sécuriser wordpress

Pourquoi sécuriser WordPress

Il est important de sécuriser WordPress car il s’agit du système de contenu le plus populaire qui est largement utilisé dans le monde entier. Plus de 44% des sites créés à ce jour l’ont été à partir de ce CMS.
Malheureusement, cette popularité en fait également une cible attractive pour les pirates informatiques et les cybercriminels.

Il est important de mettre en place des bonnes pratiques de sécurité dès le début de la création de votre site pour ne pas avoir à combattre les intrusions à longueur de journée.

Comment sécuriser WordPress

Avoir un hébergeur fiable

La première étape, et sans doute la plus importante, pour protéger son site WordPress porte sur le choix d’un hébergement de qualité. Il est important de prendre en compte plusieurs critères tels que la disponibilité du support technique, les performances du serveur, la sécurité, la facilité d’utilisation et le coût. Il existe de nombreux hébergeurs mais tous ne se valent pas.

Votre hébergeur devra vous proposer une installation de certificat SSL gratuite, de scans réguliers de votre serveur, d’une aide en cas de piratage, mais encore des versions les plus récentes de PHP, SQL, MariaDB, etc. Autrement dit, les technologies exploitées par WordPress doivent être à jour.

Nom de domaine et hébergement

Protéger la connexion à votre site avec un certificat SSL (HTTPS)

Vous avez sûrement déjà vu le petit cadenas à côté de l’url d’un site et cette url précédée par « HTTPS ». Cela est possible car le site en question détient un certificat SSL
Protéger la connexion à votre site avec un certificat SSL est une étape importante pour assurer la sécurité de vos utilisateurs et renforcer la confiance dans votre site. L’utilisation d’un certificat SSL permet de chiffrer les données échangées entre le navigateur de l’utilisateur et le serveur de votre site, ce qui empêche les personnes malveillantes d’intercepter ces données.

Pour obtenir un certificat SSL, vous pouvez soit en acheter un auprès d’une autorité de certification, soit utiliser un certificat gratuit fourni par des services tels que Let’s Encrypt. Maintenant la plupart des hébergeurs proposent des certificats SSL gratuits ou payants intégrés à leurs offres d’hébergement.

Comment passer son site WordPress en HTTPS

Installer un plugin de sécurité

Installer un plugin de sécurité sur WordPress est une étape importante pour protéger votre site web contre les menaces en ligne telles que les attaques de pirates informatiques, les spams, les logiciels malveillants et les virus.

Une extension de sécurité vous permettra ainsi de gérer plusieurs aspects de la sécurité de votre WordPress facilement et de façon transparente pour vous. C’est une boîte à outil regroupant plusieurs outils pour sécuriser votre site. Parmi ces extensions de sécurité nous retrouverons :

Ithemes Security

Installer ithemes Security

WordFence

Installer WordFence

Modifier l’adresse de connexion

Bien que l’utilisation d’un mot de passe fort, unique et long puisse vraiment jouer en votre faveur pour empêcher l’accès non autorisé à votre site, il n’y a jamais assez de choses que vous pourriez faire lorsque la sécurité est en jeu.

Pour réduire le risque de piratage, il est également recommandé de modifier l’adresse de connexion au tableau de bord de votre site WordPress. Par défaut, WordPress vous propose mon-site.com/wp-admin ou /wp-login.php. Ce qui facilite encore une fois le travail des hackers.
Vous pouvez changer cette adresse avec le plugin Ithemes Security:
Ithemes Security/ réglages/ Avancé/ Déplacer la page de connexion.
Vous pouvez utiliser aussi le plugin WP Hide Login qui est l’un des plus utilisé. Il est très léger.

Changer son nom administrateur et son mot de passe

Lors de la création de votre site, WordPress est configuré par défaut avec l’identifiant « admin » lorsqu’on est administrateur du site. Il faudra le changer.

Si vous laissez cet identifiant par défaut vous risquez de vous faire pirater votre site. Le pirate essai toujours en premier « admin » comme identifiant pour accéder à votre tableau de bord. Ensuite il doit trouver votre mot de passe (ce qui est plus facile que vous ne le pensez !).

