Un audit de sécurité WordPress vérifie les versions, les accès, les sauvegardes et la configuration pour identifier les risques à traiter. Il sert à préparer des corrections et un suivi adaptés, pas à certifier qu’un site ne sera jamais piraté.
Pour un audit de sécurité WordPress avant reprise en maintenance, voici ce qu’il est utile de contrôler, les preuves à conserver et la façon de classer les actions. Si une compromission est déjà en cours, la priorité devient le traitement de l’incident.
Du constat à une correction vérifiée
- ConstatCe qui a été observé
- PreuveTrace et périmètre
- ActionResponsable et priorité
- ContrôleRésultat après correction
Quel périmètre pour un diagnostic de sécurité WordPress ?
Pour examiner la sécurité d’un site WordPress, délimitez ce qui sera réellement examiné avant le scan :
- Le site et son environnement : hébergement, versions et extensions.
- Les accès et les données : utilisateurs, formulaires, sauvegardes et services externes.
- Les exclusions : tests d’intrusion, code tiers ou infrastructure non examinés.
Un audit de sécurité WordPress limité aux pages publiques ne montre pas nécessairement les accès administrateur ou la configuration du serveur. Le rapport doit rendre ces limites visibles.
Pour sécuriser WordPress après le diagnostic, classez les faiblesses vérifiables selon leur impact. Une boutique et un site vitrine n’exposent pas les mêmes données : les corrections doivent répondre au risque réel, pas seulement à un score. Pour le suivi dans la durée, faites inscrire les opérations retenues dans le contrat de maintenance.
Quels contrôles inclure dans un audit de sécurité WordPress ?
Vérifier les versions et extensions
L’audit de sécurité WordPress commence par le cœur du logiciel, le thème et les extensions. Il faut identifier les versions installées, les mises à jour disponibles, les extensions abandonnées et celles qui ne sont plus nécessaires.
- WordPress et version de PHP ;
- thème actif et thème enfant ;
- extensions actives et inactives ;
- extensions premium et état de leurs licences ;
- composants abandonnés ou remplacés par une solution plus fiable.
Une extension inactive mais conservée sur le serveur n’apporte généralement rien et peut augmenter la surface d’exposition. Elle doit être supprimée seulement après vérification de son rôle et d’une sauvegarde récupérable.
Sécuriser WordPress : contrôler les comptes et les accès
Pendant l’audit de sécurité WordPress, recensez les utilisateurs, leurs rôles, les anciens prestataires et les accès à l’hébergement, au domaine et aux services liés. Vérifiez aussi les mots de passe uniques et robustes et la double authentification lorsqu’elle est disponible.
Les comptes devenus inutiles peuvent être désactivés ou supprimés après vérification de leur rôle, de leurs contenus et validation du propriétaire. Les comptes partagés sont à éviter : des comptes nominatifs facilitent la traçabilité et permettent de retirer un accès sans bloquer toute l’équipe.
Vérifier les sauvegardes et la restauration
Une sauvegarde n’est utile que si elle peut être restaurée. L’audit de sécurité WordPress doit donc vérifier sa fréquence, son emplacement, sa rétention et surtout l’existence d’un test de restauration récent.
- base de données incluse ;
- fichiers, médias, thèmes et extensions inclus ;
- copie indépendante du serveur principal ;
- historique de plusieurs versions ;
- procédure claire de restauration.
Le guide pour sauvegarder un site WordPress détaille les vérifications de la copie. Un export XML WordPress n’est pas une copie complète du site. Il ne remplace ni la base de données ni les fichiers nécessaires au fonctionnement de l’installation.
Examiner la configuration visible
Certains réglages peuvent révéler des informations techniques ou exposer des fichiers inutiles. Selon le contexte, on vérifie notamment HTTPS et le certificat SSL, les redirections, les en-têtes de sécurité, les fichiers de debug, les sauvegardes accessibles et les endpoints WordPress exposés.
L’audit de sécurité WordPress doit rester proportionné et autorisé. Un audit externe ne remplace pas un test d’intrusion avec autorisation, et il ne faut pas modifier un réglage sensible sans sauvegarde ni plan de retour.
Contrôler le serveur et l’environnement
La sécurité du site dépend aussi de l’hébergement : version PHP, certificats, droits de fichiers, accès SFTP ou SSH, sauvegardes serveur, journalisation et capacité à isoler une préproduction.
Un site correctement configuré mais hébergé sur un compte partagé dont les accès sont inconnus reste difficile à maintenir. L’audit de sécurité WordPress doit donc préciser ce qui relève du CMS et ce qui relève de l’hébergement.
Vérifier les formulaires et les emails
Un formulaire qui fonctionne visuellement peut ne pas délivrer ses messages. Il faut vérifier le traitement des données, l’envoi SMTP, les adresses destinataires et la protection contre le spam.
Cette étape est importante pour une PME. Un site disponible mais incapable de recevoir une demande de contact représente un risque commercial. Cela reste vrai même si aucune alerte de sécurité n’est affichée.
Audit de sécurité WordPress : comment prioriser les risques ?
