Sécurité WordPress : pourquoi utiliser uniquement des extensions et thèmes officiels

Word­Press est aujourd’hui l’un des sys­tèmes de ges­tion de conte­nu les plus uti­li­sés au monde (plus de 40%). Cette popu­la­ri­té n’est pas le fruit du hasard : il est à la fois flexible, per­for­mant et sou­te­nu par une com­mu­nau­té active qui contri­bue et ain­si amé­liore en per­ma­nence le cœur de ce logi­ciel. Pour­tant, lorsqu’un site Word­Press est pira­té, la pla­te­forme elle-même est rare­ment en cause. Dans la grande majo­ri­té des cas, les pro­blèmes de sécu­ri­té trouvent leur ori­gine dans les exten­sions, les thèmes ou les fichiers ajou­tés au site depuis des sources peu fiables.

La sécu­ri­té d’un site Word­Press repose en grande par­tie sur l’origine des exten­sions et des thèmes uti­li­sés. Lorsqu’ils pro­viennent de sources non offi­cielles, les pro­blèmes de sécu­ri­té peuvent res­ter invi­sibles pen­dant des semaines, voire des mois, avant de se manifester.

WordPress est sécurisé… à condition de respecter certaines règles

Contrai­re­ment à une idée reçue, Word­Press n’est pas un outil « peu sécu­ri­sé par nature ». Le cœur de Word­Press est main­te­nu par une équipe dédiée qui publie régu­liè­re­ment des cor­rec­tifs de sécu­ri­té, par­fois même de manière auto­ma­tique. Les failles décou­vertes sont cor­ri­gées rapi­de­ment, et les mises à jour mineures sont sou­vent appli­quées sans inter­ven­tion de l’utilisateur.
Les pro­blèmes com­mencent lorsque l’on ajoute du code externe. Chaque exten­sion et chaque thème est un mor­ceau de code sup­plé­men­taire qui s’exécute sur le site. Plus il y a de code, plus la sur­face d’attaque augmente. 

Ce qui se cache derrière les sources non officielles

Télé­char­ger une exten­sion, un thème ou même Word­Press, depuis un site non offi­ciel peut sem­bler ano­din, sur­tout lorsque tout fonc­tionne nor­ma­le­ment après l’installation. Pour­tant, ce type de source est l’un des vec­teurs d’attaque cou­rants sur Word­Press.
Le dan­ger ne vient pas for­cé­ment d’un dys­fonc­tion­ne­ment visible. Le code mal­veillant est sou­vent dis­cret. Il peut s’agir d’une porte déro­bée (back­door) per­met­tant à un atta­quant de prendre l’accès du site à tout moment, d’un script qui envoie du spam à l’insu du pro­prié­taire, ou encore d’injections de liens invi­sibles des­ti­nées à amé­lio­rer le réfé­ren­ce­ment de sites frauduleux.

Dans ces situa­tions, le site conti­nue d’apparaître nor­mal pour son pro­prié­taire, mais il devient un outil au ser­vice d’activités mal­veillantes. À long terme, cela peut entraî­ner un blo­cage par les moteurs de recherche, une mise en liste noire par les navi­ga­teurs ou une dégra­da­tion de la répu­ta­tion du ser­veur.

Extensions et thèmes « piratés » : une fausse économie

Vous pou­vez avoir accès à des ver­sions pira­tées de solu­tions payantes, des thèmes ou des exten­sions sou­vent pro­po­sées gra­tui­te­ment sur des sites tiers. Ils attirent par la pro­messe d’économiser quelques dizaines d’euros, mais ils repré­sentent l’un des plus grands risques pour la sécu­ri­té Word­Press plu­gins thèmes.

Ces fichiers sont presque tou­jours modi­fiés. Le code d’origine est alté­ré pour y insé­rer des fonc­tion­na­li­tés cachées, impos­sibles à détec­ter sans ana­lyse appro­fon­die. De plus, ces ver­sions ne béné­fi­cient d’aucune mise à jour fiable. Même si une faille cri­tique est cor­ri­gée par l’éditeur offi­ciel, l’ex­ten­sion ou le thème pira­té res­te­ra vul­né­rable.

Au-delà de l’aspect sécu­ri­té, il existe aus­si un risque juri­dique. La plu­part des thèmes et exten­sions pre­mium sont dis­tri­bués sous licence, et leur uti­li­sa­tion sans res­pect des condi­tions peut enga­ger la res­pon­sa­bi­li­té du pro­prié­taire du site.

Les sources à privilégier pour une sécurité optimale

Assu­rer la sécu­ri­té de Word­Press, des exten­sions et des thèmes com­mence donc par un prin­cipe simple : tou­jours télé­char­ger, Word­Press, les exten­sions et thèmes depuis des sources recon­nues et véri­fiables.
Le dépôt offi­ciel Word­Press est la réfé­rence : ici pour Word­Press, ici pour les thèmes, ici pour les exten­sions. Chaque exten­sion et chaque thème y est sou­mis à des règles strictes, afin d’être vali­dé pour faire par­tie du réper­toire offi­ciel. Le code est ana­ly­sé, les mises à jour sont sui­vies et les failles signa­lées sont cor­ri­gées ou entraînent leur retrait si néces­saire.

