Comment protéger votre site web WordPress contre le hacking ?

DANS CET ARTICLE

• Installez un plugin de sécurité efficace : Wordfence
• Bonnes pratiques pour une sécurité optimale de WordPress
• Sécurisez votre serveur via .htaccess

Installez un plugin de sécurité efficace : Wordfence

Paramètres recommandés pour Wordfence

• Protection contre les attaques par force brute :
  • • Verrouillage après 2 tentatives de connexion échouées
    • Verrouillage après 2 tentatives de connexion avec mot de passe oublié
    • Période au cours de laquelle les échecs sont comptabilisés : 1 jour
    • Période au cours de laquelle l’utilisateur reste en situation de verrouillage : 2 mois
    • Bloquer automatiquement un nom d’utilisateur incorrect : activé
• Empêcher les mots de passe d’être divulgués lors de violations de données : Pour tous les utilisateurs
• (Facultatif) Limitez le « Nombre maximal d’alertes par e-mail à envoyer par heure » dans les « Préférences d’alerte par e-mail » à 5 par heure ou moins. De cette façon, vous éviterez que les fonctions de messagerie de votre e-mail soient bloquées en raison du trop grand nombre d’e-mails envoyés en tant qu’alertes.

Il va de soi qu’à lui seul, un plugin de sécurité ne suffit pas. Au sein même de WordPress, il existe un certain nombre de bonnes pratiques que vous devez suivre :

• N’utilisez pas de noms d’utilisateurs génériques. Les noms d’utilisateurs tels que « admin », « administrator » ou « webmaster » ne sont pas sûrs. Ce sont en effet les premiers noms d’utilisateurs que les hackers essaieront d’utiliser dans le cadre d’une attaque par force brute. Votre nom figure-t-il quelque part sur le site web ? Dans ce cas, évitez de l’utiliser comme identifiant, car les hackers essaieront aussi d’utiliser ce nom.
• Soyez vigilant en ce qui concerne les permissions accordées aux administrateurs. Ne donnez pas systématiquement un compte administrateur à chaque utilisateur. Accordez plutôt un minimum de permissions. N’oubliez pas qu’un utilisateur disposant de permissions de modification aura déjà la possibilité de modifier votre contenu.
• Activez l’authentification à deux facteurs. Mettez en place (lorsque cela est possible) une méthode d’authentification à deux facteurs pour chaque utilisateur.
• Maintenez tout à jour. WordPress est une plateforme très populaire, ce qui signifie qu’elle est soutenue par une immense communauté de développeurs (ce qui permet de résoudre les problèmes et les failles plus rapidement grâce aux mises à jour), et que WordPress attire davantage l’attention des hackers (ce qui signifie que les failles peuvent être exploitées plus rapidement). C’est pourquoi il est essentiel d’installer rapidement les mises à jour disponibles. Je vous recommande de vérifier la disponibilité de nouvelles mises à jour quotidiennement, ou au minimum tous les deux jours, et d’installer ces dernières dès leur mise à disposition.
  
  ManageWP

   

  Si vous avez beaucoup de sites à gérer, un système de gestion tel que ManageWP, MainWP ou InfiniteWP peut offrir une solution provisoire. J’utilise moi-même MainWP pour gérer mes propres sites web WordPress. (vous pouvez créer un lien pointant vers ces sites web) Vous n’avez pas envie de vous charger de tout cela ? Dans ce cas, hébergez vos sites web sur notre plateforme WordPress infogérée, et nous les maintiendrons automatiquement à jour en y installant les dernières versions exploitables de vos plugins, de vos thèmes et de WordPress.
  

• Supprimez les plugins qui ne sont pas (ou plus) mis à jour.
  Vérifiez également si les plugins que vous utilisez sont toujours en cours de développement. Parfois, les plugins sont « abandonnés », ce qui signifie que le plugin est toujours disponible dans le référentiel, mais que le développeur ne travaille plus dessus. Vous pouvez vérifier cela sur la page du plugin sur WordPress.org.
  Par exemple : https://wordpress.org/plugins/akismet/
  Sur le côté droit de la page, vous pouvez voir quand le plugin a été mis à jour pour la dernière fois. Il est fortement déconseillé d’utiliser un plugin qui n’a pas été mis à jour au cours des 12 derniers mois. Si vous utilisez un outil de gestion tel que MainWP, ce dernier portera également à votre attention les plugins qui ne sont plus mis à jour (et qui constituent donc un risque potentiel).