Fiche 8: sécuriser WordPress

1) Sécuriser WordPress

1.1) Modifier le préfixe de la base de données

1. Vérifier le préfixe utilisé dans le fichier wp-config.php ($table_prefix).
2. Éviter le préfixe par défaut wp_.
3. Choisir un préfixe personnalisé difficile à deviner (ex. mw26_, x7f9_, site01_).
4. Modifier le préfixe lors de l’installation de WordPress ou à l’aide d’un outil spécialisé sur un site existant.
5. Renommer toutes les tables de la base de données.
6. Mettre à jour les champs concernés dans les tables options et usermeta.
7. Vérifier la connexion à la base de données après modification.
8. Contrôler le bon fonctionnement du site.
9. Réaliser une sauvegarde avant toute modification.
10. Documenter le nouveau préfixe utilisé.

1.2) Supprimer l’utilisateur « admin »

1. Vérifier la liste des utilisateurs dans Utilisateurs > Tous les utilisateurs.
2. Identifier la présence éventuelle du compte admin.
3. Créer un nouvel administrateur avec un identifiant personnalisé.
4. Attribuer tous les droits d’administration au nouveau compte.
5. Se connecter avec ce nouvel administrateur.
6. Supprimer définitivement le compte admin.
7. Attribuer les contenus existants au nouvel utilisateur.
8. Vérifier que l’ancien identifiant ne peut plus être utilisé.
9. Contrôler les journaux de connexion si disponibles.
10. Documenter les comptes administrateurs autorisés.

1.3) Forcer l’utilisation de mots de passe forts

1. Définir une politique de mots de passe robustes.
2. Utiliser au minimum 12 à 16 caractères.
3. Mélanger lettres majuscules, minuscules, chiffres et caractères spéciaux.
4. Éviter les informations personnelles.
5. Activer la génération automatique de mots de passe proposée par WordPress.
6. Imposer cette règle à tous les utilisateurs ayant un accès au tableau de bord.
7. Recommander l’utilisation d’un gestionnaire de mots de passe.
8. Modifier régulièrement les mots de passe sensibles.
9. Vérifier la robustesse des mots de passe lors de la création des comptes.
10. Documenter la politique de sécurité retenue.

1.4) Limiter les tentatives de connexion

1. Installer une extension de protection contre les attaques par force brute.
2. Définir un nombre maximal de tentatives de connexion.
3. Configurer une durée de blocage après plusieurs échecs.
4. Activer les notifications en cas de tentatives répétées.
5. Bloquer automatiquement les adresses IP malveillantes.
6. Surveiller les journaux de connexion.
7. Tester le verrouillage après plusieurs essais.
8. Vérifier que les utilisateurs légitimes peuvent toujours se connecter.
9. Contrôler régulièrement les statistiques d’attaques.
10. Documenter les paramètres configurés.

1.5) Désactiver XML-RPC si inutile

1. Vérifier si XML-RPC est réellement utilisé par le site.
2. Identifier les services qui en dépendent (application mobile, Jetpack, etc.).
3. Désactiver XML-RPC lorsqu’il n’est pas nécessaire.
4. Utiliser une extension de sécurité ou une règle serveur.
5. Vérifier que l’API REST reste fonctionnelle.
6. Tester les fonctionnalités du site après désactivation.
7. Contrôler les journaux de sécurité.
8. Réduire les risques d’attaques par force brute.
9. Vérifier le bon fonctionnement des extensions.
10. Documenter cette configuration.

1.6) Mettre en place le HTTPS (SSL)

1. Installer un certificat SSL valide sur le serveur.
2. Vérifier que toutes les pages sont accessibles en HTTPS.
3. Forcer la redirection HTTP vers HTTPS.
4. Modifier les adresses du site dans Réglages > Général.
5. Vérifier l’absence de contenu mixte (Mixed Content).
6. Tester le cadenas de sécurité dans le navigateur.
7. Vérifier les formulaires et les connexions sécurisées.
8. Contrôler le renouvellement automatique du certificat.
9. Tester le site sur plusieurs navigateurs.
10. Documenter la configuration SSL.

1.7) Vérifier les permissions des fichiers

1. Contrôler les droits d’accès des fichiers du serveur.
2. Vérifier les permissions des dossiers WordPress.
3. Attribuer les permissions recommandées (généralement 755 pour les dossiers).
4. Attribuer les permissions recommandées (généralement 644 pour les fichiers).
5. Restreindre les droits du fichier wp-config.php.
6. Vérifier les permissions du dossier uploads.
7. Contrôler les droits d’écriture inutiles.
8. Tester le fonctionnement du site après modification.
9. Vérifier la compatibilité avec les mises à jour.
10. Documenter les permissions appliquées.

