Comment renforcer la sécurité de son WordPress : Stratégie Multifacette à 15 facteurs

Pour sécuriser votre site wordpress il ne faut pas forcément payer, il faut avant tout savoir d'où viennent les attaques et se placer au bon endroit pour les contrer. Pour contrer les tentatives de piraterie sur un site WordPress, il est préférable d'appliquer une stratégie de sécurité à multiples facettes. Je vais essayer de vous partager ici tous les 15 point clés pour éviter de vous faire pirater. Voici diverses méthodes pour sécuriser son site WordPress contre les cyberattaques :

 

1. Mises à jour régulières pour sécuriser son site WordPress

La base c'est de faire des mises à jours régulières. Pour ça choisissez les mises à jours automatiques dans la partie admin de votre site. Veillez à ce que votre WordPress, ainsi que tous vos thèmes et extensions, soient toujours à jour. Les mises à jour incluent souvent des correctifs de sécurité critiques pour sécuriser son site WordPress.

> Automatiser simplement la mise à jour automatique de vos plugins

Sur le tableau de bord =>Allez dans extensions => Extensions installées => Sélectionnez toutes les extensions => puis cliquez sur actions groupées => Activer les mises à jours auto

Voilà vous avez automatisé la mise à jour automatique de vos plugins

> Automatiser simplement la mise à jour automatique de votre thème

Sur le tableau de bord =>Allez dans apparences => Cliquez sur thèmes => A droite de l'image de votre thème sous le titre cliquez sur le lien < Activer les mises à jours automatique >

Voilà vous avez automatisé la mise à jour automatique de votre thème

2. Utilisation de plugins de sécurité pour renforcer WordPress

Installez des extensions de sécurité éprouvées telles que Wordfence, Sucuri ou iThemes Security pour augmenter la défense de votre site et sécuriser son site WordPress.

Wordfence, Sucuri, et iThemes Security offrent tous des versions gratuites de leurs plugins de sécurité pour WordPress, chacun avec des fonctionnalités de base pour améliorer la sécurité des sites. Cependant, ils proposent également des versions premium avec des fonctionnalités avancées. Voici un aperçu des options gratuites et premium de chacun :

1. Wordfence :

   • Gratuit : Comprend un pare-feu, un scan de sécurité, la protection contre les attaques par force brute, et des alertes de sécurité.
   • Premium : Ajoute des fonctionnalités telles que des règles de pare-feu en temps réel, des scans de signature de logiciels malveillants plus avancés, et un support prioritaire.

2. Sucuri :

   • Gratuit : Offre des fonctionnalités de base comme des audits de sécurité, des scans de logiciels malveillants, et des mesures de hardening de sécurité.
   • Premium : Inclut un pare-feu de site Web (WAF), des performances améliorées grâce à la CDN, et des options de réponse aux incidents plus complètes.
3. iThemes Security :
   • Gratuit : Propose des mesures de sécurité de base, comme la protection contre les attaques par force brute, la sécurisation des fichiers, et la détection des changements de fichiers.
   • Premium : Étend les fonctionnalités avec des scans de sécurité programmés, des rapports de sécurité, la validation en deux étapes, et d'autres options de sécurité avancées.

Chacune de ces options gratuites offre un bon niveau de protection pour un site WordPress standard. Cependant, pour des besoins de sécurité plus spécifiques ou avancés, il peut être judicieux d'envisager leurs versions premium.

3. Création de sauvegardes régulières pour la sécurité de WordPress

 

Servez-vous de plugins comme UpdraftPlus pour réaliser des sauvegardes régulières de votre site. Vous pourrez ainsi le restaurer rapidement en cas d'incident, une étape clé pour sécuriser son site WordPress.

