Pour sécuriser votre site WordPress, mettez à jour le cœur, les thèmes et les extensions, imposez des mots de passe robustes et activez l’authentification à deux facteurs. Cette checklist vous aide à appliquer ces gestes essentiels, que vous gériez une PME, une activité indépendante ou des sites clients au Maroc.
Vérifiez aussi les sauvegardes, limitez les accès à l’administration et surveillez les alertes de sécurité. Vous saurez quoi contrôler régulièrement et comment réagir si votre site montre des signes d’intrusion.
Points clés à retenir
- Maintenez WordPress, les thèmes et les extensions à jour.
- Protégez les comptes et vérifiez les accès.
- Sauvegardez votre site et surveillez les alertes.
Fermer les principales portes d’entrée aux attaques
Maintenez les logiciels à jour, contrôlez les accès et configurez correctement votre hébergement. Ces mesures réduisent les risques d’exploitation d’une faille ou d’un compte compromis.
Mettre à jour WordPress, les extensions et les thèmes
Activez les mises à jour automatiques pour les versions mineures de WordPress et les extensions fiables. Pour les mises à jour majeures, testez d’abord les changements sur une copie de votre site, surtout si votre boutique ou vos formulaires génèrent des commandes et des demandes de clients.
Supprimez les extensions et thèmes que vous n’utilisez plus, même s’ils sont désactivés. Chaque composant installé peut contenir une faille. Avant une mise à jour importante, créez une sauvegarde complète et vérifiez que votre hébergeur permet de restaurer rapidement les fichiers et la base de données.
Renforcer les mots de passe et activer la double authentification
Utilisez un mot de passe unique et long pour chaque compte WordPress, hébergement et adresse e-mail d’administration. Un gestionnaire de mots de passe facilite leur création et leur stockage. Évitez les comptes partagés, notamment entre les membres de votre agence ou de votre équipe.
Activez la double authentification pour les comptes administrateurs et éditeurs. Une application d’authentification ou une clé de sécurité ajoute une vérification à la connexion, même si quelqu’un a volé un mot de passe. Conservez les codes de récupération dans un espace sécurisé, accessible au responsable du site.
Limiter les privilèges et supprimer les comptes inutilisés
Attribuez à chaque personne le rôle WordPress dont elle a besoin pour son travail. Un rédacteur n’a pas besoin des droits d’administrateur pour publier des articles. Réservez ce rôle aux personnes qui gèrent la configuration du site, et vérifiez la liste des comptes au départ d’un employé ou à la fin d’une mission d’agence.
Supprimez les comptes inutilisés et remplacez les comptes partagés par des comptes nominatifs. Quand vous retirez un utilisateur, attribuez ses contenus à un compte actif avant de supprimer son accès. Cette organisation facilite aussi l’identification des actions dans l’administration.
Sécuriser l’hébergement, HTTPS et les permissions des fichiers
Choisissez un hébergement qui propose des sauvegardes régulières, une version de PHP maintenue et un canal de support en cas d’incident. Protégez aussi le compte client de l’hébergeur avec un mot de passe unique et la double authentification, car il donne accès aux fichiers et parfois aux boîtes e-mail.
Activez HTTPS et vérifiez que votre site redirige les visiteurs vers sa version sécurisée. Demandez à votre hébergeur de limiter les permissions des fichiers et répertoires selon les besoins de WordPress, sans permettre à tout le monde de modifier les fichiers. Gardez les sauvegardes hors du dossier public du site.
Configurer un pare-feu et limiter les tentatives de connexion
Activez le pare-feu proposé par votre hébergeur ou par une extension de sécurité reconnue. Configurez-le pour filtrer les requêtes malveillantes, puis vérifiez les alertes afin de repérer les blocages qui touchent des visiteurs légitimes. Pour une PME ou une boutique au Maroc, testez les formulaires et le paiement après chaque changement de règle.