1.8) Installer une extension de sécurité

1. Identifier les besoins de protection du site.
2. Comparer les principales extensions de sécurité disponibles.
3. Installer l’extension retenue.
4. Activer le pare-feu (Firewall).
5. Configurer les analyses automatiques.
6. Activer la protection contre les malwares.
7. Configurer les alertes de sécurité.
8. Vérifier les journaux d’activité.
9. Tester les principales protections mises en place.
10. Documenter les paramètres retenus.

1.9) Mettre en place des sauvegardes régulières

1. Déterminer la fréquence des sauvegardes.
2. Installer une extension de sauvegarde.
3. Sauvegarder les fichiers WordPress.
4. Sauvegarder la base de données.
5. Planifier des sauvegardes automatiques.
6. Stocker les sauvegardes sur un espace externe.
7. Vérifier régulièrement leur bon déroulement.
8. Tester une restauration complète.
9. Conserver plusieurs versions de sauvegarde.
10. Documenter la procédure de restauration.

1.10) Maintenir WordPress, les extensions et les thèmes à jour

1. Vérifier régulièrement les mises à jour disponibles.
2. Mettre à jour le noyau WordPress.
3. Mettre à jour les extensions installées.
4. Mettre à jour le thème actif.
5. Supprimer les thèmes inutilisés.
6. Désinstaller les extensions obsolètes.
7. Réaliser une sauvegarde avant chaque mise à jour importante.
8. Tester le fonctionnement du site après chaque mise à jour.
9. Contrôler les éventuelles incompatibilités.
10. Tenir un journal des mises à jour effectuées.

2) Les points essentiels

Résultat attendu

À la fin de cette fiche, le site WordPress bénéficie d’un premier niveau de sécurité conforme aux bonnes pratiques. Les principaux risques d’intrusion sont limités grâce à une configuration adaptée, des comptes utilisateurs sécurisés, des accès protégés, des mises à jour régulières et des outils de surveillance efficaces.

À retenir

• La sécurité d’un site WordPress se prépare dès son installation.
• Limiter les risques est plus efficace que réparer après une attaque.
• Utiliser des mots de passe robustes et des comptes sécurisés.
• Maintenir WordPress, les thèmes et les extensions à jour.
• Contrôler régulièrement la sécurité du site.

Les outils recommandés

Sécurité

• Wordfence
• iThemes Security
• Sucuri Security

Sauvegarde

• UpdraftPlus
• Duplicator

Analyse

• Chrome DevTools
• Firefox Developer Tools

Contrôle

• Security Headers
• Mozilla Observatory

Hébergement

• Certificat SSL
• Sauvegardes automatiques de l’hébergeur

Les erreurs à éviter

• Conserver le compte administrateur nommé « admin ».
• Utiliser des mots de passe faibles ou identiques sur plusieurs services.
• Désactiver les mises à jour de WordPress.
• Installer des extensions provenant de sources non fiables.
• Laisser XML-RPC activé lorsqu’il n’est pas utilisé.
• Négliger les permissions des fichiers et dossiers.
• Oublier de mettre en place des sauvegardes régulières.
• Désactiver le certificat HTTPS.
• Ignorer les alertes de sécurité.
• Attendre une attaque avant de mettre en place des protections.

Checklist de validation

Niveau de difficulté

(3/5) – Intermédiaire

Cette fiche demande une bonne compréhension de l’administration de WordPress et des principales notions de sécurité. Les manipulations restent accessibles, mais elles doivent être réalisées avec méthode afin de ne pas perturber le fonctionnement du site.

Temps moyen de réalisation

Lecture de la fiche

30 à 40 minutes

Mise en application

2 à 4 heures

(Selon la configuration du site et les protections déjà en place).

Compétences développées

À l’issue de cette fiche, vous serez capable de :

• Identifier les principales menaces visant un site WordPress.
• Sécuriser les comptes utilisateurs.
• Configurer les paramètres de sécurité essentiels.
• Mettre en place une politique de mots de passe robuste.
• Gérer les mises à jour de WordPress, des thèmes et des extensions.
• Configurer un plugin de sécurité.
• Contrôler les permissions des fichiers et des dossiers.
• Vérifier le bon fonctionnement du protocole HTTPS.
• Mettre en place une stratégie de sauvegarde sécurisée.
• Renforcer durablement la sécurité d’un site WordPress.

Bonus

➤ Checklist pour le contrôle sécurité:

audit_securite_site_wordpress

➤ Infographie sécuriser WordPress: