Sécuriser un WordPress sur hébergement mutualisé
Par Johann Serra, le
Un hébergement mutualisé est économique et suffit à la plupart des sites. Mais vous partagez le serveur avec d’autres clients et vous n’avez pas la main sur tout. La sécurité de votre WordPress repose donc surtout sur vous. Voici les mesures essentielles.
1. Tout mettre à jour, tout le temps
La majorité des piratages exploitent une extension ou un thème pas à jour. Activez les mises à jour automatiques de sécurité du cœur de WordPress et vérifiez les extensions au moins une fois par semaine.
2. Faire le ménage dans les extensions
Chaque extension est une porte d’entrée potentielle. Supprimez celles que vous n’utilisez plus, et fuyez celles qui ne sont plus mises à jour depuis longtemps. Désactiver ne suffit pas : supprimez.
3. Protéger les comptes
- Pas de compte nommé « admin »
- Des mots de passe longs et uniques
- La double authentification pour les administrateurs
- Un compte par personne, avec le rôle le plus limité possible
4. Limiter les tentatives de connexion
Les robots testent des milliers de mots de passe sur la page de connexion. Une extension de sécurité ou une règle serveur permet de bloquer les adresses après quelques échecs.
5. Désactiver ce qui ne sert pas
- XML-RPC, rarement utile et souvent attaqué
- L’éditeur de fichiers du tableau de bord, en ajoutant
define('DISALLOW_FILE_EDIT', true);danswp-config.php - L’affichage de la version de WordPress
6. Vérifier les permissions des fichiers
Les dossiers en 755, les fichiers en 644, et wp-config.php en 600 ou 640 selon l’hébergeur. Jamais de 777.
7. Sauvegarder hors du serveur
Une sauvegarde stockée sur le même serveur que le site peut disparaître avec lui. Programmez des sauvegardes automatiques envoyées ailleurs, et testez de temps en temps leur restauration.
8. Passer en HTTPS partout
Un certificat SSL valide, une redirection de toutes les pages vers HTTPS, et des en-têtes de sécurité configurés dans le .htaccess.
Et si le mal est fait ?
Si votre site montre des signes d’infection, suivez notre guide site WordPress piraté : que faire ?. Pour déléguer tout cela, découvrez notre hébergement infogéré.