23 conseils de sécurité WordPress essentiels
La cybersécurité est un domaine en constante évolution. Alors que les techniciens système s’efforcent de corriger les failles et les faiblesses pour prévenir les problèmes de sécurité, les pirates trouvent de plus en plus de moyens de les contourner. Pour cette raison, aucun site Web n’est à l’abri de l’assaut.
Certaines personnes croient à tort que si elles utilisent un service d’hébergement de site Web de confiance, tel que WordPress, elles seront exemptées de ces risques. Cependant, le contraire est vrai.
En ce qui concerne la conception Web dans WordPress, il y a bien plus à penser que d’obtenir beaucoup de plugins ou de modèles. WordPress, comme tous les services d’hébergement, présente des problèmes de sécurité uniques qui doivent être résolus si vous souhaitez assurer la sécurité d’un site Web ou d’un blog. Ces fonctionnalités de protection ne peuvent être ignorées, et c’est quelque chose que chaque concepteur devrait intégrer au concept de sa conception Web.
1 Utiliser l’hébergement sécurisé
Oui, vous pouvez utiliser WordPress gratuitement, mais cela signifie simplement que vous aurez moins de fonctionnalités de sécurité et de support. Lorsque vous parcourez vos options, il n’est pas toujours avantageux d’opter pour l’option la moins chère. Examinez de plus près les options de sécurité que chacune offre, les critiques et les évaluations, ainsi que le rapport coût/risque pour vous aider à être intelligent dans votre choix ultime.
2 écran avant d’installer les plugins
Certains plugins peuvent contenir un code malveillant qui peut émietter votre site Web et ouvrir la porte aux pirates. Vérifiez toujours les évaluations et lisez les critiques des plugins avant de les installer. Ceci est particulièrement important à noter pour les plugins gratuits qui ne sont pas créés par un développeur de confiance.
Assurez-vous également de mettre à jour régulièrement vos plugins WordPress. Ces mises à jour sont faites pour assurer le bon fonctionnement des plugins et les protéger des vulnérabilités connues.
3 Limiter l’accès
Soyez prudent lorsque vous partagez vos informations de connexion. Trop de connexions flottantes entre les utilisateurs peuvent devenir très rapidement déroutantes, ce qui rend difficile de se rappeler qui a accès. De même, vous ne savez pas toujours à qui vous pouvez faire confiance parmi les employés et les collègues designers. Gardez l’accès à quelques personnes seulement et changez souvent les noms d’utilisateur et les mots de passe afin d’éviter de donner accès à plus de personnes que nécessaire.
4 Engagez un expert
Que vous soyez un concepteur ou un homme d’affaires cherchant à créer un site Web, en matière de sécurité de site Web, vous ne pouvez pas être trop prudent. C’est toujours une bonne idée d’engager un expert pour vous aider à déterminer vos spécifications de sécurité. Allez avec quelqu’un qui connaît bien le domaine, qui a beaucoup d’expérience dans l’installation de fonctions de sécurité et qui a des critiques élogieuses et des témoignages de clients précédents. Votre expert peut également effectuer des tests pour assurer une protection adéquate de votre conception WordPress.
5 Changez souvent de mot de passe
Plus le mot de passe reste longtemps le même, plus il est facile pour les pirates de s’en emparer. Entre les phases de développement et les phases d’exploitation, veillez à changer plusieurs fois vos mots de passe. Cela aidera également à réduire le nombre de personnes inutiles qui ont accès à votre site WordPress.
6 Renforcez les mots de passe
Selon un résumé de I-Sight.com, il ne faut que 10 minutes à un pirate informatique pour déchiffrer un mot de passe composé de six lettres minuscules. Si vous ajoutez seulement quelques lettres majuscules, des chiffres et un symbole, la durée passe à 44 530 ans. Bref, mieux vaut choisir un mot de passe plus complexe qu’un mot de passe dont vous vous souviendrez facilement.
7 Sécurisez votre ordinateur
Parfois, les chevaux de Troie et les virus peuvent se faufiler sur votre ordinateur via une installation sans que vous vous en rendiez compte. Il permettra ensuite aux pirates d’accéder aux informations sensibles stockées sur votre ordinateur. Gardez votre ordinateur verrouillé avec un logiciel à jour, une protection antivirus et un historique de navigation sécurisé.