Limitez les tentatives de connexion et imposez un délai après plusieurs échecs. Évitez de bloquer une adresse IP sans vérifier qui l’utilise, car plusieurs personnes peuvent partager une même adresse, notamment sur un réseau d’entreprise. Activez les journaux de connexion pour repérer les tentatives répétées sur les comptes privilégiés.
Préparer la restauration et surveiller les incidents
Des sauvegardes accessibles et testées réduisent le délai de remise en service après une panne ou une compromission. Des alertes fiables, des journaux consultables et des responsabilités définies vous aident à détecter les incidents et à agir sans improviser.
Automatiser les sauvegardes hors site et tester leur restauration
Configurez une sauvegarde automatique des fichiers WordPress et de la base de données. Stockez une copie hors du serveur, par exemple dans un espace objet ou un compte cloud séparé, avec des identifiants qui ne donnent pas accès à l’administration du site. Pour une boutique ou un site qui reçoit des demandes chaque jour, sauvegardez la base de données plusieurs fois par jour.
Conservez plusieurs versions et chiffrez les archives qui contiennent des données personnelles. Définissez une durée de conservation selon vos besoins et les obligations applicables au Maroc. Testez la restauration sur un environnement de préproduction au moins une fois par trimestre : vérifiez la connexion à la base, les médias, les formulaires et les commandes.
Notez le temps de restauration et gardez les étapes à suivre dans un document accessible à la personne responsable.
Détecter les logiciels malveillants et les modifications suspectes
Activez les alertes de votre hébergeur et d’un outil de sécurité WordPress pour repérer les fichiers modifiés, les scripts malveillants et les connexions inhabituelles. Configurez les analyses pour couvrir le cœur WordPress, les extensions et les thèmes. Une alerte doit préciser le fichier concerné, l’heure de détection et l’action recommandée.
Contrôlez les nouveaux comptes administrateurs, les extensions installées et les changements apportés aux fichiers sensibles, comme wp-config.php et .htaccess. Limitez les faux positifs en comparant les alertes avec les mises à jour que vous avez planifiées.
Si une modification reste inexpliquée, mettez le site en mode maintenance si nécessaire, conservez une copie des journaux et demandez à votre hébergeur ou à votre prestataire d’examiner le fichier avant de le supprimer.
Activer les journaux d’activité et les alertes de sécurité
Enregistrez les connexions, les changements de rôle, les installations et mises à jour d’extensions, ainsi que les modifications de contenu. Choisissez un journal qui indique l’utilisateur, l’action, l’heure et l’adresse IP, puis limitez l’accès à ces données aux personnes chargées de la sécurité. Réglez la durée de conservation en fonction de vos besoins et de vos obligations de protection des données.
Envoyez des alertes pour les événements qui exigent une réaction rapide : création d’un administrateur, échecs répétés de connexion, désactivation d’une extension de sécurité ou arrêt des sauvegardes. Faites parvenir les notifications à une adresse surveillée, et non à une boîte rarement consultée. Vérifiez chaque mois que les alertes arrivent bien et que les journaux restent accessibles après une mise à jour.
Définir les actions à mener en cas de compromission
Préparez une procédure courte avec les coordonnées de votre hébergeur, de votre agence et de la personne qui gère le domaine. Si vous détectez une compromission, notez l’heure et les symptômes, puis préservez les journaux et les copies disponibles avant toute intervention. Changez les mots de passe depuis un appareil sain et révoquez les sessions actives, les clés d’API et les accès FTP ou SSH concernés.
Demandez à votre hébergeur de vérifier le serveur et isolez le site si l’attaque se poursuit. Restaurez une sauvegarde connue comme saine dans un environnement contrôlé, mettez WordPress à jour et corrigez la faille avant de remettre le site en ligne. Si des données personnelles ont été exposées, évaluez l’incident avec votre responsable de traitement ou votre conseil juridique et suivez les obligations applicables au Maroc.
