Une checklist de sécurité WordPress aide à vérifier les protections techniques sans oublier les dépendances importantes. Elle ne remplace pas un audit, mais fournit une base claire pour contrôler les accès, les sauvegardes, les mises à jour et la capacité à réagir en cas d’incident.
Pour chaque point, conservez une date de vérification, un résultat et le nom de la personne responsable. Cette documentation facilite le suivi et le diagnostic.
1. Contrôler les comptes et les accès
- attribuer un compte distinct à chaque utilisateur ;
- limiter les rôles administrateur aux personnes qui en ont besoin ;
- supprimer les comptes inactifs et les accès d’anciens prestataires ;
- utiliser des mots de passe uniques gérés par un coffre-fort ;
- activer l’authentification à deux facteurs pour les comptes sensibles ;
- protéger également les accès à l’hébergement, au domaine et aux sauvegardes.
Le changement de l’URL de connexion peut réduire certains appels automatisés, mais il ne constitue pas à lui seul une mesure de sécurité.
2. Vérifier les sauvegardes
La stratégie doit couvrir les fichiers et la base de données. Conservez au moins une copie en dehors de l’hébergement principal et protégez l’accès au stockage distant.
- vérifier la date et la taille des dernières archives ;
- recevoir une alerte lorsqu’une sauvegarde échoue ;
- tester périodiquement une restauration ;
- adapter la fréquence au rythme des commandes et modifications.
Une sauvegarde non testée ne garantit pas une reprise correcte. Consultez notre guide sur les sauvegardes WordPress pour définir la fréquence et la rétention.
3. Maintenir WordPress, les thèmes et les extensions
Inventoriez les composants actifs, leur version, leur origine et leur statut de maintenance. Supprimez ceux qui ne sont plus utilisés. Une extension désactivée mais conservée sur le serveur doit aussi être mise à jour ou retirée.
Avant une mise à niveau importante, créez une sauvegarde dédiée et testez les fonctions principales. Les correctifs de sécurité urgents doivent être traités rapidement, tout en conservant une procédure de retour arrière.
4. Vérifier l’hébergement et la configuration
- utiliser une version de PHP encore prise en charge et compatible avec le site ;
- forcer HTTPS et surveiller l’expiration du certificat ;
- limiter les droits d’écriture des fichiers et répertoires ;
- désactiver l’édition de fichiers depuis l’administration si elle n’est pas nécessaire ;
- protéger les fichiers de configuration et les sauvegardes ;
- contrôler l’espace disque et les journaux serveur.
Les règles exactes dépendent du serveur et des fonctions utilisées. Une restriction trop large peut bloquer l’API REST, les tâches planifiées ou une intégration légitime.
5. Examiner les extensions de sécurité
Une extension de sécurité peut limiter les tentatives de connexion, surveiller les changements de fichiers et signaler certaines vulnérabilités. Configurez uniquement les fonctions comprises et testez leur compatibilité avec le cache, l’API REST, XML-RPC et les services externes utilisés.
Évitez d’empiler plusieurs pare-feu ou systèmes de blocage sans coordination. Les règles peuvent se contredire et rendre le diagnostic difficile.
6. Mettre en place une surveillance
Surveillez la disponibilité du site, les erreurs critiques, les modifications de fichiers et les connexions inhabituelles. Les alertes doivent parvenir à une adresse réellement consultée et être accompagnées d’une procédure d’escalade.
Un volume élevé d’alertes non qualifiées finit par être ignoré. Ajustez leur niveau pour distinguer une information courante d’un incident nécessitant une intervention.
7. Préparer la réponse à un incident
Documentez les accès nécessaires, l’emplacement des sauvegardes, le contact de l’hébergeur et les étapes de mise hors ligne éventuelle. En cas de compromission, conservez les éléments utiles au diagnostic avant de nettoyer les fichiers.
Si le site est déjà compromis, suivez notre guide Que faire si votre site WordPress est piraté ? ou demandez une intervention spécialisée.
À quelle fréquence utiliser cette checklist ?
Les alertes et sauvegardes peuvent être contrôlées chaque semaine. Une revue plus complète des comptes, composants et journaux est utile chaque mois ou trimestre, selon l’exposition du site.
Pour l’audit global, le renforcement des accès et la surveillance, consultez la page principale Sécurité WordPress.
Questions fréquentes
Un plugin de sécurité suffit-il à protéger WordPress ?
Non. Il complète les mises à jour, les sauvegardes, la gestion des accès et la configuration du serveur. Une protection efficace repose sur plusieurs mesures cohérentes.
Faut-il désactiver XML-RPC ?
Uniquement si aucun service ne l’utilise. Certaines applications et intégrations en dépendent. Vérifiez les usages avant de le bloquer.
Que faire d’une extension abandonnée ?
Recherchez une solution maintenue, testez la migration sur une copie et supprimez l’ancienne extension après validation.