WordPress fait tourner une part considérable des sites de PME en France, grâce à sa simplicité de mise en place. Cette popularité a un revers : un même type de faille, une fois découverte sur un plugin ou un thème, peut être exploitée automatiquement sur des millions de sites qui l'utilisent encore.
Le cœur du problème : les extensions, pas WordPress lui-même
Le logiciel WordPress de base est régulièrement audité et corrigé. La majorité des failles constatées sur des sites de PME viennent en réalité des plugins et thèmes tiers, souvent installés une fois puis jamais mis à jour ni désinstallés lorsqu'ils ne servent plus.
Bonnes pratiques essentielles
- Mettre à jour WordPress, les thèmes et les plugins dès qu'une nouvelle version est disponible — la majorité des correctifs de sécurité sont publiés en réaction à une faille déjà identifiée publiquement.
- Désinstaller les plugins inutilisés, pas seulement les désactiver : un plugin désactivé mais toujours présent sur le serveur reste souvent exploitable.
- Changer le préfixe des tables de la base de données par défaut (
wp_) pour compliquer certaines attaques automatisées génériques. - Limiter les tentatives de connexion sur
/wp-login.php, cible numéro un des attaques par force brute. - Activer l'authentification à deux facteurs pour tous les comptes administrateur.
- Sauvegarder régulièrement, en conservant les sauvegardes en dehors du serveur qui héberge le site.
Un site à jour n'est pas forcément un site sûr
Même parfaitement à jour, un site WordPress peut exposer des informations sensibles : fichiers de configuration accessibles, en-têtes de sécurité absents, ou informations de version affichées publiquement qui facilitent le travail d'un attaquant. Ces points ne se voient pas à l'œil nu — c'est exactement ce que vérifie un audit externe.
Vérifiez gratuitement l'état de sécurité de votre site WordPress, quel que soit son thème ou ses extensions.