> Quelles sont les fonctionnalités d'updraft plus

UpdraftPlus est un plugin de sauvegarde et de restauration pour WordPress qui offre une gamme de fonctionnalités pour gérer la sécurité et l'intégrité des données de votre site web. Voici un aperçu des principales fonctionnalités d'UpdraftPlus :

1. Sauvegarde Automatique et Manuelle :
   • Permet de créer des sauvegardes complètes de votre site WordPress, y compris la base de données, les fichiers plugins, thèmes, uploads et autres fichiers supplémentaires.
   • Offre la possibilité de planifier des sauvegardes automatiques à une fréquence déterminée (heures, jours, semaines) ou d’effectuer des sauvegardes manuelles selon le besoin.
2. Restauration Facile :
   • Propose une fonction de restauration simple pour récupérer votre site à partir des sauvegardes en cas de perte de données, d'erreur, ou d'attaque.
3. Stockage à Distance :
   • Permet de stocker les sauvegardes dans divers emplacements de stockage cloud comme Dropbox, Google Drive, Amazon S3, Microsoft OneDrive, et d'autres.
   • Cette fonctionnalité aide à sécuriser les sauvegardes en les gardant hors site.
4. Clonage et Migration de Site :
   • Facilite la migration ou le clonage de votre site WordPress vers un autre domaine ou hébergeur.
   • Cette fonction est particulièrement utile pour le développement de sites ou le changement d'hébergeurs.
5. Sauvegardes Incrémentielles (fonctionnalité premium) :
   • Permet de sauvegarder uniquement les changements effectués depuis la dernière sauvegarde complète, économisant ainsi l'espace de stockage et le temps.
6. Sécurité et Cryptage (fonctionnalité premium) :
   • Offre des options de cryptage pour sécuriser vos sauvegardes.
   • Protège les données sensibles lors du stockage à distance.
7. Reporting Avancé (fonctionnalité premium) :
   • Permet d'obtenir des rapports détaillés sur le statut des sauvegardes.
   • Envoyez des notifications par e-mail sur le succès ou l'échec des sauvegardes.
8. Support Technique :
   • Fournit un support technique pour aider à résoudre les problèmes liés aux sauvegardes et à la restauration.

9. Importation et Exportation de Configurations :

   • Permet d'importer ou d'exporter facilement les configurations d'UpdraftPlus d'un site à un autre.

En résumé, UpdraftPlus offre une solution complète pour la sauvegarde et la restauration de sites WordPress, avec des options pour la planification automatique, le stockage à distance, la migration de site, et des fonctionnalités avancées de sécurité et de reporting. Cela en fait un outil essentiel pour la gestion et la maintenance de sites WordPress.

 

4. Choix de mots de passe forts pour la sécurité de WordPress

Assurez-vous que tous les comptes, y compris celui de l'administrateur, emploient des mots de passe solides et distincts, une pratique essentielle pour sécuriser son site WordPress. N'hésitez pas pour cela à générer un mot de passe avec un générateur de mot de passe. Copier coller le après le 2ème que vous avez généré.

5. Authentification double facteur (2FA) pour sécuriser WordPress

Mettez en place l'authentification double facteur pour renforcer la sécurité lors des connexions, une mesure importante pour sécuriser son site WordPress.

Il existe plusieurs plugins gratuits pour implémenter l'authentification à deux facteurs (2FA) sur un site WordPress. Voici quelques options populaires :

1. Google Authenticator :

   • Ce plugin permet d'ajouter une authentification à deux facteurs en utilisant l'application Google Authenticator sur votre téléphone. Il génère des codes temporels pour la connexion.

2. Two Factor Authentication :

   • Offre une 2FA via des codes envoyés par e-mail ou générés par des applications d'authentification telles que Google Authenticator ou Authy.

3. Wordfence Security :

   • Bien connu pour ses fonctionnalités de sécurité WordPress, Wordfence offre également une 2FA. Il supporte diverses méthodes de vérification, y compris les applications d'authentification et les SMS.

4. Duo Two-Factor Authentication :

   • Ce plugin fournit une solution de 2FA en intégrant le service de sécurité Duo, qui inclut plusieurs options de vérification telles que les push notifications, les SMS, et les appels téléphoniques.

5. WP 2FA – Two-factor Authentication for WordPress :

   • Un plugin simple et facile à utiliser qui permet l'implémentation de la 2FA sur votre site WordPress, avec le support des applications d'authentification et des e-mails.

6. Two-Factor :

   • Un plugin de 2FA qui offre plusieurs méthodes de vérification, y compris les e-mails, les codes générés par l'application, les SMS, et même les méthodes de sauvegarde.

Ces plugins offrent une gamme variée d'options pour mettre en place une authentification à deux facteurs sur votre site WordPress, améliorant ainsi significativement la sécurité des comptes utilisateurs. Il est important de choisir un plugin qui correspond le mieux à vos besoins et à ceux de vos utilisateurs.