D’autres fois, ces virus affaibliront votre ordinateur. Une fois qu’il ne fonctionne pas correctement, le pirate pourra récupérer des informations précieuses sur le disque dur, et vous ne pourrez rien faire pour arrêter l’attaque.
8 Gardez le logiciel à jour
Les mises à jour sont faites pour une raison. Ils sont là pour renforcer la protection et corriger les faiblesses du logiciel vulnérable au code bogué. Par prudence, ne téléchargez que les mises à jour de WordPress.org pour éviter d’installer quelque chose qui se transformera en virus ou pire.
9 Attribuez un nom d’utilisateur réel
Pour rendre l’accès à votre site Web plus difficile pour les visiteurs indésirables, choisissez un nom d’utilisateur autre que "admin". Il s’agit du nom d’utilisateur par défaut pour tous les sites WordPress, mais son utilisation est risquée. Les pirates robotiques commencent souvent leurs attaques sur des sites Web qui utilisent encore le nom d’utilisateur "admin" car il est plus facile à craquer.
Il y a eu de nombreuses tentatives de piratage qui ciblent le nom d’utilisateur "admin" et l’associent à des mots de passe courants afin de pirater des milliers de comptes WordPress. C’est une faiblesse bien trop courante par rapport à la facilité avec laquelle elle peut être corrigée.
10 Séparez votre nom d’utilisateur de l’URL du site
Si votre nom d’utilisateur se trouve dans l’URL de l’archive de l’auteur sur votre site, il aura plus de facilité à accéder à votre page. Il est préférable de masquer votre nom d’utilisateur dans votre base de données.
11 Ajouter un Captcha sur la page de connexion
Les captchas sont ennuyeux, mais ils font du bon travail pour protéger votre page des robots. Cela peut également aider à protéger votre site Web contre une attaque par force brute. Un captcha est un excellent moyen d’ajouter une autre couche de défense sur un site WordPress.
12 Organisez un audit de sécurité
Un audit de sécurité est le meilleur moyen de détecter les faiblesses et les vulnérabilités et de proposer quelques suggestions pour les corriger. Cela exposera les failles de sécurité logicielles et matérielles qui, autrement, affecteraient le système de gestion de contenu lui-même.
13 Utiliser les outils en ligne
Depuis que le Web a pris conscience des menaces de cybersécurité, il a explosé avec des solutions pour les corriger. Bien que tous les outils en ligne ne soient pas utiles, les outils les plus connus avec des notes élevées aideront à sécuriser un site. Lisez les avis et consultez les évaluations avant de télécharger des outils.
14 Protégez-vous contre les requêtes d’URL malveillantes
Les URL malveillantes sont créées dans le but de décomposer un site Web. Ils sont souvent contenus dans des spams ou des messages de phishing et peuvent se faufiler sur votre site Web à votre insu. Trouvez des solutions d’extraits de code, des outils et d’autres logiciels conçus pour protéger votre site Web contre les demandes d’URL malveillantes.
15 Méfiez-vous des thèmes gratuits
Comme mentionné précédemment, le mot "gratuit" n’est pas toujours bon signe pour les concepteurs de sites Web. Il y aura une bonne qualité et une haute sécurité associée à de nombreux thèmes, mais il est souvent difficile de dire lequel de ces thèmes protégera entièrement votre site. Dans la mesure du possible, évitez d’utiliser des thèmes gratuits, en particulier ceux qui ne sont pas créés par un développeur réputé.
De nombreux thèmes gratuits contiendront du contenu spam comme l’encodage base64, qui peut être joint à des liens de spam et à du code malveillant. Une étude a montré que 80% de tous les thèmes gratuits avaient ce type de code. Pour éviter les maux de tête, achetez des thèmes avec des notes élevées et des critiques élogieuses.
16 Avoir un stockage et une sauvegarde adéquats
Trop de développeurs et d’entreprises retardent la sauvegarde d’un site Web jusqu’à ce qu’il soit trop tard. En raison des risques associés à Internet et à la sécurité du réseau, vous ne savez tout simplement jamais si un pirate lancera une attaque par force brute sur votre site Web.
Garder les données stockées et sauvegardées correctement fait partie intégrante du succès de l’entreprise et du site Web. Une étude a révélé que 60 % des entreprises qui perdent des données de leur site Web échouent dans les six mois suivant l’incident. Soyez proactif et installez un système de sauvegarde qui conservera des enregistrements constants des données importantes.
