Sécurité d'un site : 8 mesures sans compétence technique
On croit les petits sites à l'abri ; en réalité les scans automatiques essaient tout le monde. Huit mesures de base à appliquer soi-même.
« Mon site est petit, qui irait s'en occuper ? » La plupart des attaques ne sont pas personnelles. Des outils automatisés parcourent le web en testant des failles connues ; votre taille ne les intéresse pas.
1. Gardez tout à jour
C'est la voie d'entrée la plus fréquente : une faille connue pour laquelle un correctif existe déjà. Sous WordPress, le cœur, le thème et les extensions doivent être à jour.
Sauvegardez d'abord, mettez à jour ensuite.
2. Supprimez les extensions inutilisées
Les désactiver ne suffit pas : tant que les fichiers sont sur le serveur, ils portent toujours la faille. Ce que vous n'utilisez pas, retirez-le entièrement.
3. N'utilisez pas « admin » comme identifiant
Les tentatives par force brute commencent par « admin ». Un identifiant différent en neutralise une grande partie d'emblée.
4. Activez la double authentification
Même si votre mot de passe fuit, personne n'entre sans la seconde étape. Elle doit être active pour toute personne ayant accès à l'administration.
5. Limitez les tentatives de connexion
Les échecs répétés depuis la même IP doivent être bloqués. La plupart des extensions de sécurité le font en un réglage.
6. Sauvegardez et testez la restauration
C'est la seconde moitié qu'on saute le plus souvent. Beaucoup d'entreprises croient avoir des sauvegardes et découvrent qu'elles sont corrompues en pleine catastrophe.
Une fois par mois, restaurez votre sauvegarde dans un environnement de test. Cela prend cinq minutes et fait gagner une journée.
7. Resserrez les permissions de fichiers
Les dossiers du serveur ne doivent pas être accessibles en écriture à tous. Le réglage habituel : 755 pour les dossiers, 644 pour les fichiers. Vérifiable depuis votre panneau d'hébergement.
8. Protégez vos formulaires
Le formulaire de contact est le premier arrêt des robots de spam. Vous pouvez le défendre sans CAPTCHA : des champs cachés (pot de miel), un contrôle du temps de remplissage et une limite par IP font le travail sans gêner aucun vrai visiteur.
Comment savoir que vous avez été compromis
- Des pages que vous n'avez jamais créées apparaissent dans les résultats
- Des visiteurs signalent être redirigés
- Le navigateur avertit que « ce site peut être dangereux »
- Des utilisateurs inconnus figurent dans l'administration
Si vous constatez l'un de ces signes, passez d'abord le site en mode maintenance, puis restaurez une sauvegarde saine. Avant toute tentative de nettoyage, conservez une copie de l'état actuel — elle peut servir à comprendre ce qui a fuité.
- #sécurité
- #maintenance
- #wordpress