Un constat n’est pas toujours un incident confirmé
Classez les constats selon le risque, l’exposition et les preuves disponibles. Un compte inconnu doit être vérifié ; son seul nom ne prouve pas une intrusion.
- Un incident est constaté : redirection frauduleuse, modification non autorisée ou fichier malveillant confirmé. Protégez les visiteurs, conservez les traces et faites organiser la reprise. Le guide site WordPress piraté détaille cette situation.
- Une faiblesse est identifiée : version concernée par une vulnérabilité, droits excessifs ou copies inutilisables. Vérifiez son application à l’installation et préparez une correction avec possibilité de retour.
- Une information manque : propriétaire d’un compte, périmètre serveur ou test de restauration non documenté. Attribuez la vérification ; ne marquez pas le contrôle « conforme » par défaut.
Exemple pédagogique : un ancien compte administrateur peut appartenir à un prestataire encore autorisé ou être devenu inutile. Identifiez son propriétaire et son activité avant de décider de son retrait. En présence de signes de compromission, le traitement de l’incident passe avant le classement des améliorations ordinaires.
Réalisez les contrôles sur le périmètre autorisé. Un scan intrusif ou une modification de sécurité sur un site commercial ne s’improvise pas à partir d’une simple liste de bonnes pratiques.
Que contient un rapport d’audit de sécurité WordPress ?
Un rapport utile permet de retrouver le constat et suivre sa correction.
- Périmètre : site, date, accès et zones examinées.
- Preuve : élément observé, trace ou capture pertinente, sans exposer des données sensibles.
- Action : risque, priorité, responsable et correction proposée.
- Validation : contrôle permettant de confirmer le résultat et réserves restantes.
Un test non réalisé, une zone inaccessible ou une dépendance externe restent des limites. Distinguez un fait observé, une hypothèse et une vérification encore nécessaire : le rapport ne certifie pas tous les composants du système.
Donnez une suite concrète aux contrôles de sécurité
Je vous accompagne pour définir les corrections prioritaires et le suivi technique adapté à votre WordPress.
Exemple de restitution : transformer un constat en action
Voici un exemple fictif de restitution pour un site vitrine. Une sauvegarde complète est visible dans l’extension, mais son seul emplacement connu est un dossier du même hébergement et aucun test de restauration n’est documenté.
| Rubrique du rapport | Exemple de contenu |
|---|---|
| Preuve disponible | Horodatage de l’archive, liste des éléments inclus et destination relevée. Aucun compte rendu de restauration fourni. |
| Risque | La copie peut devenir inaccessible avec le compte principal. Sa présence ne prouve pas qu’elle permet une reprise complète. |
| Action proposée | Vérifier le périmètre, conserver une copie indépendante et organiser une restauration isolée avant de compter sur cette méthode. |
| Responsable et validation | Le prestataire prépare le test ; le propriétaire valide le périmètre, les accès et les éventuels coûts avant intervention. |
| Critère de clôture | Fichiers et base restaurés sur une copie, parcours essentiels testés, durée et réserves consignées dans le compte rendu. |
La priorité dépend aussi du contexte : une prochaine mise à jour sensible rend ce contrôle plus pressant. À l’inverse, un compte administrateur inconnu avec des signes d’activité suspecte fait passer le traitement de l’incident avant ce chantier préventif.
Un constat devient utile lorsque l’on sait quoi vérifier, qui doit agir et quelle preuve permettra de clôturer l’action.
Audit de sécurité WordPress : comment vérifier les corrections ?
Reprenez chaque constat du rapport et notez l’action réalisée, la date, le contrôle effectué et les réserves restantes. Un accès retiré se vérifie dans les comptes ; une sauvegarde restaurable se vérifie par un test isolé ; une fonction corrigée se vérifie dans son parcours réel.
Un scan externe ne prouve pas l’absence de code malveillant dans tous les fichiers. Une archive présente ne prouve pas qu’une restauration a été testée. Le rapport doit distinguer les contrôles réalisés de ceux qui restent à effectuer.
FAQ
Un audit de sécurité WordPress garantit-il qu’un site ne sera jamais piraté ?
Non. Il réduit les risques identifiés et améliore la capacité à réagir, mais aucune analyse ne garantit l’absence future d’incident.
Faut-il installer un plugin de sécurité pour faire un audit ?
Pas nécessairement. Un contrôle peut commencer par l’inventaire, les accès, les versions, les sauvegardes et la configuration. Un plugin peut compléter la surveillance, mais il ne remplace pas l’analyse du contexte.
Un audit est-il utile après un piratage déjà nettoyé ?
Oui. Restaurer une sauvegarde ou supprimer un fichier infecté ne suffit pas toujours à expliquer l’origine de l’incident. Il faut vérifier les accès, les versions et les traces disponibles avant de considérer le site comme stabilisé.
Quelle suite donner à l’audit ?
Un audit de sécurité WordPress permet de hiérarchiser les corrections. Un site compromis peut nécessiter un dépannage et un assainissement. Sur un site stable, la maintenance WordPress peut ensuite organiser les mises à jour, sauvegardes et contrôles récurrents.
