Vous le savez peut-être, WordPress est le CMS le plus utilisé du monde. Il représente à lui seul environ 43,5% des sites internet du monde entier en 2024. WordPress étant partout, les sites utilisant ce CMS sont une cible privilégiée des pirates informatiques !
En plus, la création de votre site a mis du temps, alors il n’est pas concevable de le laisser se faire hacker ! Notre équipe d’experts en sécurité et maintenance de site WordPress vous donnent ici 5 conseils pour optimiser la sécurité de votre site et donc réduire les chances de subir une attaque.
Sommaire :
- Les mises à jour de WordPress
- Comment protéger l’accès à votre back-office
- L’authentification complexe
- Penser sécurité avec le HTTPS (certificat SSL)
- La double authentification
1) Mises à jour WordPress
Faire ses mises à jour régulièrement contribue à la sécurité de votre site, que ce soit du cœur de WordPress, de votre thème ou de vos extensions.
A l’inverse, si vous ne faites pas ces mises à jour, vous mettez votre site en danger. Les mises à jour ne se contentent pas d’apporter de nouvelles fonctionnalités ou des améliorations de performance; elles corrigent également des failles de sécurité critiques qui, si elles sont ignorées, peuvent mettre en danger l’intégrité de votre site.
Importance des mises à jour régulières
En ne mettant pas à jour votre installation WordPress, vous laissez votre site vulnérable à des attaques potentielles. Les cybercriminels utilisent souvent des outils automatisés pour scanner le web à la recherche de sites utilisant des versions obsolètes de WordPress, des thèmes ou des plugins. Une fois qu’ils trouvent un site vulnérable, ils peuvent :
- Lancer des attaques pour injecter du code malveillant
- Voler des données
- Prendre le contrôle complet de votre site internet
Étapes pour une mise à jour sécurisée
Pour assurer une mise à jour sécurisée de votre site WordPress, suivez ces étapes essentielles :
Sauvegardes régulières :
- Avant d’effectuer toute mise à jour, effectuez une sauvegarde complète de votre site, incluant la base de données et tous les fichiers. Utilisez des plugins de sauvegarde comme UpdraftPlus ou BackupBuddy. En cas de problème après une mise à jour, vous pourrez restaurer votre site à partir de la sauvegarde.
Automatiser les mises à jour
- Considérez l’utilisation de plugins qui permettent d’automatiser les mises à jour de WordPress et des extensions de confiance. Toutefois, soyez prudent avec l’automatisation des mises à jour de thèmes, car cela peut parfois provoquer des incompatibilités.
Vérification des extensions et thèmes
- Assurez-vous que toutes les extensions et thèmes que vous utilisez sont régulièrement mis à jour par leurs développeurs. Évitez d’utiliser des extensions et thèmes qui ne reçoivent plus de mises à jour, car ils peuvent contenir des vulnérabilités non corrigées.
Test sur un site de staging
- Si possible, testez les mises à jour sur un site de staging avant de les appliquer à votre site en production. Cela vous permet de vérifier qu’aucune mise à jour ne provoque de conflits ou de dysfonctionnements.
De la mise à jour à la protection de l’accès au back-office
La protection de l’accès à votre back-office est étroitement liée à la gestion des mises à jour. En effet, même si vous avez sécurisé l’accès à votre tableau de bord en changeant l’URL de connexion, en limitant les tentatives de connexion et en utilisant l’authentification à deux facteurs, une version obsolète de WordPress, de votre thème ou de vos plugins peut encore exposer votre site à des risques. Les mises à jour régulières assurent que les vulnérabilités connues sont corrigées et que les nouvelles fonctionnalités de sécurité sont mises en place.
2) Protéger l’accès au back-office
Rien de plus simple que d’accéder à la page de login du back-office d’un site s’il n’est pas protégé. Généralement le lien d’accès est celui-là : https://lenomdevotresite/wp-admin. Autant dire que c’est à la portée de tous d’essayer de vous pirater.