Créez un nom d’utilisateur WordPress unique pour le compte administrateur et supprimez l’utilisateur « admin » s’il existe. Vous pouvez le faire en ajoutant un nouvel utilisateur sous « Utilisateurs » dans le tableau de bord et en lui attribuant le rôle « Administrateur ».
Une fois que vous avez attribué le rôle administrateur au nouveau compte, vous pouvez revenir en arrière et supprimer l’utilisateur « admin » d’origine. Assurez-vous que lorsque vous cliquez sur supprimer, vous choisissez l’option « Attribuer tout le contenu à » et sélectionnez votre nouveau profil d’administrateur. Ceci assignera la personne en tant qu’auteur de ces messages.

Mot de passe: on a bien souvent envie de prendre un mot de passe facile à retenir, et à tort, pour accéder à son compte d’utilisateur WordPress, que ce soit soit en tant que simple utilisateur ou administrateur. Et c’est une erreur !

Le mot de passe devrait contenir au moins 10 caractères. Plus le mot de passe choisi est long, plus vous serez protégé contre le piratage.
Le mot de passe devrait contenir différents caractères, y compris des caractères spéciaux et des lettres en majuscules et en minuscules.
Le mot de passe ne devrait pas contenir de données personnelles.
Le mot de passe ne devrait pas être un mot du dictionnaire.
N’utilisez jamais le nom d’utilisateur comme mot de passe. Le mot de passe ne devrait pas être facile à reconnaître pendant sa saisie.

Choisir des thèmes et extensions fiables

Lorsque vous choisissez des thèmes et des extensions pour votre site WordPress, il est important de choisir des options fiables pour garantir la sécurité et la fonctionnalité de votre site. Voici quelques conseils pour choisir des thèmes et des extensions fiables :

Utilisez des sources de confiance : La première étape pour choisir des thèmes et des extensions fiables consiste à utiliser des sources de confiance. Les thèmes et extensions disponibles sur le site officiel WordPress sont généralement sûrs et fiables. Évitez de télécharger des thèmes et des extensions à partir de sites tiers non fiables.
Vérifiez les évaluations et les critiques : Avant de télécharger un thème ou une extension, vérifiez les évaluations et les critiques laissées par les utilisateurs précédents. Les évaluations positives et les critiques constructives peuvent vous donner une idée de la qualité du thème ou de l’extension.
Recherchez les mises à jour fréquentes : Les thèmes et les extensions fiables sont souvent mis à jour régulièrement pour garantir leur compatibilité avec la dernière version de WordPress et pour corriger les bogues de sécurité. Vérifiez la fréquence des mises à jour avant de télécharger un thème ou une extension.
Vérifiez la compatibilité : Assurez-vous que le thème ou l’extension que vous téléchargez est compatible avec la version de WordPress que vous utilisez. Les thèmes et les extensions incompatibles peuvent entraîner des problèmes de sécurité et de fonctionnalité.

Sous WordPress, via le tableau de bord allez dans Apparence>Thèmes>Installer des thèmes, vous trouverez des centaines de thèmes gratuits, parmi les plus connus.

Pour installer une extension, connectez vous à votre tableau de bord WordPress et accédez à Extensions -> Ajouter. Procédez à la recherche du nom de l’extension (ou plugin) dans la barre de recherche. Vous pouvez également parcourir les plugins vedettes, populaires ou recommandés en cliquant sur les onglets prévus à cet effet sur la gauche.

Sauvegardez son site WordPress

Sauvegarder votre site WordPress régulièrement est crucial pour garantir que vous ne perdrez pas toutes vos données en cas de piratage, de panne du serveur ou d’erreurs de votre part. Voici les étapes pour sauvegarder votre site WordPress:

