C’est une statistique qui donne le tournis : WordPress propulse plus de 43 % des sites internet dans le monde. C’est un outil formidable, flexible et accessible. Mais cette immense popularité a un revers de médaille évident : elle fait de WordPress la cible numéro un des pirates informatiques, des bots et des scripts malveillants.
Trop souvent, on s’imagine que le piratage n’arrive qu’aux autres, aux grandes entreprises ou aux sites e-commerce qui brassent des millions. C’est une grave erreur. La majorité des attaques sur le web sont automatisées. Des « robots » scannent le réseau au hasard, à la recherche de portes laissées ouvertes.
Si vous possédez un site WordPress, qu’il s’agisse d’un simple blog ou d’un site vitrine d’entreprise, voici les risques de sécurité les plus fréquents auxquels vous faites face, et surtout, comment fermer les portes à double tour.
1. Les failles de sécurité dans les extensions et les thèmes
C’est, de très loin, la cause numéro un des piratages sur WordPress (elle représente près de 90 % des vulnérabilités exploitées). Le cœur de WordPress est aujourd’hui très robuste et surveillé de près. En revanche, l’écosystème des extensions (plugins) et des thèmes est une autre histoire.
N’importe quel développeur peut proposer un plugin. Certains sont codés à la va-vite, d’autres sont tout simplement abandonnés par leurs créateurs au fil du temps. Lorsqu’une faille de sécurité est découverte dans une extension populaire, les pirates s’engouffrent dans la brèche pour injecter du code malveillant sur tous les sites qui l’utilisent.
Le conseil humain : Ne laissez jamais traîner de plugins ou de thèmes non mis à jour. Supprimez purement et simplement tout ce qui ne vous sert plus. Moins vous avez de plugins installés, plus vous réduisez votre surface d’attaque.
2. Les attaques par « Force Brute » (Brute Force)
L’attaque par force brute est d’une simplicité enfantine, mais redoutablement efficace si vous n’avez pas pris vos précautions. Des scripts automatisés vont tester en boucle des milliers de combinaisons d’identifiants et de mots de passe sur votre page de connexion (généralement accessible via /wp-admin ou /wp-login.php).
Si votre identifiant est « admin » et que votre mot de passe est le nom de votre chien suivi de votre année de naissance, le robot mettra moins de trois secondes à entrer. Une fois à l’intérieur, le pirate prend le contrôle total de votre site.
Le conseil humain : Bannissez l’identifiant « admin » ou le nom de votre site. Utilisez un gestionnaire de mots de passe pour générer des clés complexes (lettres, chiffres, caractères spéciaux). Enfin, installez une extension de sécurité pour limiter le nombre de tentatives de connexion échouées. Au bout de 3 erreurs, le robot est bloqué.
3. L’utilisation de thèmes ou plugins « Nulled » (le faux gratuit)
On a tous été tentés un jour d’économiser quelques dizaines d’euros. Un thème premium ou un plugin pro vous fait de l’œil, et vous finissez par le trouver en téléchargement « gratuit » sur un site louche. C’est ce qu’on appelle un fichier nulled (piraté).
Sachez que dans 99 % des cas, ces fichiers gratuits contiennent un cadeau empoisonné : une ligne de code invisible (une backdoor ou porte dérobée). Dès que vous installez le plugin sur votre site, vous offrez les clés de votre serveur aux pirates sur un plateau d’argent. Ils pourront alors afficher de la publicité pour des sites frauduleux, voler vos données ou détruire votre travail à votre insu.
Le conseil humain : N’achetez vos thèmes et extensions que sur les places de marché officielles ou directement auprès des développeurs. La sécurité de votre business vaut bien plus que 40 euros d’économie.
4. Les injections de logiciels malveillants (Malwares & SEO Spam)
C’est la conséquence directe des failles mentionnées plus haut. Une fois qu’un pirate a trouvé une faille, il installe un malware sur votre site. Le but est rarement de couper votre site (ce qui vous alerterait immédiatement). Le but est de l’exploiter en arrière-plan en toute discrétion.
L’attaque la plus fréquente est le SEO Spam (ou pharma hack). Le pirate injecte des milliers de pages invisibles pour vous, mais visibles pour Google, contenant des liens vers des sites de contrefaçons, de casinos ou de médicaments. Résultat ? Google s’en aperçoit, classe votre site comme dangereux, et votre référencement s’effondre du jour au lendemain.
Le conseil humain : Utilisez un outil de scan de sécurité (comme Wordfence ou SecuPress) qui compare quotidiennement les fichiers de votre serveur avec les fichiers d’origine de WordPress pour détecter la moindre modification suspecte.
5. Un hébergement web obsolète ou mal configuré
La sécurité de votre WordPress dépend aussi de la solidité des fondations sur lesquelles il repose. Si votre hébergeur utilise des versions obsolètes de PHP (la technologie qui fait tourner WordPress), votre site est vulnérable par ricochet. De plus, sur des hébergements mutualisés « low-cost » mal isolés, si le site de votre voisin de serveur est piraté, l’infection peut parfois se propager au vôtre.
Le conseil humain : Choisissez un hébergeur réputé et assurez-vous que votre site tourne sur une version récente et supportée de PHP (actuellement les versions 8.x).
🛠️ Votre check-list sécurité pour ce soir
Pour dormir sur vos deux oreilles, appliquez ces 4 règles de bon sens dès aujourd’hui :
Faites des sauvegardes régulières et externes : Si le pire arrive, vous devez pouvoir restaurer votre site en un clic. Ne stockez jamais vos sauvegardes sur le même serveur que votre site.
Activez la double authentification (2FA) : Même si un pirate trouve votre mot de passe, il ne pourra pas se connecter sans le code unique envoyé sur votre téléphone.
Mettez à jour, tout le temps : Dès qu’une mise à jour est disponible, faites-la (en prenant soin de tester sur une copie si vous avez un site complexe).
Masquez la page de connexion : Changez l’adresse par défaut
/wp-adminpar une URL personnalisée que vous serez le seul à connaître.
En conclusion
La sécurité absolue n’existe pas sur le web, mais l’immense majorité des piratages sur WordPress réussissent à cause d’une négligence humaine (un mot de passe trop simple, une mise à jour oubliée, un plugin obsolète). En appliquant ces quelques filtres de sécurité, vous rendrez la tâche tellement difficile aux robots qu’ils iront chercher une cible plus facile ailleurs.