Pourquoi protéger l’accès au back-office est crucial
Chaque tentative de connexion non autorisée peut potentiellement compromettre la sécurité de votre site. Les hackers utilisent souvent des scripts automatisés pour essayer des combinaisons de noms d’utilisateur et de mots de passe courants afin de forcer l’accès à votre tableau de bord. Une fois qu’ils ont accès, ils peuvent modifier vos fichiers, voler des données sensibles, installer des logiciels malveillants, ou même prendre le contrôle total de votre site.
La solution : changer votre URL de connexion
La solution la plus simple et efficace est de changer votre URL de connexion grâce à l’extension SF Move Login. Concrètement, vous pouvez changer le « wp-admin » de votre URL et ainsi rendre l’accès à votre back-office moins visible. Par exemple, au lieu d’utiliser l’URL par défaut https://lenomdevotresite/wp-admin, vous pouvez configurer une URL personnalisée telle que https://lenomdevotresite/mon-acces-securise.
Étapes pour sécuriser votre back-office
-
Installer SF Move Login
- Connectez-vous à votre tableau de bord WordPress.
- Accédez à la section « Extensions » et cliquez sur « Ajouter ».
- Recherchez « SF Move Login » et installez l’extension.
- Activez l’extension une fois l’installation terminée.
-
Configurer une nouvelle URL de connexion
- Après l’activation, allez dans les paramètres de l’extension SF Move Login.
- Définissez une nouvelle URL de connexion. Assurez-vous que cette URL est facile à retenir pour vous, mais difficile à deviner pour les autres.
- Enregistrez les modifications.
Autres mesures de sécurité pour le back-office
Limiter les tentatives de connexion
Utilisez un plugin comme Login LockDown pour restreindre le nombre de tentatives de connexion échouées depuis une même adresse IP. Cela empêche les attaques par force brute.
Désactiver les noms d’utilisateur par défaut
Ne laissez jamais « admin » comme nom d’utilisateur. Changez-le pour quelque chose de plus unique.
Activer l’authentification à deux facteurs
Utilisez un plugin comme Google Authenticator pour ajouter une couche de sécurité supplémentaire. Même si quelqu’un obtient vos identifiants, il ne pourra pas se connecter sans le second facteur d’authentification.
Mettre à jour régulièrement WordPress, les thèmes et les plugins :
Assurez-vous que votre installation WordPress est toujours à jour pour bénéficier des dernières corrections de sécurité.
Quelques exemples pour le plaisir :
https://lenomdevotresite/coucou
https://lenomdevotresite/tutriches
https://lenomdevotresite/winteriscoming
3) Une authentification complexe
Une authentification complexe est essentielle pour protéger votre site WordPress contre les attaques. 8% des sites WordPress ont été piratés à cause d’un mot de passe faible. En renforçant votre mot de passe, vous complexifiez la tâche des hackers ! Plus votre mot de passe comprend de caractères différents (chiffres, lettres, symboles etc) plus votre mot de passe est sécurisé, et plus les combinaisons possibles sont nombreuses. Ainsi, le pirate ne saura plus où donner de la tête !
Importance d’un mot de passe fort
Les mots de passe simples et courants sont faciles à deviner ou à forcer par des attaques automatisées. Utiliser un mot de passe complexe et unique pour chaque compte réduit considérablement le risque de compromission. Voici quelques caractéristiques d’un mot de passe fort :
-
Longueur du mot de passe
Un mot de passe d’au moins 12 caractères est recommandé.
-
Complexité du mot de passe
Incluez une combinaison de lettres majuscules et minuscules, de chiffres et de symboles.
-
Unicité des mots de passe
Utilisez des mots de passe différents pour chaque compte pour éviter qu’un seul mot de passe compromis n’expose plusieurs comptes.
Générateur de mots de passe
Pour vous aider à créer des mots de passe complexes, utilisez des outils de génération de mots de passe sécurisés.
Voici un générateur de mot de passe qui vous rendra bien service : https://www.motdepasse.xyz/
Ce type d’outil génère des mots de passe aléatoires et robustes que vous pouvez utiliser pour renforcer la sécurité de votre site.
