Contenu
WordPress prend en charge 43% de tous les sites web — et constitue la cible la plus fréquente des attaques. En moyenne, des pirates informatiques tentent de s'introduire dans un système chaque jour. 4 700 fois sur chaque installation WP publique. La plupart des attaques sont automatiques et Il est facile de s'arrêter si vous suivez ces 12 étapes..
En bref
- 90 % des cambriolages Utilise 3 vecteurs : mots de passe faibles, plugins obsolètes, force brute.
- Les 6 premières étapes sont le strict minimum – sans elles, votre site web en sera victime tôt ou tard.
- Wordfence + Masquer la connexion WPS + Limiter les tentatives de connexion Voici la sainte trinité du minimum.
- La sauvegarde est votre dernier rempart. Sans elle, un piratage signifie la perte de votre site web.
Les principaux vecteurs d'attaques contre WP
1. Force brute (tentative de deviner le mot de passe)
Bot wpisuje setki kombinacji admin/admin123, admin/password, etc., aż trafi. Standard: 1 000 prób na sekundę.
2. Plugins obsolètes
Un plugin sorti en 2019 présente une faille de sécurité. Des pirates informatiques l'analysent pour identifier les autres utilisateurs. Ils peuvent y accéder sans mot de passe.
3. Piratage via un plugin « bon marché »
Plugins/thèmes piratés provenant de dépôts nuls = 90 % des logiciels malveillantsAprès l'installation, le pirate informatique dispose d'une porte dérobée.
4. Hameçonnage par l'administrateur
Courriel « Votre domaine expire, connectez-vous ici » → fausse page de connexion → vol de mot de passe.
5. Injection SQL / XSS
Une attaque sur un plugin/thème mal conçu, permettant une injection SQL ou JavaScript.
12 étapes de sécurité
Étape 1 : Mots de passe forts + authentification à deux facteurs (très important)
Cette seule étape permet d'éliminer 90 % des cambriolages.
- Mot de passe administrateur : minimum 16 caractères, mixte (majuscules, minuscules, chiffres, caractères spéciaux)
- Chaque administrateur possède un mot de passe différent et unique.
- Utilisez un gestionnaire de mots de passe : 1Password, Bitwarden, KeePass
Authentification à deux facteurs (2FA) :
- Prise WP 2FA (gratuit)
- Configurez l'authentification à deux facteurs pour tous les utilisateurs ayant les rôles « Administrateur » et « Éditeur ».
- Application gratuite : Authentificateur Google, Authy, Authentificateur Microsoft
Étape 2 : Modifier l’URL de la page de connexion
Domyślny /wp-admin jest dla bota najłatwiejszym celem. Zmiana na /biuro-szefa eliminuje 99% prób brute force.
Prise: Masquer la connexion WPS (Gratuit). Installation en 30 secondes.
Étape 3 : Limiter les tentatives de connexion
Même après avoir modifié l'URL, ne laissez personne essayer 100 mots de passe différents.
Prise: Limite des tentatives de connexion rechargée (gratuit). Par défaut :
– Maximum 4 tentatives
– Verrouillage de 20 minutes
– Après 4 exclusions : exclusion de 24 heures
– Notification par courriel de l'administrateur
Étape 4 : Mettre à jour WordPress, les thèmes et les plugins
Seulement si :
– Mise à jour mineure (4.5 → 4.5.1) – immédiatement
– Mise à jour majeure (5.x → 6.x) – dans 1 à 2 semaines (attendre les correctifs de bugs)
– Plugins : d’abord pour la préproduction, puis pour la production
Mise à jour automatique :
– Noyau WordPress : OUI
– Extensions : éventuellement uniquement celles de confiance (Yoast, Wordfence) – les autres manuellement après tests
Étape 5 : Installer le WAF (pare-feu)
Pare-feu d'application Web filtre le trafic, bloquant les attaques connues (SQLi, XSS, force brute).
Prise: Wordfence (freemium) :
– Gratuit : analyseur de logiciels malveillants en temps réel, règles de pare-feu avec délai de 30 jours
– Premium (109 $/an) : flux de menaces en temps réel, réputation IP, authentification à deux facteurs
Alternative: Sécurité iThemes (Sécurité solide), Sucuri.
WAF Cloudflare (payant à partir de 5 $/mois) : CDN global + WAF au niveau du réseau, voire plus.
Étape 6 : Sauvegardes régulières
Règle d'or : 3-2-1:
– 3 copies de données
– 2 médias différents
– 1 hors site (en dehors du serveur)
Plugins :
– UpdraftPlus (freemium) — le plus populaire, pour GDrive/Dropbox/S3
– BackWPup (freemium) - une alternative intéressante
– Duplicateur — principalement pour les migrations, mais fonctionne également pour les sauvegardes
Fréquence:
– Site web à forte volatilité (boutique, blogue) — tous les jours
– Carte de visite statique – hebdomadaire
– Sauvegarde des journaux = avant chaque mise à jour
Étape 7 : SSL (HTTPS) sur toutes les sous-pages
En 2026, un site web sans HTTPS est :
– Avertissement Chrome (« Non sécurisé »)
– Baisse du positionnement sur Google
– Erreur dans des outils comme Stripe/PayU (nécessitent HTTPS)
SSL gratuit : Let’s Encrypt – la plupart des hébergements polonais sont disponibles en 1 clic.