Utilisez un plugin de sauvegarde : Il existe de nombreux plugins de sauvegarde gratuits ou payants disponibles sur le site WordPress. Voici deux des plus populaires: UpdraftPlus et WpvividBackup. Installez et activez un plugin de sauvegarde sur votre site.
Configurez le plugin de sauvegarde : Configurez le plugin de sauvegarde pour sauvegarder toutes les données de votre site, y compris le contenu, les images, les fichiers et la base de données. Assurez-vous que les sauvegardes sont stockées sur un emplacement externe, tel qu’un service de stockage cloud, pour garantir la sécurité des données.
Planifiez les sauvegardes automatiques : Planifiez les sauvegardes automatiques à une fréquence régulière, telle que chaque semaine ou chaque mois. Les sauvegardes automatiques vous garantissent que vous ne manquerez pas de sauvegarder régulièrement votre site.
Effectuez une sauvegarde manuelle avant les modifications importantes : Si vous prévoyez de faire des modifications importantes sur votre site, telles que l’installation d’un nouveau thème ou d’une nouvelle extension, effectuez une sauvegarde manuelle avant de commencer. Cela vous permettra de revenir à la version précédente si quelque chose ne fonctionne pas correctement.
Testez les sauvegardes : vous pouvez tester les sauvegardes pour vous assurer qu’elles fonctionnent correctement et que vous pouvez restaurer votre site à partir d’une sauvegarde en cas de besoin.

Mettre à jour WordPress et php

Mettre à jour régulièrement votre installation de WordPress et votre version de PHP est important pour garantir la sécurité, la stabilité et les performances de votre site. Voici les étapes pour mettre à jour WordPress et PHP :
Mise à jour de WordPress (pensez à faire une sauvegarde avant):

Sauvegardez votre site : Avant de commencer la mise à jour, il est important de sauvegarder votre site et votre base de données. Vous pouvez utiliser un plugin de sauvegarde pour cela, comme UpdraftPlus ou wpvivid backup.
Vérifiez la compatibilité : Avant de mettre à jour WordPress, assurez-vous que tous les thèmes et plugins de votre site sont compatibles avec la dernière version de WordPress. Si vous utilisez des thèmes ou des plugins obsolètes ou incompatibles, vous risquez de rencontrer des problèmes lors de la mise à jour.
Mettez à jour WordPress : Pour mettre à jour WordPress, connectez-vous à votre tableau de bord WordPress, allez dans « Tableau de bord > Mises à jour » et cliquez sur « Mettre à jour maintenant ». Assurez-vous de suivre les instructions à l’écran.
Mettez à jour les thèmes et les plugins : Après la mise à jour de WordPress, vous devez également mettre à jour tous les thèmes et plugins de votre site (si il y a des mises à jour disponibles).
Thèmes: Vous pouvez le faire en allant dans « Tableau de bord > Apparence > Thèmes > cliquez sur le bouton mise à jour de votre thème.
Plugins: Vous pouvez le faire en allant dans « Tableau de bord > Extensions. Faites défiler la liste pour trouver les plugins à mettre à jour. Cliquez sur « mettre à jour maintenant ».
Vérifiez que tout fonctionne correctement : Après la mise à jour, vérifiez que tout fonctionne correctement sur votre site. Testez toutes les fonctionnalités importantes, y compris les formulaires de contact et les boutons d’appel à l’action.

Mise à jour de PHP (pensez à faire une sauvegarde avant):

Vérifiez la version actuelle de PHP : Avant de mettre à jour la version PHP, vérifiez d’abord la version actuelle de PHP de votre site en allant sur le panneau de configuration de votre hébergement. Si vous ne savez pas comment procéder, contactez le support technique de votre hébergeur pour obtenir de l’aide.
Vérifiez la compatibilité des plugins et thèmes : Assurez-vous que tous les plugins et thèmes de votre site sont compatibles avec la nouvelle version de PHP que vous souhaitez installer. Si un plugin ou un thème n’est pas compatible, il peut causer des problèmes de fonctionnement de votre site web.
Mettez à jour la version de PHP : Si votre hébergeur propose plusieurs versions de PHP, accédez à votre panneau de configuration d’hébergement et sélectionnez la version de PHP la plus récente disponible.
Testez votre site : Après la mise à jour de la version PHP, testez votre site pour vous assurer que tout fonctionne correctement. Testez toutes les fonctionnalités de votre site web, y compris les formulaires de contact, les boutons d’appel à l’action, etc.