Audit de sécurité WordPress : les 10 points à vérifier absolument

Temps de lecture : 11 minutes

Votre site WordPress fonctionne depuis un an. Aucun problème visible. Mais en coulisses, un plugin obsolète a une faille connue, votre mot de passe admin est "admin123", et votre certificat SSL expire dans 15 jours. Un pirate n'a besoin que d'une seule de ces failles pour prendre le contrôle de votre site. L'audit de sécurité, c'est la visite de contrôle qui identifie ces vulnérabilités avant qu'elles ne soient exploitées.

Ce guide vous donne les 10 points à vérifier absolument, avec les outils gratuits pour le faire et les actions correctives pour chaque point.

1. Les mises à jour WordPress, thème et plugins

C'est le point le plus basique et le plus négligé. Chaque mise à jour de WordPress, du thème et des plugins corrige des failles de sécurité informatique découvertes par la communauté ou par des chercheurs.

Ce qu'il faut vérifier : allez dans Tableau de bord > Mises à jour. Tout doit être à jour : le core WordPress, le thème actif et tous les plugins. Si des mises à jour sont disponibles depuis plus de 2 semaines, votre site est vulnérable.

L'action corrective : faites une sauvegarde complète, puis mettez tout à jour. Si vous ne savez pas gérer un incident post-mise à jour (page blanche, conflit), confiez cette tâche à votre webmaster dans le cadre d'un forfait de maintenance.

2. Les mots de passe et comptes utilisateurs

Les attaques par force brute (des robots qui testent des milliers de combinaisons de mots de passe) représentent 40 % des tentatives de piratage WordPress.

Ce qu'il faut vérifier : allez dans Utilisateurs > Tous les utilisateurs. Vérifiez qu'il n'y a pas de comptes que vous n'avez pas créés (signe de piratage). Vérifiez que l'identifiant admin n'est pas "admin" (c'est le premier que les robots testent). Vérifiez que chaque mot de passe fait au moins 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux.

L'action corrective : supprimez les comptes inutiles. Changez l'identifiant "admin" (créez un nouvel administrateur avec un nom unique, puis supprimez "admin"). Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password) pour générer et stocker des mots de passe forts.

3. Le certificat SSL

Le SSL (le cadenas dans la barre d'adresse, le "s" de HTTPS) chiffre la connexion entre le navigateur du visiteur et votre serveur. Sans SSL, les données transitent en clair et Google pénalise votre référencement.

Ce qu'il faut vérifier : votre site doit être en HTTPS (pas HTTP). Cliquez sur le cadenas dans la barre d'adresse et vérifiez la date d'expiration du certificat. Vérifiez aussi qu'il n'y a pas de contenu mixte (des ressources HTTP chargées sur une page HTTPS) en utilisant l'onglet Console de Chrome DevTools.

L'action corrective : si le SSL est expiré, contactez votre hébergeur (Let's Encrypt se renouvelle normalement automatiquement, un échec de renouvellement indique un problème de configuration). Si vous avez du contenu mixte, remplacez toutes les URLs HTTP par HTTPS dans votre contenu.

4. Les plugins abandonnés ou vulnérables

52 % des vulnérabilités WordPress proviennent des plugins. Un plugin qui n'est plus mis à jour depuis un an est une porte ouverte.

Ce qu'il faut vérifier : allez dans Extensions > Extensions installées. Pour chaque plugin, vérifiez la date de dernière mise à jour sur WordPress.org. Si un plugin n'a pas été mis à jour depuis plus d'un an, il est potentiellement dangereux. Vérifiez aussi les vulnérabilités connues sur Wordfence Intelligence.

L'action corrective : remplacez les plugins abandonnés par des alternatives activement maintenues. Désactivez et supprimez les plugins que vous n'utilisez pas (un plugin désactivé mais présent sur le serveur reste une cible).

5. Les sauvegardes

Les sauvegardes ne sont pas une mesure de sécurité au sens strict, mais c'est votre filet de sécurité en cas de piratage, de panne ou d'erreur humaine.