6. Protection du fichier wp-config.php pour la sécurité de WordPress

Ce fichier contient des données essentielles de votre site. Il est impératif qu'il soit bien protégé et hors de portée des pirates, une étape cruciale pour sécuriser son site WordPress.

Comment protéger  le fichier wp-config.php pour sécuriser un site WordPress

1. Modifier les permissions du fichier :

   • Connectez-vous à votre serveur via un client FTP ou le gestionnaire de fichiers de votre hébergeur.
   • Trouvez le fichier wp-config.php à la racine de votre installation WordPress.
   • Cliquez avec le bouton droit sur le fichier et choisissez « Propriétés » ou « Permissions ».
   • Changez les permissions du fichier en 444 ou 440 pour le rendre en lecture seule. Cela empêche les modifications non autorisées.

2. Déplacer le fichier wp-config.php :

   • Vous pouvez déplacer le fichier wp-config.php d'un niveau au-dessus du répertoire racine de WordPress. WordPress le reconnaîtra automatiquement même s'il se trouve dans le répertoire parent.
   • Cela est particulièrement utile si votre hébergeur ne permet pas de changer les permissions de fichier ou si vous souhaitez une sécurité supplémentaire.

3. Ajouter des règles de protection dans le fichier .htaccess :

   • Accédez à votre fichier .htaccess qui se trouve également à la racine de votre installation WordPress.
   • Ajoutez les lignes suivantes pour empêcher l'accès direct au fichier wp-config.php :
   css

   Copier ce  code

   <files wp-config.php> order allow,deny deny from all </files>

4. Utiliser des plugins de sécurité :

   • Des plugins de sécurité comme Wordfence, iThemes Security, ou All In One WP Security & Firewall peuvent offrir des options pour renforcer la sécurité de vos fichiers WordPress, y compris wp-config.php.

5. Mettre à jour régulièrement :

   • Assurez-vous que votre WordPress, ainsi que vos thèmes et plugins, sont toujours à jour pour protéger contre les vulnérabilités connues qui pourraient affecter wp-config.php.

En appliquant une ou plusieurs de ces mesures, vous pouvez améliorer significativement la sécurité de votre fichier wp-config.php et, par extension, de votre site WordPress tout entier.

7. Modification de l'URL de la page de connexion pour sécuriser WordPress

Changez l'URL de votre page de connexion/administration pour la rendre moins évidente aux assaillants, une tactique efficace pour sécuriser son site WordPress.

Pour modifier l'adresse de la page de connexion de votre site WordPress, vous pouvez utiliser des plugins gratuits qui offrent cette fonctionnalité. Cela peut aider à réduire les attaques par force brute en rendant l'URL de connexion moins prévisible. Voici quelques plugins gratuits qui permettent de changer l'URL de la page de connexion WordPress :

1. WPS Hide Login :

   • Un plugin léger et simple qui vous permet de modifier facilement l'URL de la page de connexion WordPress. Il n'ajoute pas de réécritures aux fichiers .htaccess et fonctionne simplement en interceptant les requêtes de page.

2. iThemes Security (anciennement Better WP Security) :

   • Bien qu'il s'agisse d'un plugin de sécurité complet, iThemes Security offre également une option pour changer l'URL de la page de connexion. En plus de cette fonctionnalité, il fournit une multitude d'autres options de sécurité pour sécuriser son site WordPress.

3. All In One WP Security & Firewall :

   • Ce plugin de sécurité complet propose également une option pour personnaliser l'URL de la page de connexion. Il offre également diverses autres fonctionnalités pour améliorer la sécurité globale de votre site WordPress.

Pour utiliser l'un de ces plugins, suivez ces étapes générales :

1. Installer et activer le plugin :

   • Allez dans le tableau de bord de WordPress.
   • Naviguez vers « Plugins » > « Ajouter ».
   • Recherchez le plugin de votre choix, installez-le et activez-le.

2. Configurer l'URL de connexion personnalisée :

   • Une fois le plugin activé, accédez à ses réglages via le tableau de bord.
   • Cherchez l'option permettant de changer l'URL de la page de connexion.
   • Saisissez l'URL personnalisée que vous souhaitez utiliser pour la page de connexion.
   • Enregistrez vos modifications.

