WordPress fait tourner plus de 40 % du web : c’est sa force et sa faiblesse. Chaque faille découverte y est exploitée à l’échelle industrielle, par des robots qui scannent le web en continu. Un site WordPress qui n’est plus maintenu n’est pas une question de « si » il sera compromis, mais de « quand ». Voici comment évaluer le vôtre et le protéger.
Comment les vieux WordPress se font pirater
Dans la quasi-totalité des cas que nous reprenons, la porte d’entrée est l’une de celles-ci :
- Une extension obsolète ou abandonnée : c’est la cause numéro un. Une faille connue, un correctif jamais appliqué, et le robot entre.
- Un thème acheté jadis et jamais mis à jour, parfois avec des composants vulnérables embarqués.
- Des comptes administrateur oubliés : l’ancien stagiaire, l’ex-prestataire, le compte « admin » avec un mot de passe de 2015.
- Une version de PHP en fin de vie sur l’hébergement, qui n’est plus corrigée.
Ce que ça coûte vraiment
Un WordPress compromis ne se contente pas d’afficher une page de pirate. Le plus souvent, c’est invisible : envoi de spam depuis votre serveur (votre domaine finit en liste noire, vos e-mails n’arrivent plus), redirections de vos visiteurs vers des sites douteux, pages de phishing hébergées à votre insu, et chute brutale sur Google une fois le site signalé « site piraté ».
S’ajoute l’enjeu RGPD : si des données clients (formulaires, comptes) fuitent, vous avez l’obligation de notifier la CNIL sous 72 heures, et potentiellement vos clients.
Le test des 30 secondes
Connectez-vous à votre WordPress et regardez deux chiffres : le nombre de mises à jour en attente, et la date de la dernière. Plus de 10 mises à jour en attente ou plus de 6 mois sans maintenance : votre site est une cible facile.
Le plan de sécurisation
Sécuriser un WordPress : les 8 actions prioritaires
- Tout mettre à jour : cœur WordPress, extensions, thème, version PHP
- Supprimer les extensions et thèmes inutilisés (désactivé ne suffit pas)
- Faire l'inventaire des comptes et supprimer les accès obsolètes
- Imposer des mots de passe forts et l'authentification à deux facteurs
- Mettre en place des sauvegardes automatiques externalisées et testées
- Installer un pare-feu applicatif et limiter les tentatives de connexion
- Activer HTTPS partout et vérifier les en-têtes de sécurité
- Surveiller : alertes de modification de fichiers et temps de disponibilité
Maintenir, ou changer d’approche ?
Parfois, la maintenance d’un vieux WordPress chargé d’extensions coûte plus cher que sa refonte vers une base saine. Pour les sites vitrines, les générateurs de sites statiques (comme celui qui propulse le site que vous lisez) suppriment radicalement la surface d’attaque : pas de base de données exposée, pas d’administration en ligne à protéger, des performances excellentes.
Le bon choix dépend de votre usage : nous le déterminons lors de l’audit, qui fait partie de notre offre RGPD & sécurité web. Et si la refonte s’impose, voici comment la mener sans perdre votre référencement.
Audit technique complet : versions, failles, comptes, sauvegardes. Vous repartez avec un état des lieux clair et un plan d'action chiffré.