« Qui voudrait pirater le site d’une maison d’hôtes ? » C’est la phrase qui précède presque toujours une mauvaise surprise. La réponse est simple : personne en particulier. Les attaques sur WordPress sont automatisées, elles balaient le web sans distinction, et elles cherchent des failles connues plutôt que des cibles précises. Votre site n’a pas besoin d’être intéressant pour être attaqué.
Ce qu’un attaquant cherche réellement
Rarement vos données. Beaucoup plus souvent une ressource à exploiter.
Un site compromis sert à héberger des pages de contrefaçon, à envoyer du courrier indésirable, à relayer des attaques vers d’autres sites, ou à insérer des liens invisibles vers des sites tiers. C’est ce dernier cas qui fait le plus de dégâts en référencement : le site continue de fonctionner normalement pour son propriétaire, tandis que des centaines de pages parasites se font indexer à son insu. Le sujet est traité en détail sur jimenez-julien.com, et le constat est toujours le même : la compromission est découverte des semaines après, quand le trafic s’effondre ou que le navigateur affiche un avertissement aux visiteurs.
Les cinq bases, à faire aujourd’hui
Elles couvrent l’écrasante majorité des attaques automatisées.
Mettez tout à jour. Cœur, thème, extensions. Les failles exploitées sont presque toujours corrigées depuis des mois les victimes sont celles qui n’ont pas appliqué le correctif.
Supprimez ce que vous n’utilisez pas. Une extension désactivée reste présente sur le serveur et reste exploitable. Supprimez-la réellement.
Utilisez des mots de passe uniques et longs pour l’administration, l’hébergement, la base de données et le compte FTP. Un gestionnaire de mots de passe rend cela indolore.
Activez la double authentification sur les comptes administrateurs. C’est la mesure au meilleur rapport effort/efficacité.
Sauvegardez automatiquement, avec une copie stockée ailleurs que sur le serveur du site.
Durcir l’accès
Quelques réglages supplémentaires réduisent nettement la surface d’attaque.
Supprimez le compte nommé admin s’il existe, et n’utilisez jamais un identifiant public comme nom de connexion. Limitez le nombre de tentatives de connexion la plupart des extensions de sécurité le font en une case à cocher. Interdisez l’édition de fichiers depuis l’interface d’administration, fonction rarement utile et très pratique pour un attaquant.
Attribuez enfin le rôle minimal nécessaire à chaque utilisateur. Un rédacteur n’a pas besoin des droits d’administrateur, et une part significative des compromissions passe par un compte secondaire mal protégé.
Surveiller sans y passer ses journées
Installez une extension de sécurité une seule qui surveille les modifications de fichiers et vous alerte par courriel.
Vérifiez une fois par mois la liste de vos utilisateurs : un compte administrateur que vous ne reconnaissez pas est le signal le plus clair qui soit. Consultez également le rapport de sécurité de la Search Console, qui vous préviendra si Google détecte du contenu malveillant.
Enfin, tapez de temps en temps site:votredomaine.com dans le moteur. Des pages que vous n’avez jamais créées apparaissent-elles ? C’est un contrôle de trente secondes qui révèle immédiatement une infection par injection de contenu.
Le lien direct avec votre visibilité
Ce n’est pas un sujet purement technique. Un site compromis peut être signalé comme dangereux par les navigateurs, ce qui fait chuter le trafic à zéro en quelques heures. Le retrait de cet avertissement demande ensuite plusieurs jours après nettoyage complet.
Et même après restauration, la reprise des positions n’est pas immédiate. La sécurité coûte quelques heures par an ; une compromission coûte plusieurs semaines de visibilité. C’est le seul argument qu’il faut retenir.
About Author
