Comment sécuriser un site WordPress ?
WordPress et la sécurité, quelques conseils
- Sécurisez vos procédures de connexion.
- Utilisez un hébergement WordPress sécurisé.
- Mettez à jour votre version de WordPress.
- Mettez à jour la dernière version de PHP.
- Installez un ou plusieurs plugins de sécurité.
- Utilisez un thème WordPress sécurisé.
- Activez SSL/HTTPS.
- Installez un pare-feu.
- Sauvegardez votre site web.
- Effectuez régulièrement des analyses de sécurité de WordPress.
- Filtrez les caractères spéciaux de la saisie de l’utilisateur.
- Limitez les autorisations des utilisateurs de WordPress.
- Utilisez la surveillance de WordPress.
- Consigner l’activité des utilisateurs.
- Modifier l’URL de connexion par défaut de WordPress.
- Désactiver l’édition de fichiers dans le tableau de bord de WordPress.
- Modifier le préfixe de votre fichier de base de données.
- Désactivez votre fichier xmlrpc.php.
- Envisager de supprimer le compte administrateur par défaut de WordPress.
- Envisagez de masquer votre version de WordPress.
Sécurisez vos procédures de connexion.
L’étape la plus fondamentale pour sécuriser votre site Web consiste à protéger vos comptes contre les tentatives de connexion malveillantes. Pour ce faire, procédez comme suit
- Utilisez des mots de passe forts : Nous pensions qu’il y aurait des voitures volantes dans le futur, mais depuis cette année, les gens utilisent toujours « 123456 » comme mot de passe. Assurez-vous que tous les utilisateurs ayant un compte sur votre backend WordPress utilisent des mots de passe forts pour se connecter. Vous pouvez utiliser l’un de nos gestionnaires de mots de passe recommandés pour générer des mots de passe forts et en garder la trace pour vous.
- Activez l’authentification à deux facteurs : L’authentification à deux facteurs (2FA) exige que les utilisateurs vérifient leur connexion avec un deuxième dispositif. Il s’agit de l’un des outils les plus simples, mais aussi les plus efficaces, pour sécuriser votre connexion. Voici comment ajouter l’authentification à deux facteurs dans WordPress.
- N’attribuez pas le nom d’utilisateur « admin » à un compte : Il y a de fortes chances que ce soit le premier nom d’utilisateur que les attaquants utiliseront lors d’une tentative de connexion par force brute. Si vous avez déjà créé un utilisateur avec ce nom, créez un nouveau compte administrateur avec un nom d’utilisateur différent.
- Limitez les tentatives de connexion : En limitant le nombre de fois où un utilisateur saisit les mauvaises informations d’identification dans un certain laps de temps, vous empêcherez les pirates de forcer une connexion par force brute. Certains services d’hébergement et pare-feux peuvent s’en charger pour vous, mais vous pouvez aussi installer un plugin comme Limit
- Login Attempts pour cette tâche.
- Ajoutez un captcha : vous avez probablement vu cette fonction de sécurité sur de nombreux autres sites Web. Elle ajoute une couche supplémentaire de sécurité à votre connexion en vérifiant que vous êtes bien une personne vivante. Vous pouvez utiliser des plugins pour ajouter un captcha à votre site. reCaptcha de BestWebSoft en est un que nous recommandons – voir notre guide pour activer Google reCaptcha dans WordPress.
- Activez la déconnexion automatique : Alors que vous devriez vous souvenir de vous déconnecter de votre compte WP lorsque vous avez terminé, la déconnexion automatique empêche les étrangers de fouiner dans votre compte si vous oubliez. Pour activer la déconnexion automatique sur votre compte WordPress, essayez le plugin Inactive Logout.
Mettez à jour votre version de WordPress.
Les versions obsolètes du logiciel WordPress sont une cible très courante pour les pirates. Assurez-vous de vérifier régulièrement les mises à jour de WordPress et de les installer dès que possible pour éliminer les vulnérabilités trouvées dans les anciennes versions.
Pour mettre à jour WordPress à la dernière version, sauvegardez d’abord votre site et vérifiez que vos plugins sont compatibles avec la dernière version de WordPress, en mettant à jour les plugins en conséquence. Vous pouvez consulter notre guide pour savoir comment mettre à jour vos plugins WordPress.
Après avoir mis à jour vos plugins, suivez les instructions de mise à jour sur le site Web de WordPress.
Mettez à jour vers la dernière version de PHP.
La mise à jour vers la dernière version de PHP est l’une des mesures les plus importantes que vous pouvez prendre pour assurer la sécurité de votre site Web WordPress. Lorsqu’une mise à jour est prête, WordPress vous en informera sur votre tableau de bord. Il vous invitera ensuite à vous rendre sur votre compte d’hébergement pour effectuer la mise à niveau vers la dernière version de PHP. Si vous n’avez pas accès à votre compte d’hébergement, contactez votre développeur web pour effectuer la mise à niveau.
Installez un ou plusieurs plugins de sécurité.
Nous vous recommandons vivement d’installer un ou plusieurs plugins de sécurité réputés sur votre site Web. Ces plugins font une grande partie du travail manuel lié à la sécurité à votre place, y compris l’analyse de votre site Web pour les tentatives d’infiltration, la modification des fichiers sources qui pourraient rendre votre site vulnérable, la réinitialisation et la restauration du site WordPress, et la prévention du vol de contenu comme le hotlinking. Certains plugins réputés couvrent presque tout ce qui figure sur cette liste.
Quel que soit le ou les plugins que vous décidez d’installer, qu’ils soient liés à la sécurité ou non, assurez-vous qu’ils sont bien établis et légitimes. Consultez notre liste de plugins de sécurité WordPress recommandés.