Forcer HTTPS : w .htaccess:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Étape 8 : Désactiver la modification des fichiers dans le panneau
WordPress vous permet par défaut de modifier le code PHP des plugins/thèmes depuis le tableau de bord. N'importe quel cambrioleur en profitera.
W wp-config.php dodaj:
define('DISALLOW_FILE_EDIT', true);
Étape 9 : Masquer la version WordPress
Jeśli ujawniasz „WordPress 6.5.2”, haker wie, jakie luki w niej są. Domyślnie WP wstawia tę informację w <head> i readme.html.
Chemin: prise WP Hide & Security Enhancer lub kod w functions.php:
remove_action('wp_head', 'wp_generator');
I usuń readme.html z root folderu witryny.
Étape 10 : Sécuriser le fichier wp-config.php
wp-config.php zawiera dane dostępowe do bazy. Zabezpiecz:
- Se déplacer fichier situé un niveau au-dessus du dossier public (si l'hébergement le permet)
- Chmod 440 (Seuls le propriétaire et le groupe peuvent le lire)
- Mettre à jour les clés secrètes une fois par an (générateur de clés secrètes)
Étape 11 : Désactiver XML-RPC (si nécessaire)
XML-RPC est un ancien protocole de publication à distance. Les attaquants l'utilisent pour la force brute.
Si vous n'utilisez pas Jetpack ou l'application mobile WordPress, veuillez désactiver :
add_filter('xmlrpc_enabled', '__return_false');
Albo .htaccess:
<Files xmlrpc.php>
Order Deny,Allow
Deny from all
</Files>
Étape 12 : Surveillance et alertes
Même après avoir suivi toutes ces étapes, vous ne remarquerez peut-être pas la piratage immédiatement. Surveillance Détecte rapidement.
Wordfence gratuit envoie des alertes par e-mail lorsque :
– Quelqu'un se connecte en tant qu'administrateur
Un nouveau plugin arrive bientôt.
– Les fichiers principaux sont modifiés
Des tentatives par force brute sont à venir.
Vérification du site Sucuri (test externe gratuit) : sitecheck.sucuri.net — vérifier une fois par mois.
Les erreurs les plus courantes
❌ Connexion « admin »
La première chose que le bot essaie toujours de vérifier, c'est le nom d'utilisateur. autre que « admin », « administrateur », nom de l'entreprise.
❌ Plugins/thèmes piratés
« Yoast SEO Premium gratuit » provenant d'une source non officielle = logiciel malveillant. Un moyen direct de perdre votre site web.
❌ Sauvegarde uniquement sur le serveur
Si le serveur tombe en panne ou si des pirates informatiques chiffrent le disque, votre sauvegarde disparaît également. La sauvegarde hors site est obligatoire.
❌ Tout le monde a le rôle d'« administrateur ».
Le client demande : « Donnez-moi un accès complet. Attribuez-moi un rôle. » Éditeur En revanche, l'administrateur installe des plugins et modifie le thème, ce qui représente un risque supplémentaire.
❌ Ignorer les mises à jour « parce qu'elles fonctionnent »
Un ancien plugin qui « fonctionne » depuis 3 ans = 99 % de chances qu'il présente une vulnérabilité connue. Mettez-le à jour ou remplacez-le par une version maintenue.
Que faire si WordPress est piraté ?
Guide complet : WordPress piraté - Que faire maintenant ?.
Abréviation:
1. Déconnectez le site web (activez le mode maintenance/hébergement → pause)
2. Changez tous les mots de passe (WP, hébergement, FTP, base de données)
3. Rechercher des logiciels malveillants (Wordfence, Sucuri, MalCare)
4. Restaurez une sauvegarde antérieure au piratage.
5. Mettez tout à jour, changez les clés secrètes
6. Renforcer la sécurité (12 étapes ci-dessus)
Et ensuite ?
Cette semaine:
- Renforcer le mot de passe administrateur et activer l'authentification à deux facteurs
- Installer Wordfence
- Modifier l'URL de connexion (WPS Masquer la connexion)
- Activer la limitation des tentatives de connexion
- Vérifiez si les sauvegardes sont stockées en dehors du serveur.
Dans notre administration web Nous appliquons ces 12 étapes de manière standard, en plus d'un suivi et de rapports de sécurité mensuels. Les forfaits commencent à 299 PLN/mois.
Twoja opinia
Czy ten artykuł był pomocny?
Jedno kliknięcie — pomaga mi wybierać kolejne tematy.