Planifier les contrôles récurrents et attribuer les responsabilités
Attribuez chaque tâche à une personne précise : l’administrateur WordPress vérifie les mises à jour et les comptes, l’hébergeur suit l’état du serveur, et le responsable du site contrôle les sauvegardes et les alertes. Pour une petite équipe, inscrivez les rôles et les contacts dans un document partagé, avec une personne remplaçante en cas d’absence.
Planifiez un contrôle mensuel des comptes administrateurs, des journaux, des alertes et de la dernière sauvegarde réussie. Testez une restauration chaque trimestre et après un changement important d’hébergement ou de configuration. Consignez la date, le résultat et les corrections à effectuer dans un registre simple. Réattribuez les tâches lorsqu’un prestataire quitte le projet et supprimez immédiatement ses accès.
Frequently Asked Questions
Des mises à jour rapides, des sauvegardes restaurables et des comptes aux droits limités réduisent les risques les plus courants sur WordPress. Protégez aussi la connexion avec une authentification renforcée et surveillez régulièrement les fichiers et les extensions.
Quelles sont les vérifications essentielles pour sécuriser un site WordPress ?
Vérifiez que WordPress, les thèmes et les extensions sont à jour, puis supprimez les éléments inutilisés. Activez le HTTPS, imposez des mots de passe uniques et configurez une sauvegarde automatique stockée hors du serveur.
Contrôlez aussi les comptes administrateurs, les journaux de connexion et les alertes de sécurité. Pour un site de PME ou une boutique au Maroc, testez les formulaires et le paiement après chaque mise à jour importante.
Comment protéger la page de connexion WordPress contre les attaques par force brute ?
Utilisez un mot de passe long et unique, puis activez l’authentification à deux facteurs pour chaque compte administrateur. Limitez les tentatives de connexion et bloquez temporairement les adresses IP après plusieurs échecs.
Un pare-feu applicatif peut filtrer les requêtes suspectes. Évitez de compter uniquement sur le changement de l’URL de connexion, car il ne remplace pas ces protections.
À quelle fréquence faut-il mettre à jour WordPress, les thèmes et les extensions ?
Appliquez les mises à jour de sécurité dès leur publication. Vérifiez chaque semaine les mises à jour disponibles et installez les autres après un test sur une copie de préproduction, surtout si votre site reçoit des commandes ou des demandes de devis.
Avant une mise à jour importante, créez une sauvegarde des fichiers et de la base de données. Confirmez ensuite que les pages, les formulaires et les moyens de paiement fonctionnent.
Comment sauvegarder un site WordPress et vérifier que sa restauration fonctionne ?
Sauvegardez les fichiers WordPress et la base de données, puis stockez une copie hors du serveur, par exemple dans un espace cloud distinct. Pour un site actif, programmez une sauvegarde quotidienne et conservez plusieurs versions.
Restaurez une copie sur un site de test au moins une fois par trimestre. Vérifiez les images, les comptes, les formulaires et les commandes avant de considérer la sauvegarde comme fiable.
Comment détecter les logiciels malveillants et les failles de sécurité sur WordPress ?
Lancez régulièrement une analyse avec un outil de sécurité WordPress. Examinez aussi les fichiers modifiés, les extensions vulnérables et les connexions inhabituelles. Activez les alertes en cas de changement de fichiers ou de création d’un compte administrateur.
Si l’analyse signale un code suspect, mettez le site en maintenance et conservez une copie des journaux. Demandez ensuite une vérification technique. Une fois la faille corrigée, changez les mots de passe.
Quels réglages de sécurité appliquer aux comptes utilisateurs et aux permissions des fichiers WordPress ?
Attribuez à chaque utilisateur le rôle minimal nécessaire. Réservez le rôle Administrateur aux personnes qui gèrent réellement le site, et supprimez les comptes inutilisés.
Utilisez des permissions restrictives pour les fichiers et les dossiers, selon la configuration de votre hébergeur. Les valeurs courantes sont 644 pour les fichiers et 755 pour les dossiers. N’accordez pas l’écriture à tous les utilisateurs.