3. Tester la nouvelle URL de connexion :

   • Après avoir configuré la nouvelle URL, testez-la pour vous assurer qu'elle fonctionne correctement.
   • Assurez-vous de bien noter la nouvelle URL pour éviter les problèmes de connexion à l'avenir.

En modifiant l'URL de la page de connexion, vous ajoutez une couche supplémentaire pour sécuriser son site WordPress, rendant plus difficile pour les attaquants de trouver la page de connexion.

8. Limitation des essais de connexion pour sécuriser WordPress

Employez des extensions qui restreignent le nombre d'essais de connexion infructueux pour prévenir les attaques par force brute, une méthode proactive pour sécuriser son site WordPress.

Liste des plugins gratuits:

9. Passage à une connexion HTTPS pour sécuriser WordPress

Assurez-vous que votre site utilise HTTPS pour sécuriser les échanges de données, une étape fondamentale pour sécuriser son site WordPress.

Voici comment passer votre site de http à https

Passer votre site WordPress en HTTPS est une étape essentielle pour améliorer la sécurité et la confiance des utilisateurs. Le processus implique l'installation d'un certificat SSL et la mise à jour des réglages de votre site pour utiliser HTTPS. Voici les étapes à suivre pour effectuer cette transition en évitant les erreurs et les bugs :

1. Obtenir un Certificat SSL :

   • Contactez votre hébergeur pour obtenir un certificat SSL. De nombreux hébergeurs offrent désormais des certificats SSL gratuits via Let's Encrypt.
   • Suivez les instructions de votre hébergeur pour installer le certificat SSL sur votre serveur.

2. Mise à jour de l'adresse du site en HTTPS :

   • Dans le tableau de bord WordPress, allez à "Réglages" > "Général".
   • Mettez à jour les champs "Adresse web de WordPress (URL)" et "Adresse web du site (URL)" en changeant "http://" en "https://".

3. Mise à jour de la base de données :

   • Utilisez un plugin comme "Better Search Replace" pour rechercher et remplacer toutes les occurrences de "http://" par "https://" dans votre base de données. Cela aidera à éviter les contenus mixtes (mélange de HTTP et HTTPS) qui peuvent causer des problèmes de sécurité.

4. Configurer la redirection HTTP vers HTTPS :

   • Modifiez votre fichier .htaccess pour rediriger tout le trafic HTTP vers HTTPS. Voici un exemple de règle de redirection à ajouter dans le fichier .htaccess :

     rubyCopy code

     RewriteEngine On RewriteCond %{SERVER_PORT} 80 RewriteRule ^(.*)$ https://www.votredomaine.com/$1 [R,L]

5. Mettre à jour les liens durs dans les thèmes et les plugins :

   • Vérifiez si des liens "http://" sont codés en dur dans vos fichiers de thèmes ou de plugins et mettez-les à jour en "https://".

6. Vérifier les contenus mixtes :

   • Après avoir mis à jour votre site en HTTPS, vérifiez s'il y a des problèmes de contenu mixte. Utilisez des outils comme "Why No Padlock?" pour identifier les ressources chargées via HTTP.

7. Mise à jour des outils et services tiers :

   • Mettez à jour l'URL de votre site en HTTPS dans Google Analytics, Search Console, et tous les autres services tiers que vous utilisez.

8. Tester votre site :

   • Testez votre site en profondeur pour vous assurer que toutes les pages se chargent correctement en HTTPS et qu'il n'y a pas d'erreurs de contenu mixte.

9. Soumettre votre site en HTTPS aux moteurs de recherche :

   • Il peut être utile de soumettre à nouveau votre sitemap en HTTPS à des moteurs de recherche comme Google pour accélérer l'indexation de vos pages en HTTPS.

En suivant ces étapes, vous pouvez passer votre site WordPress en HTTPS de manière sécurisée, en veillant à éviter les erreurs courantes telles que les contenus mixtes, les redirections incorrectes et les problèmes de liens.

10. Protection des fichiers et dossiers pour la sécurité de WordPress

Définissez les autorisations appropriées pour vos fichiers et dossiers afin d'éviter les accès non autorisés, un aspect vital pour sécuriser son site WordPress.