Précautions avec les identifiants
Attention également à votre identifiant. Évitez les identifiants courants tels que « admin », « administrator », « root » ou le nom de votre société. Ces identifiants sont souvent les premiers testés par les hackers lors des attaques par force brute. Optez plutôt pour un identifiant unique et difficile à deviner.
Passage de HTTP à HTTPS
En complément d’une authentification complexe, assurez-vous que votre site utilise le protocole HTTPS au lieu de HTTP. HTTPS chiffre les données transmises entre le navigateur de l’utilisateur et le serveur, ajoutant une couche de sécurité supplémentaire. Cela protège les informations sensibles, comme les mots de passe, contre les interceptions par des tiers malveillants. Pour plus d’informations sur l’importance du HTTPS et comment le mettre en place, consultez notre section suivante sur HTTP et HTTPS.
4) HTTPS
Qu’est-ce que le HTTPS ?
HTTP (HyperText Transfer Protocol) et HTTPS (HyperText Transfer Protocol Secure) sont des protocoles de transfert hypertexte. En d’autres termes, ces protocoles permettent aux navigateurs web et aux serveurs de communiquer entre eux et d’échanger des données. Cependant, il existe une différence cruciale entre ces deux protocoles.
La différence entre HTTP et HTTPS
La principale distinction entre le HTTP et le HTTPS réside dans la sécurité. par exemple :
Le HTTP ne chiffre pas les données transférées entre le navigateur et le serveur. Ce qui signifie que les informations échangées, peuvent être interceptées par des tiers malveillants telles que :
- Les mots de passe
- Les identifiants de connexion
- Les données personnelles
En revanche, le HTTPS chiffre ces données, les rendant incompréhensibles pour toute personne non autorisée qui tenterait de les intercepter.
Pourquoi passer à HTTPS ?
Améliorer la sécurité de votre site en le passant en HTTPS est essentiel pour protéger les informations sensibles de vos utilisateurs et renforcer la confiance de vos visiteurs. En utilisant le HTTPS, vous garantissez que les données échangées entre le navigateur et le serveur sont sécurisées et protégées contre les attaques de type man-in-the-middle (MITM).
Comment passer à HTTPS ?
Pour migrer votre site vers le HTTPS, vous devez obtenir un certificat SSL (Secure Sockets Layer). Voici les étapes pour y parvenir :
-
Obtenez un certificat SSL
- Contactez votre hébergeur pour vérifier s’il propose des certificats SSL gratuits ou payants. De nombreux hébergeurs offrent des certificats SSL gratuits via des services comme Let’s Encrypt.
- Si votre hébergeur ne propose pas de certificats SSL, vous pouvez en acheter un auprès d’un fournisseur de certificats SSL de confiance.
-
Installez le certificat SSL
- Suivez les instructions de votre hébergeur ou de votre fournisseur de certificat SSL pour installer le certificat sur votre serveur.
- Une fois le certificat installé, configurez votre site pour qu’il utilise HTTPS au lieu de HTTP. Cela peut inclure la mise à jour de vos liens internes, la configuration de redirections 301 de HTTP vers HTTPS et la mise à jour de vos fichiers de configuration serveur.
-
Vérifiez la configuration HTTPS
- Utilisez des outils en ligne comme SSL Labs pour vérifier que votre configuration HTTPS est correcte et sécurisée.
- Assurez-vous que toutes les pages de votre site se chargent correctement en HTTPS et que les éléments mixtes (contenu HTTP sur une page HTTPS) sont éliminés.
En passant à HTTPS, vous renforcez la sécurité de votre site et améliorez l’expérience utilisateur en garantissant la confidentialité et l’intégrité des données échangées.
Du HTTPS à la double authentification
En complément de la mise en place de HTTPS, il est crucial de renforcer la sécurité de l’accès à votre site WordPress en activant la double authentification. Cette mesure de sécurité ajoute une couche supplémentaire de protection en exigeant non seulement un mot de passe, mais aussi une seconde forme d’authentification, comme un code généré par une application sur votre smartphone. Passons maintenant à la thématique de la double authentification pour comprendre son importance et comment la mettre en place efficacement.