Ce qu'il faut vérifier : avez-vous des sauvegardes automatiques ? Sont-elles stockées sur un serveur externe (pas sur le même hébergement que le site) ? Quand date la dernière sauvegarde ? Avez-vous déjà testé une restauration ?

L'action corrective : installez un plugin de sauvegarde (UpdraftPlus, BackWPup) et configurez une sauvegarde automatique quotidienne ou hebdomadaire vers un stockage externe (Google Drive, Dropbox, serveur distant). Testez la restauration au moins une fois pour vérifier qu'elle fonctionne.

6. Les permissions de fichiers

Les permissions définissent qui peut lire, écrire ou exécuter chaque fichier sur votre serveur. Des permissions trop permissives permettent à un attaquant de modifier vos fichiers.

Ce qu'il faut vérifier : via le gestionnaire de fichiers de votre hébergeur ou en FTP, les permissions correctes sont : dossiers en 755, fichiers en 644, et wp-config.php en 440 ou 400. Si vous voyez des fichiers en 777 (lecture/écriture/exécution pour tout le monde), c'est un problème critique.

L'action corrective : remettez les permissions aux valeurs correctes. Le fichier wp-config.php contient vos identifiants de base de données, il doit être le plus restreint possible.

7. Le préfixe de la base de données

Par défaut, WordPress utilise le préfixe "wp_" pour toutes les tables de la base de données. Les attaques par injection SQL ciblent ce préfixe par défaut.

Ce qu'il faut vérifier : ouvrez wp-config.php et cherchez la ligne $table_prefix. Si elle est à "wp_", votre base de données utilise le préfixe par défaut.

L'action corrective : changer le préfixe sur un site existant est délicat (il faut modifier la base de données et le fichier wp-config.php). Si votre site est récent, changez-le maintenant. Si votre site est en production, cette opération est à confier à un professionnel.

8. La page de connexion

La page wp-login.php est la cible principale des attaques par force brute. Des milliers de robots la testent en permanence.

Ce qu'il faut vérifier : votre page de connexion est-elle accessible à l'URL par défaut (votresite.com/wp-admin) ? Avez-vous une limite de tentatives de connexion ? Avez-vous une authentification à deux facteurs (2FA) ?

L'action corrective : installez un plugin de limitation de tentatives (Limit Login Attempts Reloaded, gratuit) ou utilisez le pare-feu de Wordfence qui bloque les IP après plusieurs échecs. Activez le 2FA pour tous les comptes administrateurs. Changez l'URL de connexion avec un plugin comme WPS Hide Login si vous voulez une couche supplémentaire.

9. Les headers de sécurité HTTP

Les headers HTTP sont des instructions envoyées par votre serveur au navigateur pour renforcer la sécurité. La plupart des sites WordPress n'en ont aucun.

Ce qu'il faut vérifier : testez votre site sur SecurityHeaders.com (gratuit). Les headers importants sont : X-Content-Type-Options, X-Frame-Options, Strict-Transport-Security, Content-Security-Policy, Referrer-Policy et Permissions-Policy.

L'action corrective : ajoutez les headers via votre fichier .htaccess ou via un plugin de sécurité (Wordfence, iThemes Security). Un score A ou B sur SecurityHeaders.com est l'objectif.

10. Le scan malware

Même si votre site semble fonctionner normalement, du code malveillant peut être présent dans vos fichiers sans que vous le sachiez. Les backdoors (portes dérobées) permettent à un pirate de revenir même après un nettoyage.

Ce qu'il faut vérifier : lancez un scan complet avec Wordfence (gratuit). Il compare vos fichiers WordPress avec les originaux et détecte les modifications suspectes. Vérifiez aussi avec Sucuri SiteCheck (scan en ligne gratuit, sans installation).

L'action corrective : si Wordfence détecte des fichiers modifiés ou inconnus, supprimez-les ou restaurez les originaux. Si une backdoor est détectée, un nettoyage complet est nécessaire. Consultez notre guide site WordPress piraté : que faire.

Angelica, spécialiste WordPress et Divi

KaoriWeb, Poussan (34560). Création de sites WordPress, maintenance WordPress et référencement local pour les entreprises de l'Hérault.