Voici comment protéger vos fichiers et dossier pour sécuriser un site wordpress

La protection des fichiers et des dossiers est un aspect très important pour Sécuriser son site WordPress. Voici des mesures spécifiques que vous pouvez prendre pour sécuriser les fichiers et dossiers de votre installation WordPress :

1. Mettre à jour les Permissions de Fichiers et Dossiers :

   • Les fichiers devraient généralement avoir la permission 644, et les dossiers 755.
   • Vous pouvez changer les permissions via un client FTP ou via le gestionnaire de fichiers de votre hébergeur.
   • Faites attention à ne pas donner des permissions trop permissives comme 777, qui permettraient à n'importe qui d'écrire dans vos fichiers ou dossiers.

2. Sécuriser le fichier wp-config.php :

   • Comme mentionné précédemment, sécurisez wp-config.php en changeant ses permissions ou en le déplaçant à un niveau au-dessus de votre répertoire racine WordPress.

3. Sécuriser le fichier .htaccess :

   • Utilisez votre fichier .htaccess pour ajouter des règles de sécurité supplémentaires, comme la protection contre le listing de répertoires, la protection du fichier wp-config.php, et d'autres restrictions.

4. Désactiver l'Édition de Fichiers via le Tableau de Bord :

   • Dans votre fichier wp-config.php, ajoutez la ligne define('DISALLOW_FILE_EDIT', true);. Cela désactivera la possibilité d'éditer les fichiers de thèmes et de plugins directement depuis l'administration WordPress.

5. Installer un Plugin de Sécurité :

   • Des plugins comme Wordfence, iThemes Security, ou All In One WP Security & Firewall peuvent fournir des fonctionnalités supplémentaires pour protéger vos fichiers et dossiers.

6. Sauvegardes Régulières :

   • Assurez-vous de faire des sauvegardes régulières de votre site WordPress. En cas de problème de sécurité, vous pourrez restaurer vos fichiers et dossiers à partir de ces sauvegardes.

7. Vérifier les Permissions des Fichiers Uploadés :

   • Assurez-vous que les fichiers uploadés sur votre site (comme les images ou les documents) ont des permissions appropriées et ne sont pas exécutables.

8. Restreindre l'Accès aux Fichiers Importants :

   • Vous pouvez ajouter des règles dans votre fichier .htaccess pour restreindre l'accès à certains fichiers, comme xmlrpc.php, qui est souvent ciblé dans les attaques.

9. Mise à jour Régulière :

   • Gardez votre WordPress, ainsi que tous les thèmes et plugins, à jour pour protéger contre les vulnérabilités connues.

En prenant ces mesures, pour sécuriser son site WordPress vous protégez vos fichiers et dossiers contre les accès non autorisés et les modifications malveillantes.

11. Désactivation de l'édition de fichier via le tableau de bord pour sécuriser WordPress

Cela empêche les cyberpirates de modifier vos fichiers via le tableau de bord WordPress en cas d'intrusion, une précaution importante pour sécuriser son site WordPress.

12. Élimination des thèmes et extensions non utilisés pour sécuriser WordPress

Les thèmes et extensions inactifs peuvent devenir des points d'entrée pour les pirates s'ils ne sont pas régulièrement mis à jour, d'où l'importance de les gérer pour sécuriser son site WordPress.

13. Surveillance et audits réguliers pour la sécurité de WordPress

Gardez un œil sur l'activité de votre site et procédez à des audits de sécurité fréquents pour détecter et réagir promptement à toute anomalie, une pratique clé pour sécuriser son site WordPress.

14. Choix d'un hébergeur web sécurisé pour WordPress

Optez pour un hébergeur qui propose des fonctionnalités de sécurité avancées et un support en cas de soucis de sécurité, un choix stratégique pour sécuriser son site WordPress.

Listage des hébergeurs Français et de notre hébergeur préféré

15. Formation et sensibilisation pour sécuriser WordPress

Informez-vous et formez votre équipe aux pratiques optimales en matière de sécurité en ligne pour prévenir les erreurs humaines, un volet essentiel pour sécuriser son site WordPress.

En associant ces différentes approches, vous pouvez nettement renforcer la sécurité de votre site WordPress et vous prémunir contre les attaques courantes. Merci d'avoir lu cet article sur comment Sécuriser son site WordPress jusqu'au bout. N'hésitez pas à nous faire un retour par mail si vous voyez que nous avons oubliés des choses. Merci !