Protéger un site demande des gestes concrets et rapides. Ce texte présente des actions prioritaires pour un WordPress sécurisé, du fichier de configuration au pare‑feu applicatif.
Les solutions couvrent le WAF, le SSL, les sauvegardes et les mises à jour. Chaque point propose une étape opérationnelle et des exemples vécus.
A retenir :
- Activez la 2FA et changez les clés dans wp-config.php.
- Programmez des sauvegardes externes avec rétention de 30 jours.
- Placez un WAF en amont et limitez les tentatives sur wp-login.php.
- Forcez le SSL et vérifiez le certificat SSL régulièrement.
Pourquoi la sécurité WordPress affecte votre activité
Vulnérabilités courantes
Les attaquants ciblent d’abord les extensions obsolètes et les thèmes abandonnés. Ces composants représentent une majorité des intrusions réussies.
Un robot peut scanner et détecter une version vulnérable en quelques secondes. Agir réduit drastiquement le risque.
- Plugins non mis à jour = porte d’entrée.
- Identifiants faibles = attaque par force brute.
- Absence de sauvegarde = perte de données irréversible.
Mon avis : la maintenance régulière réduit la probabilité d’incident notable.
Insight : la prévention coûte nettement moins cher que la récupération.
Pour aller plus loin, regardez une démonstration pratique.
Durcir wp-config.php, SSL et certificat SSL
Durcissement rapide
Déplacez le fichier wp-config.php hors du dossier public. Le fichier devient inaccessible via le navigateur.
Générez de nouvelles clés et salts via le site officiel WordPress et remplacez-les immédiatement.
- Ajoutez define(‘DISALLOW_FILE_EDIT’, true);
- Limitez les révisions avec define(‘WP_POST_REVISIONS’, 5);
- Activez HSTS si votre hébergeur le supporte.
Exemple WordPress à coller dans functions.php pour masquer la version :
remove_action(‘wp_head’,’wp_generator’);
Sauvegardes, restauration et maintenance planifiée
Règle 3‑2‑1 et tests
Appliquez la règle 3‑2‑1 : trois copies, deux supports, une hors ligne. Sauvegardez base et fichiers.
Testez la restauration trimestriellement. Une sauvegarde non testée peut être inutilisable.
- Automatisez via UpdraftPlus ou BackupBuddy.
- Stockez sur S3, Google Drive ou Dropbox.
- Chiffrez les archives et conservez 30 jours.
Sauvegardes externes et cas réels
Témoignage client : une boutique locale a retrouvé l’activité en 48 heures après restauration depuis S3.
Témoignage client : un blog associatif a évité une panne majeure grâce à un snapshot quotidien.
Insight : tester la restauration est la meilleure assurance.
WAF, pare-feu et gestion des mises à jour
Choisir un WAF et comparer
Un WAF filtre le trafic avant qu’il n’atteigne WordPress. Il bloque patterns connus et attaques par injection.
Wordfence offre un WAF intégré. SecuPress mise sur la transparence. Le choix dépend du profil et du besoin de contrôle.
| Solution | WAF | Scan malware | Facilité |
|---|---|---|---|
| Wordfence | Oui | Profond | Moyenne |
| SecuPress | Module | Standard | Simple |
| Sucuri | Cloud | Oui | Facile |
| Phenix Info (service) | Gestion | Audit+résolution | Accompagné |
Politique de mises à jour
Activez les mises à jour automatiques pour les correctifs de sécurité. Testez les mises à jour majeures en staging.
Mise en pratique : planifiez un créneau faible trafic et conservez une sauvegarde complète avant toute mise à jour.
« SecuPress permet de comprendre chaque action. C’est utile pour les responsables non techniques. »
Cédric Chevillard
Sources : WordPress.org, ANSSI, OWASP.
Insight : combinez pare-feu, mises à jour et sauvegardes pour une protection pragmatique.