Sécuriser votre WordPress en 10 étapes

Pourquoi sécuriser WordPress est indispensable

WordPress est le CMS le plus utilisé au monde, ce qui en fait aussi la cible principale des hackers. Chaque jour, des milliers de sites WordPress sont compromis, souvent par des failles triviales à corriger : plugins obsolètes, mots de passe faibles ou accès admin exposé.

Un site piraté peut être utilisé pour envoyer du spam, héberger du contenu malveillant, voler les données de vos visiteurs ou être blacklisté par Google. Les conséquences sont parfois désastreuses pour votre activité.

Les 10 étapes pour un WordPress sécurisé

1. Mettez tout à jour régulièrement : WordPress, thèmes et plugins doivent être maintenus à jour. La majorité des piratages exploitent des failles connues dans des versions obsolètes.
2. Utilisez des mots de passe forts : Un mot de passe de 12 caractères minimum avec majuscules, chiffres et symboles. Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password).
3. Changez l'URL de connexion admin : L'URL par défaut /wp-admin est connue de tous les robots. Le plugin WPS Hide Login permet de la personnaliser facilement.
4. Activez l'authentification à deux facteurs : Même si votre mot de passe est compromis, le 2FA empêche la connexion sans le second facteur (code SMS ou application).
5. Limitez les tentatives de connexion : Le plugin Limit Login Attempts Reloaded bloque automatiquement les IP qui multiplient les tentatives de connexion.
6. Installez un plugin de sécurité : Wordfence ou iThemes Security offrent un pare-feu applicatif (WAF), un scan de malware et des alertes en temps réel.
7. Passez en HTTPS : Un certificat SSL est indispensable pour chiffrer les communications. La plupart des hébergeurs le proposent gratuitement via Let's Encrypt.
8. Supprimez les plugins et thèmes inutilisés : Chaque plugin inactif est une surface d'attaque potentielle. Ne gardez que ce dont vous avez besoin.
9. Protégez le fichier wp-config.php : Ce fichier contient vos identifiants de base de données. Ajoutez des règles dans votre .htaccess pour en bloquer l'accès direct.
10. Mettez en place des sauvegardes automatiques : En cas d'infection, une sauvegarde récente est votre meilleure assurance. UpdraftPlus permet de sauvegarder vers Google Drive ou Dropbox.