La quasi-totalité des compromissions exploite une faille connue et corrigée depuis des mois, un mot de passe faible, ou un compte oublié. Les mesures qui protègent sont ennuyeuses : mettre à jour, limiter les comptes, sauvegarder ailleurs, tester la restauration. Aucune extension de sécurité ne compense l’absence de maintenance.
Les entreprises se croient rarement concernées : « nous n’intéressons personne ». C’est une mauvaise lecture. La plupart des attaques ne visent personne en particulier : des robots parcourent le web à la recherche de versions vulnérables connues. Votre site n’est pas choisi, il est trouvé.
01Comment un site se fait compromettre
Trois portes d’entrée expliquent l’essentiel des cas rencontrés sur des sites d’entreprise.
- Une extension ou un thème non mis à jour, dont la faille est publique et documentée depuis des mois
- Un compte administrateur avec un mot de passe faible ou réutilisé ailleurs, trouvé lors d’une fuite sur un autre service
- Un compte oublié : un ancien prestataire, un stagiaire, un client parti, toujours actif avec des droits élevés
- Plus rarement, un hébergement mutualisé mal cloisonné, où un autre site compromis contamine le vôtre
On ne vous a pas visé. Un robot a trouvé une version vulnérable, et il en trouve des milliers par jour.
02Les dix mesures, par ordre d’efficacité
Les quatre premières couvrent l’essentiel du risque. Les suivantes réduisent la surface d’attaque et limitent les dégâts.
- 1Mettre à jour le cœur, le thème et les extensions, en testant d’abord sur une préproduction
- 2Supprimer tout compte inutilisé, et limiter le nombre d’administrateurs à ce qui est strictement nécessaire
- 3Imposer des mots de passe uniques et longs, et activer la double authentification sur les comptes à droits élevés
- 4Sauvegarder ailleurs que sur le serveur du site, et tester la restauration au moins une fois par an
- 5Supprimer les extensions et thèmes inutilisés, pas seulement les désactiver
- 6Limiter les tentatives de connexion répétées
- 7Vérifier les droits des fichiers et désactiver l’édition de code depuis l’administration
- 8Maintenir la version du langage serveur à jour auprès de l’hébergeur
- 9Journaliser les connexions et les actions d’administration, pour savoir quoi regarder en cas d’incident
- 10Documenter qui a accès à quoi, et revoir cette liste deux fois par an
La quatrième mesure est celle qu’on découvre trop tard : une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Voir ce que doit contenir un contrat de maintenance.
03Ce qui ne sert pas à grand-chose
Quatre pratiques répandues dont l’effet réel est faible, voire contre-productif.
- Masquer l’adresse de connexion : cela gêne les robots les plus basiques et donne un faux sentiment de sécurité. Certaines extensions qui le font ont elles-mêmes présenté des failles
- Empiler plusieurs extensions de sécurité : elles se gênent, ralentissent le site et ajoutent du code tiers à maintenir
- Bloquer massivement des pays entiers : peu efficace, et cela bloque parfois de vrais visiteurs
- Se reposer sur une extension de sécurité sans jamais mettre à jour : c’est l’inverse de l’ordre de priorité
Nous ne détaillons volontairement aucune technique d’attaque ni aucune faille précise dans cet article : l’objectif est de protéger des sites, pas de documenter comment on les compromet.
04Que faire si le site est compromis
L’ordre des opérations compte : restaurer sans corriger la cause conduit à une nouvelle compromission en quelques jours.
- 1Couper l’accès public du site, en page de maintenance, pour arrêter la diffusion de contenus malveillants
- 2Prévenir votre prestataire et votre hébergeur, qui disposent souvent de journaux utiles
- 3Identifier le point d’entrée avant toute restauration, par les journaux et les dates de modification des fichiers
- 4Restaurer une sauvegarde antérieure à la compromission, une fois la cause comprise
- 5Changer tous les mots de passe et toutes les clés, y compris ceux de la base de données
- 6Mettre à jour, supprimer ce qui a servi de porte d’entrée, puis remettre en ligne
- 7Vérifier ensuite l’état d’indexation : un site compromis peut avoir été signalé comme dangereux
- Si des données personnelles ont pu être exposées, des obligations de notification s’appliquent : faites-vous conseiller
- Documentez l’incident : date, cause, mesures prises. C’est utile si cela se reproduit
- Voir aussi la définition d’une sauvegarde et le certificat de sécurité
05Le coût de la sécurité
Comparé au coût d’une compromission, l’investissement est modeste. Encore faut-il le prévoir.
| Poste | Budget | Remarque |
|---|---|---|
| Maintenance incluant la sécurité | 1 200 à 4 800 € par an | Le poste qui protège réellement |
| Audit de sécurité ponctuel | 1 500 à 6 000 € | Utile avant une mise en ligne sensible |
| Nettoyage après compromission | 1 000 à 6 000 € | Selon l’ampleur et l’ancienneté |
| Perte d’activité | variable | Le poste le plus lourd, jamais budgété |
- Choisir un prestataire de maintenance : les agences de maintenance à Lyon
- Les agences WordPress de la région : notre sélection
- Le budget global : prix de la maintenance WordPress
Questions fréquentes
Pourquoi mon site WordPress serait-il attaqué ?
Parce qu’il n’est pas choisi, il est trouvé. Des robots parcourent en permanence le web à la recherche de versions vulnérables connues, sans distinction de taille ni de secteur. La quasi-totalité des compromissions exploite une faille publiée et corrigée depuis des mois, un mot de passe faible, ou un compte oublié.
Une extension de sécurité suffit-elle ?
Non, et elle ne remplace jamais les mises à jour. Une extension de sécurité ajoute des garde-fous utiles, mais un site non mis à jour reste vulnérable à des failles publiques. L’ordre de priorité est : mettre à jour, limiter les comptes, sauvegarder ailleurs, puis éventuellement ajouter une extension.
Faut-il masquer la page de connexion ?
L’effet est limité : cela gêne les robots les plus basiques et donne surtout un faux sentiment de sécurité. Certaines extensions qui assurent cette fonction ont elles-mêmes présenté des vulnérabilités. Une authentification à deux facteurs sur les comptes à droits élevés protège infiniment mieux.
À quelle fréquence mettre à jour WordPress ?
Les correctifs de sécurité doivent être appliqués rapidement, dans les jours qui suivent leur publication. Les mises à jour fonctionnelles peuvent attendre un créneau planifié, à condition d’être testées sur une préproduction. Ce qui casse un site, ce n’est pas la mise à jour, c’est de l’appliquer directement en production sans sauvegarde restaurable.
Que faire immédiatement si mon site est piraté ?
Coupez l’accès public, prévenez votre prestataire et votre hébergeur, puis identifiez le point d’entrée avant de restaurer quoi que ce soit. Restaurer sans corriger la cause conduit à une nouvelle compromission en quelques jours. Changez ensuite tous les mots de passe et toutes les clés, y compris ceux de la base de données.
Combien coûte la sécurisation d’un site ?
Elle est incluse dans une maintenance sérieuse, soit 1 200 à 4 800 € par an pour un site vitrine. Un audit ponctuel se situe entre 1 500 et 6 000 €. À comparer au nettoyage après compromission, de 1 000 à 6 000 €, sans compter la perte d’activité et l’atteinte à la réputation, qui ne se budgètent jamais.
Co-fondateur de Pilot’in en 2013 à Lyon. L’agence — HubSpot Implementation Partner (Platinum) et organisme de formation Qualiopi — accompagne PME et ETI sur le WordPress sur mesure, le SEO et la prospection B2B (450+ projets, 4,9/5 sur Google).