La sécurité d’un site est un sujet qu’on vous vend habituellement par la peur. On va faire l’inverse : commencer par ce qui devrait vous rassurer, puis passer aux cinq gestes qui écartent l’essentiel du problème. Comptez une heure, une fois.
Personne ne vous en veut personnellement
C’est le point qui change tout, et qu’on explique rarement. Les attaques qui touchent les petits sites ne sont pas ciblées : ce sont des programmes automatiques qui parcourent le web en permanence et essaient les mêmes clés sur toutes les portes. Ils ne savent pas qui vous êtes, ils ne savent pas ce que vous vendez, ils testent.
Conséquence pratique : vous n’avez pas besoin de vous défendre contre un adversaire intelligent. Vous avez besoin que votre porte ne fasse pas partie de celles qui s’ouvrent avec une clé standard. C’est beaucoup plus simple, et c’est à votre portée.
Ce qui se passe si on ne fait rien
Un site compromis sert rarement à vous nuire directement. Il sert surtout de relais : envoyer du courrier indésirable, héberger des pages de contrefaçon, rediriger vos visiteurs ailleurs. Vous ne vous en apercevez pas tout de suite — souvent ce sont vos clients qui vous préviennent, ou Google qui affiche un avertissement rouge devant votre site.
C’est le vrai coût : pas la donnée volée, mais la réputation, le référencement à reconstruire, et le temps de nettoyage — qui dépasse toujours largement l’heure qu’aurait pris la prévention.
Les cinq réflexes
1. Mettre à jour, vraiment
C’est de loin le plus efficace, et le plus négligé. La grande majorité des sites compromis le sont par une faille déjà corrigée dans une version plus récente d’une extension ou d’un thème. Autrement dit : le correctif existait, il n’avait pas été appliqué.
Prenez l’habitude de regarder la pastille des mises à jour une fois par semaine. Et faites-le dans cet ordre : sauvegarde, puis extensions, puis thème, puis WordPress lui-même — en vérifiant le site entre chaque.
2. Supprimer ce qui ne sert plus
Une extension désactivée reste installée, donc reste du code présent sur votre serveur. Un thème que vous n’utilisez plus aussi. Chaque élément inutile est une porte de plus à surveiller, sans aucune contrepartie.
Faites le tri : tout ce que vous n’utilisez pas se désinstalle, pas seulement se désactive. Gardez un seul thème en réserve, celui par défaut de WordPress, qui sert de secours en cas de problème.
3. Se méfier de ce qui n’est plus entretenu
Sur la page d’une extension, dans le répertoire officiel de WordPress, une ligne indique la date de la dernière mise à jour et la version de WordPress avec laquelle elle a été testée. Une extension sans mise à jour depuis deux ans n’est pas forcément dangereuse — mais si une faille y est découverte demain, personne ne la corrigera.
Le critère n’est donc pas « bonne ou mauvaise extension », c’est « entretenue ou abandonnée ». Quand une extension abandonnée occupe une fonction importante de votre site, cherchez-lui un remplaçant avant d’y être forcé.
4. Un mot de passe unique, et la double authentification
Les programmes automatiques testent des listes de mots de passe fuités ailleurs. Si celui de votre site est le même que celui d’un forum piraté il y a cinq ans, il est déjà sur ces listes.
Un mot de passe long et propre à ce site, gardé dans un gestionnaire de mots de passe — pas dans un carnet ni dans un fichier sur le bureau. Et surtout, activez la double authentification : un code temporaire en plus du mot de passe. C’est ce qui rend une liste de mots de passe volés parfaitement inutile.
Dans le même esprit : supprimez le compte administrateur nommé « admin » s’il existe encore, et ne donnez le rôle d’administrateur qu’aux personnes qui en ont réellement besoin. Un rédacteur n’a pas besoin de pouvoir installer des extensions.
5. Une sauvegarde que vous avez déjà restaurée une fois
C’est le réflexe qui rend tous les autres rattrapables. Mais une sauvegarde n’existe vraiment qu’à trois conditions : elle est automatique, elle est stockée ailleurs que sur le serveur du site, et vous l’avez déjà restaurée au moins une fois pour vérifier qu’elle fonctionne.
Une sauvegarde jamais testée n’est pas une sauvegarde, c’est une intention. Et une sauvegarde qui vit sur le serveur piraté disparaît avec lui.
Quand appeler quelqu’un
Les cinq réflexes ci-dessus se font seul, sans compétence technique particulière. Trois situations, en revanche, demandent de l’aide.
Vous pensez que le site est déjà compromis — des pages inconnues apparaissent, les visiteurs sont redirigés ailleurs, votre hébergeur vous signale des envois de courrier suspects. Dans ce cas, ne vous contentez pas de changer le mot de passe et de mettre à jour : un site nettoyé en surface se ré-infecte, parce que la porte d’entrée est toujours là. Il faut identifier par où c’est entré.
Une mise à jour a cassé le site et vous vous retrouvez devant une page blanche. C’est réparable, mais pas depuis l’administration puisqu’elle n’est plus accessible.
Vous n’avez ni sauvegarde ni moyen d’en faire une. C’est le point à régler avant tous les autres, et c’est vite fait.
Un dernier mot d’honnêteté : personne ne peut vous promettre un site « sécurisé ». Ces cinq gestes réduisent fortement le risque et rendent l’incident rattrapable. C’est déjà, de très loin, l’essentiel du sujet.
Ces cinq points sont exactement ce que couvre la maintenance : mises à jour vérifiées, sauvegardes testées, surveillance. Si votre site est déjà touché, le dépannage commence par chercher l’entrée avant de nettoyer.