17 Ajoutez soigneusement des plugins de sécurité
Les plugins de sécurité sont un excellent moyen de protéger votre site Web contre les dommages, mais ils peuvent également causer des dommages s’ils ne sont pas ajoutés correctement. Il peut sembler facile d’ajouter un plugin de sécurité, mais si vous ne savez pas ce que vous faites, vous pouvez tout aussi facilement développer davantage de vulnérabilités sur votre site Web. Si vous avez peu d’expérience dans l’installation de plugins de sécurité, il est préférable de demander l’aide d’un professionnel.
18 Évitez les téléchargements de fichiers
En règle générale, interdisez les téléchargements de fichiers depuis votre site Web. Même si vos utilisateurs téléchargent simplement une photo de profil ou un avatar différent, les fichiers ont plus de chances de mettre votre site Web en danger à cause de fichiers malveillants ou bogués sans le savoir. De même, soyez prudent lorsque vous téléchargez personnellement des éléments sur votre site. Téléchargez uniquement du contenu authentique pour éviter les attaques sur votre code.
De nombreux blogueurs et concepteurs de sites Web ne pensent pas à protéger l’accès à leur répertoire de plugins WordPress, ce qui rend le site vulnérable. C’est comme laisser la porte déverrouillée lorsque vous vous endormez la nuit afin que les voleurs puissent se déplacer librement. Bloquez l’accès à ces répertoires en utilisant un "fichier .htaccess" ou en téléchargeant un fichier "index.html" vierge dans le répertoire. Cela devrait garder la porte fermée aux intrus pour de bon.
20 Utiliser le cryptage SSL
La plupart des sites Web et des blogs envoient et reçoivent des données, et si ces données ne sont pas protégées, elles peuvent ramener des virus, des codes bogués et des logiciels espions malveillants. De même, si vous transférez des données sensibles et qu’elles ne sont pas protégées, n’importe qui peut y accéder. Habituellement, la fonction de cryptage SSL de WordPress est entièrement gratuite et facile à installer, ce qui signifie que vous n’avez vraiment aucune excuse pour ne pas protéger les transmissions.
21 Supprimer des comptes supplémentaires
Il est important de faire fréquemment l’inventaire des comptes rattachés à votre site Web et de supprimer tous les extras. En fait, si possible, il est préférable d’utiliser un seul compte administrateur hermétique que vous partagez avec ceux qui ont besoin d’un accès plutôt que d’utiliser plusieurs comptes. À tout le moins, supprimez toujours les comptes obsolètes et inutilisés. En les laissant inutilisés, il sera plus facile pour les autres de voler des informations.
22 Localiser les fichiers piratés
Si vous pensez que vos fichiers WordPress ont été piratés, c’est une bonne idée d’utiliser quelques outils pour éliminer le problème. Exploit Scanner, Sucuri, Wordfence et WordPress File Monitor Plus sont d’excellentes options pour récupérer les fichiers et ajouter une protection supplémentaire.
23 Changer le préfixe de la base de données
La configuration d’un site WordPress de base est très pratique, mais cette commodité peut être la chute d’un concepteur Web. Cela encourage la paresse et, par conséquent, vous risquez davantage de manquer des choses telles que la modification du préfixe de la base de données, qui est un point de piratage courant. Pensez toujours à vérifier que le préfixe de la base de données est modifié afin de protéger les noms des tables de la base de données de votre site. Cette étape simple n’arrêtera pas les pirates les plus expérimentés, mais elle arrêtera au moins les attaques robotiques.
Contrairement à la croyance de nombreux concepteurs de sites Web, l’installation de certaines fonctions de sécurité et la prise de certaines mesures pour protéger un site WordPress relèvent de votre responsabilité en tant que concepteur de sites Web. Il y a trop de menaces pour ignorer les risques des cyber-réseaux. Il est vrai qu’un service informatique expérimenté ou un gourou de la sécurité peut venir plus tard et ajouter chacune des fonctionnalités répertoriées ici, mais il est globalement préférable d’installer simplement ces fonctionnalités au début. Si chaque concepteur de sites Web prenait le temps de sécuriser ses sites WordPress avant de les publier, le nombre de tentatives de piratage réussies serait facilement réduit de moitié.