Protéger WordPress et garder ses accès sous contrôle

La sécurité de WordPress dépend de la maintenance, des permissions et de la capacité à restaurer le site. Ces mesures se complètent ; aucune ne garantit à elle seule l'absence d'intrusion.

Maintenir le cœur, les plugins et les thèmes

Suivez les mises à jour et les avis de sécurité des composants installés. Avant un changement important, gardez une sauvegarde vérifiable et testez les fonctions critiques en staging. Ne laissez pas une vulnérabilité connue ouverte indéfiniment par crainte de mettre à jour : préparez une correction ou un remplacement maîtrisé.

Retirez les composants que vous n'utilisez pas, y compris les plugins désactivés encore présents sur le disque. Vérifiez la maintenance de chaque plugin, sa provenance et sa compatibilité ; une date ancienne ne prouve pas à elle seule un abandon.

Comptes et récupération

Utilisez un compte individuel par personne et le rôle minimal nécessaire. Le rôle Éditeur standard n'a pas besoin d'installer des plugins ni de gérer les utilisateurs ; vérifiez les capacités ajoutées par des extensions et les comptes qui ne doivent plus avoir accès.

Attribuez des mots de passe longs et uniques et activez la 2FA pour les personnes qui administrent le site. Conservez hors de WordPress les moyens de récupération proposés par l'intégration et testez-les. La 2FA de l'espace client n'active pas automatiquement celle de votre site.

Vérifiez les sessions, les mots de passe d'application et les jetons des intégrations. Lorsqu'un collaborateur part, révoquez aussi les accès qu'il avait à l'hébergement et au déploiement, selon leur portée.

Protéger le formulaire de connexion

Limitez les tentatives et surveillez les blocages pour ne pas empêcher l'accès légitime. Vous pouvez changer l'adresse avec un plugin compatible, mais ne renommez pas wp-login.php.

L'authentification HTTP ou une restriction par IP peuvent ajouter une couche, mais elles doivent être testées avec AJAX, la récupération du mot de passe et les intégrations. Protégez les endpoints sensibles sans ouvrir d'exceptions générales pour régler un seul problème.

Choisir les contrôles et surveiller les changements

Vérifiez ce qu'apporte chaque plugin de sécurité. Évitez de dupliquer des analyses coûteuses et gardez les contrôles spécifiques comme la 2FA ou le journal des modifications lorsqu'ils répondent à un besoin réel.

Surveillez les créations d'administrateurs, les installations de plugins, les modifications et les envois inattendus. Une alerte mérite une enquête ; il ne suffit pas de supprimer le fichier ou de désactiver l'avertissement.

Sauvegardes et réponse à une intrusion

Conservez les fichiers et la base de données dans des sauvegardes indépendantes et testez leur restauration. Une sauvegarde stockée uniquement dans le répertoire public peut être exposée ou modifiée en même temps que le site.

Si vous soupçonnez une compromission, conservez les preuves, limitez l'accès et suivez le guide de nettoyage de WordPress. Mettre à jour après une attaque n'élimine pas automatiquement les portes dérobées ni les utilisateurs ajoutés.