5) La double authentification
Qu’est-ce que la double authentification ?
Pour une meilleure sécurisation de l’accès à votre back-office, il est essentiel de mettre en place la double authentification (2FA). Comme son nom l’indique, il s’agit d’une méthode de connexion en deux étapes qui est beaucoup plus sécuritaire qu’une simple authentification par mot de passe.
Pourquoi utiliser la double authentification ?
Avec la double authentification, même si un hacker parvient à obtenir votre mot de passe, il ne pourra pas accéder à votre compte sans le second facteur d’authentification. Cela réduit considérablement le risque de piratage et protège mieux les données sensibles de votre site.
Comment fonctionne la double authentification ?
Il existe plusieurs méthodes pour mettre en œuvre la double authentification :
1. Code de vérification :
-
-
Application mobile
-
Vous recevez un code unique de connexion via une application d’authentification sur votre mobile, comme Google Authenticator, Authy ou Microsoft Authenticator. Cette méthode est très sécurisée car le code change toutes les 30 secondes.
-
-
SMS
-
Vous recevez un code unique par SMS sur votre téléphone. Bien que pratique, cette méthode est légèrement moins sécurisée que l’application mobile car les SMS peuvent être interceptés.
2. Questions de sécurité :
-
- Vous répondez à des questions de sécurité personnelles prédéfinies. Cependant, cette méthode est moins recommandée car les réponses peuvent parfois être devinées ou trouvées par les hackers.
Mise en place de la double authentification
Pour implémenter la double authentification sur votre site WordPress, vous pouvez utiliser des extensions spécialisées. Voici quelques-unes des options les plus populaires et efficaces :
-
SecuPress Pro WordPress
- SecuPress Pro est une extension de sécurité complète qui inclut une option de double authentification. Elle offre également d’autres fonctionnalités de sécurité avancées comme la détection de logiciels malveillants et la protection des fichiers sensibles.
-
iThemes Security WordPress
- iThemes Security est une autre extension de sécurité réputée qui propose la double authentification. Elle vous permet de configurer l’authentification à deux facteurs en utilisant des applications comme Google Authenticator et propose des fonctionnalités supplémentaires telles que la protection contre les attaques par force brute et la détection de changements de fichiers.
-
Google Authenticator
- Cette extension permet de configurer la double authentification en utilisant l’application Google Authenticator. Facile à configurer et à utiliser, elle offre un niveau de sécurité élevé.
Étapes pour activer la double authentification
-
Installation de l’extension
- Connectez-vous à votre tableau de bord WordPress.
- Accédez à la section « Extensions » et cliquez sur « Ajouter ».
- Recherchez et installez l’extension de double authentification de votre choix (SecuPress Pro, iThemes Security, Google Authenticator).
-
Configuration de l’extension
- Activez l’extension installée.
- Suivez les instructions de configuration fournies par l’extension pour lier votre compte WordPress avec l’application d’authentification de votre choix.
- Testez la double authentification pour vous assurer qu’elle fonctionne correctement.
La sécurité de votre site WordPress
Sécuriser votre site WordPress est une étape cruciale pour protéger vos données et celles de vos utilisateurs. Suivez ces cinq conseils :
- Effectuer régulièrement les mises à jour,
- Protéger l’accès à votre back-office,
- Utiliser une authentification complexe,
- Migrer votre site vers HTTPS
- Implémenter la double authentification
Grâce à ces astuces, vous pouvez considérablement réduire les risques de piratage et de cyberattaques. La sécurité de votre site n’est pas une tâche à accomplir une fois pour toutes, mais un processus continu qui nécessite vigilance et proactivité.
En investissant du temps et des efforts pour mettre en œuvre ces bonnes pratiques, vous assurerez la pérennité et la fiabilité de votre site WordPress. N’oubliez pas que chaque mesure de sécurité, aussi minime soit-elle, contribue à la protection globale de votre site. Soyez toujours informé des dernières pratiques de sécurité et continuez à renforcer les défenses de votre site pour rester à l’abri des menaces.
