension désactivée reste du code sur le disque.
• Remplacez les extensions abandonnées, même populaires, si elles ne reçoivent plus de correctifs.
• Gardez PHP 8.4 côté KeyHelp et vérifiez la compatibilité des extensions avant de changer de version.

Comptes et authentification

Un compte administrateur nommé admin facilite une attaque par mot de passe. Créez un identifiant neutre, un mot de passe unique conservé dans un gestionnaire, et un second compte administrateur de secours.

Activez la double authentification (TOTP) via une extension reconnue, et vérifiez qu'elle fonctionne avant de fermer la session. Attribuez le rôle le plus faible possible : un rédacteur n'a pas besoin des droits d'administration.

Après un doute sur une compromission, changez les clés de wp-config.php : toutes les sessions existantes sont invalidées.

Durcir la configuration

Dans wp-config.php, désactivez l'éditeur de fichiers intégré, qui transforme un accès administrateur en exécution de code :

define('DISALLOW_FILE_EDIT', true);
define('FORCE_SSL_ADMIN', true);

Si vous n'utilisez pas XML-RPC, filtrez-le. Désactivez aussi l'installation de fichiers si vous déployez par SFTP uniquement, mais sachez que cela bloquera les mises à jour depuis l'interface :

define('DISALLOW_FILE_MODS', true);

Conservez 755 pour les dossiers et 644 pour les fichiers. Un 777 sur wp-content suffit à permettre l'écriture d'un fichier PHP malveillant.

Extensions, thème et journaux

N'installez que des extensions provenant du dépôt officiel ou d'un éditeur identifié, jamais une version « nulled ». Avant d'ajouter une extension de sécurité, vérifiez qu'elle est maintenue ; une extension de sécurité obsolète est un risque de plus.

Un thème léger réduit le code exécuté à chaque page. Évitez les thèmes et constructeurs de pages non maintenus, qui chargent des bibliothèques anciennes.

Surveillez les connexions échouées et les modifications de fichiers avec une extension dédiée ou les journaux de l'hébergement. Une limitation des tentatives de connexion ralentit les attaques par force brute ; elle ne remplace pas un mot de passe fort et la 2FA.

Vérifier après chaque changement

• Vous vous connectez avec la 2FA et le compte de secours fonctionne.
• L'éditeur de fichiers n'est plus accessible dans l'administration.
• http:// redirige vers https:// et le certificat est valide.
• Une sauvegarde récente est stockée hors du site et sa restauration a été testée.
• Les rôles correspondent aux besoins réels de chaque personne.

Masquer la page de connexion n'est pas une mesure de sécurité : cela gêne un peu les robots, sans protéger un compte faible. Ne comptez pas non plus sur la suppression de la version affichée pour empêcher une attaque ciblée.