Ce qu’on laisse vieillir sur le site
Le plus souvent, tout commence par un oubli invisible : rien ne se voit sur le site, et c’est bien le problème.
Extensions ou thème non mis à jour
Chaque mise à jour de plugin ou de thème corrige souvent des failles de sécurité déjà identifiées et rendues publiques. Un plugin resté en version ancienne devient une porte d’entrée documentée, que des scripts automatisés recherchent en priorité.
Prévention : mettre à jour les thèmes et les extensions dès que possible, et désinstaller ce qui n’est plus utilisé plutôt que de le laisser inactif.
Un plugin abandonné par son éditeur
Un plugin sans mise à jour depuis longtemps a peut-être simplement été abandonné par son éditeur. Les failles découvertes après cet abandon ne seront jamais corrigées : le plugin reste installé, la porte reste ouverte, indéfiniment.
Prévention : repérer les extensions sans mise à jour depuis plus d’un an et prévoir leur remplacement avant que ça ne devienne une faille active. Une seule extension obsolète suffit à rendre un site vulnérable.
Une version de PHP obsolète
PHP est le langage qui fait fonctionner WordPress « sous le capot », un peu comme le moteur d’une voiture : invisible pour vous, mais indispensable. Une version ancienne n’est plus corrigée au niveau sécurité, et ses failles restent ouvertes, même si le thème et les extensions, eux, sont parfaitement à jour.
Prévention : vérifier que la version de PHP de l’hébergement reste à jour et compatible avec WordPress et les extensions installées.
WordPress lui-même non mis à jour
C’est le cœur du site : une faille à ce niveau peut donner accès à l’ensemble de WordPress, pas seulement à une fonctionnalité isolée. Les mises à jour du cœur corrigent régulièrement des failles déjà rendues publiques.
Prévention : mettre à jour WordPress dès qu’une nouvelle version est publiée, sans attendre.
Ce qu’on installe sans le savoir
Certaines failles n’arrivent pas par négligence, mais par ce qu’on installe soi-même sans s’en rendre compte.
Extensions « nulled » ou téléchargées hors des sources officielles
Un plugin ou thème premium récupéré gratuitement sur un site tiers plutôt qu’acheté auprès de son éditeur contient très souvent une porte dérobée déjà intégrée par celui qui l’a redistribué. Le piège s’active parfois plusieurs mois après l’installation.
Prévention : n’installer que des extensions issues du répertoire officiel WordPress.org ou achetées directement chez l’éditeur.
Une licence premium expirée
C’est différent d’un plugin abandonné : ici, l’éditeur continue bien à corriger les failles de sécurité. Mais sans licence renouvelée, votre copie ne reçoit plus ces correctifs : elle reste bloquée sur une version qui, elle, devient peu à peu vulnérable.
Prévention : vérifier que les licences des extensions premium sont toujours actives, pas seulement que le plugin est présent.
Qui a encore les clés du site
Une faille corrigée ne sert à rien si quelqu’un garde un accès qu’il ne devrait plus avoir.
Comptes utilisateurs oubliés
Un ancien prestataire, un stagiaire ou un collaborateur parti depuis longtemps garde parfois un accès administrateur jamais révoqué, un point d’entrée que personne ne surveille plus.
Prévention : revoir régulièrement la liste des comptes et leurs droits, et supprimer ou rétrograder ce qui n’a plus lieu d’être.
Trop de comptes administrateur
Chaque compte « administrateur » est une porte potentielle. La plupart des personnes qui ont accès au site n’ont en réalité besoin que d’un accès limité à leur usage réel : rédiger un article n’exige pas les mêmes droits que gérer les extensions ou la base de données.
Prévention : limiter le rôle de chaque compte à ce dont il a réellement besoin, plutôt que de donner « administrateur » par défaut.
Mots de passe faibles ou réutilisés
La page de connexion WordPress est une cible permanente d’attaques par force brute (essais automatisés en masse). Un mot de passe simple, ou déjà utilisé ailleurs et exposé dans une fuite de données, se retrouve rapidement compromis, sans même qu’une faille technique soit nécessaire.
Prévention : un mot de passe unique et complexe par compte (via un gestionnaire de mots de passe), l’authentification à deux facteurs (2FA), et une protection anti-robots (type Captcha) sur la page de connexion.
La sécurité lors de vos connexions
Même avec un bon mot de passe, la façon dont vous vous connectez peut, elle aussi, ouvrir une porte.
Connexion non sécurisée (absence de certificat SSL / HTTPS)
Si votre site n’affiche pas le petit cadenas à côté de son adresse (HTTPS), les informations que vous tapez voyagent en texte clair sur internet. Connecté à votre tableau de bord WordPress depuis un Wi-Fi public (hôtel, café, gare), un pirate présent sur le même réseau peut intercepter facilement votre identifiant et votre mot de passe.
Prévention : vérifier que le certificat SSL (gratuit chez la plupart des hébergeurs) est bien actif et que votre site force l’utilisation du HTTPS.
Ordinateur de l’administrateur lui-même infecté
Parfois, le site est parfaitement protégé, mais c’est l’ordinateur du propriétaire qui a attrapé un virus invisible (un voleur de données). Ce virus aspire en silence les mots de passe enregistrés dans le navigateur ou les accès FTP pour les envoyer au pirate, qui n’a plus ensuite qu’à se connecter normalement à votre site.
Prévention : utiliser un antivirus à jour sur l’ordinateur qui sert à administrer le site, et éviter d’enregistrer les mots de passe les plus sensibles directement dans le navigateur.
Le terrain, autour du site
Au-delà de WordPress lui-même, ce qui l’entoure (serveur, hébergement, surveillance) compte tout autant.
Absence de protection au niveau du serveur
Sans pare-feu applicatif (WAF) ni limitation des tentatives de connexion, rien ne filtre le trafic malveillant avant qu’il n’atteigne WordPress lui-même : le site encaisse directement chaque tentative d’intrusion.
Prévention : un pare-feu applicatif (WAF) et une limitation stricte des tentatives de connexion pour bloquer les robots avant qu’ils ne trouvent la porte d’entrée.
Hébergement mutualisé mal isolé
Chez un hébergeur sérieux, ce risque reste rare : chaque compte est isolé des autres. Il redevient réel quand plusieurs sites tournent ensemble sous un seul compte sans séparation : une faille sur l’un peut alors atteindre les autres, un peu comme des voisins qui partageraient la même clé pour plusieurs appartements.
Prévention : choisir un hébergeur reconnu pour la qualité de son isolation entre comptes et le sérieux de son support sécurité.
Absence de veille sur les vulnérabilités connues
Une faille de sécurité découverte sur une extension est en général publiée publiquement avant même que l’éditeur ne sorte son correctif : le temps entre la découverte et la mise à jour est justement la période la plus à risque. Sans surveillance active, cette fenêtre passe inaperçue.
Prévention : s’appuyer sur un service de veille (comme Patchstack ou WPScan) qui signale une faille dès sa publication, avant même que le correctif ne soit disponible.
Chaque problème a sa solution
Le risque zéro n’existe pas sur le web, et subir un incident arrive même aux sites les plus surveillés. Cependant, les conséquences à long terme dépendent uniquement de la manière dont on y répond : une intervention méthodique permet de limiter la perte de données, de nettoyer le code et de rétablir la situation auprès de Google. Pour mesurer ce qui est en jeu, lisez aussi ce que vous risquez vraiment avec un site piraté.
Quelle est la démarche adaptée à votre situation actuelle ?