Commencer par un inventaire
Listez la version de WordPress, le thème, les extensions, les comptes et les services connectés. Supprimez les éléments inutilisés et vérifiez que les logiciels conservés sont encore maintenus. Un thème ou une extension abandonné peut exposer le site même si le reste est à jour.
Utilisez uniquement des sources légitimes pour installer les logiciels. Une extension présentée comme gratuite alors qu'elle contourne une licence peut contenir des modifications malveillantes. Le nombre d'extensions ne suffit pas à évaluer le risque : leur qualité, leurs permissions et leur entretien comptent.
Limiter les accès et entretenir le site
Chaque personne doit disposer d'un compte nominatif avec les droits nécessaires, sans partager un compte administrateur. Utilisez des mots de passe uniques et une authentification à plusieurs facteurs lorsque la solution le permet. Retirez les accès qui ne sont plus utiles.
Avant les mises à jour importantes, disposez d'une sauvegarde exploitable et testez les parcours essentiels : formulaire, paiement ou réservation. Maintenez aussi l'environnement d'hébergement. Le HTTPS protège les échanges, mais il ne remplace pas les correctifs ni une gestion rigoureuse des accès.
Préparer une restauration, pas seulement une copie
La sauvegarde doit inclure les fichiers nécessaires et la base de données. Définissez sa fréquence et sa conservation selon la fréquence des modifications et la perte acceptable. Évitez qu'une seule compromission donne accès à la fois au site et à toutes ses copies.
Testez régulièrement la restauration dans un environnement isolé. Vérifiez aussi ce qui est réellement inclus chez votre hébergeur : l'existence d'un outil de sauvegarde ne garantit ni son activation ni une durée de conservation adaptée.
Réagir si le site semble compromis
En cas de redirections étranges, de comptes inconnus ou de modifications suspectes, conservez les informations utiles et demandez une analyse. Selon la situation, limiter l'accès au site peut éviter d'exposer davantage de visiteurs. Ne vous contentez pas d'effacer un fichier visible : il faut comprendre le point d'entrée et rechercher les accès persistants.
Après correction, renouvelez les accès concernés et contrôlez l'ensemble du site. Si des données personnelles ont été touchées, évaluez les obligations applicables avec les personnes compétentes. Aucun outil ne garantit une sécurité absolue ; l'objectif est de réduire le risque et de savoir réagir.
Pour aller plus loin