Sécuriser un site WordPress : les réglages à faire dès le premier jour
Un site WordPress se fait rarement pirater parce que quelqu’un l’a choisi. Il se fait pirater parce qu’un robot a trouvé une porte ouverte, en essayant la même chose sur des milliers de sites à la fois. Sécuriser un site WordPress, c’est donc surtout fermer les portes que ces robots testent en premier.
La bonne nouvelle, c’est que la plupart se ferment en une heure, le jour où le site est mis en ligne. Voici les réglages que je pose sur chaque site que je livre, dans l’ordre où je les fais.
Les comptes : la porte d’entrée numéro un
Pas de compte qui s’appelle « admin ». C’est le premier identifiant que les robots essaient. S’il existe, créez un nouvel administrateur avec un autre nom, connectez-vous avec, puis supprimez l’ancien en attribuant ses contenus au nouveau.
Un mot de passe long, unique, rangé dans un gestionnaire. Long compte plus que compliqué. Et surtout pas le même que votre boîte mail : quand un autre site se fait voler sa base de données, ce sont ces mots de passe-là qui sont essayés partout ailleurs.
La double authentification pour tous les administrateurs. Un code à six chiffres sur votre téléphone en plus du mot de passe. Plusieurs extensions gratuites le font très bien. C’est le réglage qui rend inutile un mot de passe volé.
Un compte par personne, avec le bon rôle. Votre webmaster n’a pas besoin du même compte que vous, et la personne qui écrit les articles n’a pas besoin d’être administratrice. Le rôle « Éditeur » suffit pour publier. Quand quelqu’un arrête de travailler avec vous, son compte disparaît le jour même.
Les mises à jour, sans faire tomber le site
La majorité des piratages passent par une extension qui n’a pas été mise à jour. La faille est publiée, corrigée par le développeur, et les robots la cherchent sur tous les sites qui ont gardé l’ancienne version.
WordPress installe déjà tout seul ses mises à jour de sécurité mineures. Pour les extensions et le thème, deux options : activer la mise à jour automatique sur celles qui sont simples et bien maintenues, et faire les autres à la main une fois par semaine, après une sauvegarde.
Supprimez ce qui ne sert pas. Une extension désactivée reste sur le serveur, et ses fichiers restent exploitables. Même chose pour les thèmes : gardez celui que vous utilisez, plus un thème par défaut de WordPress en secours, et supprimez le reste.
Méfiez-vous des extensions abandonnées. Sur la fiche d’une extension, regardez la date de dernière mise à jour. Si elle n’a pas bougé depuis plus d’un an, cherchez une remplaçante. Et n’installez jamais un thème ou une extension payante « gratuite » trouvée sur un site de téléchargement : c’est une des façons les plus courantes d’installer soi-même un code malveillant.
Les fichiers qui ne devraient jamais être lisibles
Celui-là, je l’ai appris sur le terrain. Chez une cliente, j’ai trouvé quatre copies du fichier de configuration de WordPress, des fichiers du genre wp-config.php.bak, des copies de sécurité oubliées sur le serveur. Elles étaient lisibles par n’importe qui depuis seize jours. Ce fichier contient le mot de passe de la base de données.
Un fichier qui finit par .php est exécuté par le serveur, donc son contenu ne s’affiche pas. Un fichier qui finit par .bak, .old ou .txt est envoyé tel quel au navigateur. Personne ne fait ça exprès : c’est une copie de sécurité faite avant une modification, puis oubliée.
Depuis, je pose dès le premier jour une règle dans le fichier .htaccess du site (le fichier de réglages du serveur, chez la plupart des hébergeurs) qui refuse de servir les sauvegardes, les journaux, les exports de base de données et les archives. Trois autres réglages vont avec :
- Interdire l’affichage du contenu des dossiers, pour qu’on ne puisse pas lister les fichiers d’un répertoire en tapant son adresse.
- Désactiver l’éditeur de fichiers intégré à WordPress (une ligne dans wp-config.php). Si quelqu’un entre dans votre administration, il ne pourra pas modifier le code du site depuis le navigateur.
- Bloquer xmlrpc.php si vous n’utilisez ni l’application mobile WordPress ni Jetpack. C’est une ancienne porte d’entrée que les robots utilisent pour tester des milliers de mots de passe d’un coup.
La sauvegarde, celle qui sert vraiment
Une sauvegarde rangée sur le même serveur que le site ne vous protège pas d’un piratage : si le serveur est compromis, elle l’est aussi. Il en faut au moins une copie ailleurs, chez un stockage externe ou sur votre ordinateur.
Gardez-en plusieurs, à des dates différentes. Un piratage se découvre parfois des semaines après l’entrée. Si votre seule sauvegarde date d’hier, elle contient peut-être déjà le code malveillant.
Et testez-en une, une fois. Une sauvegarde qu’on n’a jamais essayé de restaurer, on ne sait pas si elle marche.
L’hébergement et le reste
Une version de PHP à jour. C’est le langage dans lequel WordPress tourne. Les anciennes versions ne reçoivent plus de correctifs de sécurité. Elle se choisit en général dans le panneau de votre hébergeur.
Le HTTPS partout, avec redirection automatique de l’adresse en http vers celle en https. Sans ça, les mots de passe tapés sur la page de connexion circulent en clair.
Une alerte quand le site tombe. Des services gratuits vérifient votre site toutes les cinq minutes et vous envoient un mail s’il ne répond plus. Un site piraté qui redirige ailleurs, on préfère l’apprendre par une alerte que par un client.
Votre site est déjà en ligne depuis longtemps ?
Tout ce qui précède se rattrape. Mais sur un site qui tourne depuis des années, il faut d’abord vérifier qu’il n’y a pas déjà quelque chose : un compte administrateur que personne ne connaît, un fichier ajouté dans un dossier d’images, une extension modifiée.
C’est ce que je fais dans le diagnostic sécurité WordPress : je compare les fichiers du site aux fichiers d’origine, je cherche les portes dérobées, je passe en revue les comptes et les réglages du serveur. Vous recevez un rapport en français avec ce qui est à corriger, par ordre d’urgence. Et si tout va bien, je vous le dis.
Si c’est trop tard et que le site est déjà touché, commencez par lire que faire quand un site WordPress est piraté. Si le site est simplement en panne, voyez le dépannage WordPress. Pour tout le reste, la page sécurité WordPress détaille ce que je peux faire pour vous.