Mettre à jour WordPress ne suffit pas à fermer toutes les portes. La plupart des compromissions passent par un mot de passe faible, un compte trop puissant ou un réglage oublié.
Voici les réglages que je vérifie en priorité, dans l’ordre où je les applique, avec ce que dit la documentation officielle.
Pourquoi durcir WordPress au-delà des mises à jour ?
Les mises à jour corrigent des failles connues. Le durcissement réduit ce qu’un attaquant peut tenter, même quand une faille inconnue existe.
La page officielle de durcissement le dit clairement : les anciennes versions de WordPress ne reçoivent plus de correctifs de sécurité. Activez donc les mises à jour automatiques, puis ajoutez les réglages qui suivent.
Quel mot de passe choisir pour un compte WordPress ?
Un mot de passe fort et unique. La documentation déconseille votre nom, votre identifiant, le nom de l’entreprise ou du site, les mots du dictionnaire, les mots de passe courts et ceux composés seulement de chiffres ou de lettres.
Utilisez un gestionnaire de mots de passe. Il génère une phrase longue pour chaque compte et vous évite de réutiliser le même sésame sur plusieurs services.
Comment activer la double authentification ?
La documentation recommande d’activer l’authentification en deux étapes. Concrètement, une extension dédiée demande un second code, généré par une application sur votre téléphone, après le mot de passe.
- Choisissez une extension de double authentification maintenue et bien notée.
- Activez-la pour chaque compte administrateur et éditeur.
- Enregistrez les codes de secours dans votre gestionnaire de mots de passe.
- Testez la connexion dans une fenêtre de navigation privée.
Faut-il renommer le compte administrateur ?
Oui, si l’identifiant est admin ou webmaster. La documentation déconseille ces deux noms et propose de renommer un compte admin existant.
Créez un nouveau compte avec un identifiant moins évident, donnez-lui le rôle administrateur, puis supprimez l’ancien en lui retirant ses contenus. Faites une sauvegarde avant.
Comment bloquer l’éditeur de fichiers ?
L’éditeur du tableau de bord permet de modifier le code des thèmes et des extensions. Si un compte est compromis, il offre un accès direct au code. La documentation indique de le désactiver avec une constante.
Ajoutez la constante DISALLOW_FILE_EDIT avec la valeur true dans wp-config.php. Elle ne bloque pas les téléversements malveillants, mais supprime une porte facile. Mon guide du fichier wp-config.php explique où l’insérer.
Quelles permissions de fichiers appliquer ?
La documentation donne des valeurs de référence : 755 pour les dossiers et 644 pour les fichiers. Les dossiers du cœur ne doivent être modifiables que par votre compte d’hébergement.
| Élément | Permission conseillée | Remarque |
|---|---|---|
| Dossiers | 755 | Lecture et traversée pour le serveur |
| Fichiers | 644 | Écriture réservée au propriétaire |
| wp-config.php | 400 ou 440 | Lecture seule pour le propriétaire |
| wp-content | Écriture limitée aux envois | Nécessaire pour les médias |
Pourquoi utiliser SFTP et HTTPS ?
Le FTP classique envoie votre identifiant et votre mot de passe en clair. La documentation recommande SFTP, qui chiffre l’échange.
Même logique pour l’administration : servez-la en HTTPS. Si ce n’est pas fait, suivez mon guide pour passer en HTTPS avant d’aller plus loin.
Un pare-feu est-il nécessaire ?
La documentation le cite comme une option à envisager : une extension, un pare-feu applicatif au niveau du serveur ou un service de proxy inverse. Il filtre le trafic suspect avant qu’il ne touche WordPress.
Un service comme Cloudflare joue ce rôle, comme je l’explique dans configurer Cloudflare avec WordPress. Il complète les mises à jour, il ne les remplace pas.
Comment surveiller et sauvegarder ?
Gardez plusieurs sauvegardes, stockées hors du serveur, et testez une restauration. La documentation insiste sur ce dernier point, car une sauvegarde jamais restaurée reste une hypothèse.
- Plusieurs copies pour revenir avant la date de compromission.
- Un stockage externe à l’hébergement du site.
- Un test de restauration sur un site de copie.
- Un contrôle des journaux pour repérer les tentatives de connexion répétées.
Pour l’ordre d’application, commencez par ce qui coûte peu et protège beaucoup : mots de passe, double authentification, compte administrateur. Cela prend moins d’une heure et ferme les attaques les plus courantes.
Passez ensuite aux réglages techniques : éditeur de fichiers, permissions, SFTP. Terminez par le pare-feu, la surveillance et la restauration de test. Notez chaque changement pour pouvoir revenir en arrière. Une liste datée des réglages appliqués sert aussi de preuve de sérieux si un client vous interroge sur la sécurité du site.
Quand faire appel à un professionnel ?
Faites-vous aider si vous gérez une boutique, des comptes clients ou si le site a déjà été piraté. Mon service de maintenance WordPress inclut ces contrôles.
Et maintenant ?
Ce que vous pouvez faire dès aujourd’hui :
- Ouvrez la liste des utilisateurs et repérez les comptes administrateurs inutiles.
- Vérifiez que l’identifiant de votre compte n’est ni admin ni webmaster.
- Cherchez DISALLOW_FILE_EDIT dans votre fichier wp-config.php.
Pour aller plus loin : Maintenance WordPress
