La plupart des sites piratés ne le sont pas via une attaque sophistiquée, mais parce qu'un plugin obsolète, un mot de passe faible ou un accès admin mal protégé leur a laissé la porte ouverte. Voici, dans l'ordre où ça rapporte le plus, ce qui referme ces portes.
Maintenir tout à jour
Chaque mise à jour de CMS, de thème ou de plugin corrige potentiellement une faille déjà documentée publiquement, ce qui en fait une cible connue pour n'importe quel scanner automatisé. Activer les mises à jour automatiques sur le cœur du CMS élimine déjà une bonne partie du risque ; pour les plugins, un contrôle hebdomadaire suffit dans la majorité des cas.
Des mots de passe qui résistent
Un mot de passe unique et généré (20 caractères ou plus) par compte, via un gestionnaire dédié, plus une authentification à deux facteurs sur l'admin : ces deux mesures combinées bloquent l'immense majorité des tentatives de connexion automatisées, qui reposent sur des listes de mots de passe déjà compromis ailleurs.
Restreindre l'accès admin
Changer l'URL de connexion par défaut (souvent /wp-admin sous WordPress), limiter le nombre de tentatives avant blocage temporaire, et si possible restreindre l'accès à une liste d'IP connues : ces trois réglages arrêtent net les scans automatisés qui tentent leur chance sur des milliers de sites en boucle.
Des sauvegardes qu'on a testées
Une sauvegarde quotidienne, stockée hors du serveur principal, ne sert à rien si elle n'a jamais été restaurée une seule fois pour vérifier qu'elle fonctionne réellement. C'est le point le plus souvent négligé : les gens configurent la sauvegarde, puis oublient de vérifier qu'elle est exploitable le jour où ils en ont besoin.
Scanner régulièrement
Un scan de malware hebdomadaire (Wordfence, Sucuri SiteCheck) détecte les fichiers modifiés ou les portes dérobées avant qu'elles ne soient exploitées activement. Sur un site à fort trafic ou qui gère des paiements, passer à un scan quotidien limite le temps d'exposition en cas de compromission.
Wordfence : protection WordPress
Pare-feu, scan de malware et blocage des tentatives de connexion automatisées.
Installer Wordfence →Sécuriser le serveur
Désactiver l'affichage des répertoires, restreindre les permissions de fichiers, protéger les fichiers de configuration sensibles (comme wp-config.php) et désactiver l'édition de fichiers directement depuis l'interface d'administration : ce sont des réglages ponctuels, souvent proposés en un clic par l'hébergeur, qui réduisent la surface d'attaque disponible en cas de compte compromis.
Checklist
- CMS, thèmes et plugins à jour
- Mots de passe forts et 2FA activée
- SSL/HTTPS actif
- Pare-feu configuré
- Sauvegardes quotidiennes, testées régulièrement
- Scan de malware hebdomadaire
- Accès admin restreint