Les sites offi­ciels des édi­teurs consti­tuent éga­le­ment une source fiable, à condi­tion de véri­fier qu’il s’agit bien du site d’origine et non d’une copie. Les mar­ket­places recon­nues offrent un cadre simi­laire, avec un sui­vi des mises à jour et une tra­ça­bi­li­té des versions.

Recon­naître une exten­sion ou un thème fiable

Même sur des pla­te­formes offi­cielles, il est impor­tant de res­ter vigi­lant. Une exten­sion saine pré­sente géné­ra­le­ment des signes clairs. Elle est mise à jour régu­liè­re­ment, com­pa­tible avec les ver­sions récentes de Word­Press et uti­li­sée par un nombre signi­fi­ca­tif de sites. Les avis lais­sés par les uti­li­sa­teurs sont cohé­rents et détaillés, et l’éditeur dis­pose d’une docu­men­ta­tion claire et d’un site offi­ciel identifiable.

À l’inverse, une exten­sion dont la der­nière mise à jour remonte à plu­sieurs années doit éveiller la méfiance. 

Quand la sécurité est compromise sans que l’on s’en rende compte

L’un des aspects les plus pro­blé­ma­tiques des exten­sions ou thèmes com­pro­mis est leur dis­cré­tion. Un site peut fonc­tion­ner pen­dant long­temps sans aucun signe visible de pira­tage. Pour­tant, en arrière-plan, il peut ser­vir à envoyer des emails frau­du­leux, à héber­ger des scripts mal­veillants ou à redi­ri­ger cer­tains visi­teurs vers des pages dou­teuses.

Ces com­por­te­ments peuvent avoir des consé­quences lourdes. Le réfé­ren­ce­ment du site peut chu­ter bru­ta­le­ment, les emails envoyés depuis le domaine peuvent arri­ver en spam, et l’hébergeur peut être contraint d’intervenir pour pro­té­ger l’infrastructure globale. 

Le rôle de l’hébergement dans la sécurité WordPress

Un héber­geur, comme o2switch, joue un rôle clé dans la pro­tec­tion d’un site Word­Press. Iso­la­tion des comptes, ana­lyse anti­vi­rus, sur­veillance des fichiers et sau­ve­gardes régu­lières sont autant de méca­nismes qui per­mettent de limi­ter les dégâts en cas de pro­blème.

Cepen­dant, il est impor­tant de com­prendre qu’aucun héber­ge­ment ne peut com­pen­ser un code volon­tai­re­ment com­pro­mis. Si une exten­sion ou un thème contient une porte déro­bée, le ser­veur ne peut pas tou­jours la détec­ter immé­dia­te­ment. La sécu­ri­té Word­Press de ses exten­sions et des thème repose donc sur une res­pon­sa­bi­li­té par­ta­gée : l’hébergeur four­nit un envi­ron­ne­ment sain, mais le pro­prié­taire du site doit veiller à ce qu’il n’y ins­talle que du code fiable.

Mettre à jour régulièrement pour rester protégé

Uti­li­ser des sources offi­cielles n’est qu’une pre­mière étape. La sécu­ri­té passe aus­si par la main­te­nance et donc les mises à jour. Les failles de sécu­ri­té sont sou­vent ren­dues publiques après leur cor­rec­tion. Un site qui n’est pas à jour devient alors une cible facile.
Mettre à jour Word­Press, ses exten­sions et ses thèmes per­met de béné­fi­cier des cor­rec­tifs récents et d’éviter l’exploitation de vul­né­ra­bi­li­tés connues. Dans une logique de sécu­ri­té Word­Press, les mises à jour ne doivent pas être per­çues comme une contrainte, mais comme une pro­tec­tion active.

Supprimer ce qui n’est plus utilisé

Une exten­sion désac­ti­vée, mais tou­jours pré­sente sur le site, reste un fichier acces­sible sur le ser­veur. Si elle contient une faille, celle-ci peut être exploi­tée même si elle n’est pas active. Sup­pri­mer les exten­sions et thèmes inuti­li­sés est une bonne pra­tique simple, sou­vent négli­gée, mais essen­tielle pour ren­for­cer la sécu­ri­té Word­Press. De plus, on a sou­vent ten­dance à ne pas les mettre à jour quand elles sont désactivées.

Contrai­re­ment à cer­taines idées reçues, sécu­ri­ser Word­Press ne signi­fie pas ins­tal­ler une mul­ti­tude d’extensions de sécu­ri­té. Cela signi­fie avant tout faire des choix réflé­chis. Uti­li­ser des exten­sions et des thèmes pro­ve­nant de sources offi­cielles, main­te­nir le site à jour et s’appuyer sur un héber­ge­ment fiable consti­tuent les fon­da­tions d’un site sain.

La sécu­ri­té Word­Press n’est pas une option réser­vée aux sites à fort tra­fic ou aux bou­tiques en ligne. Elle concerne tous les sites, du blog per­son­nel au site pro­fes­sion­nel. En res­pec­tant ces prin­cipes, on réduit consi­dé­ra­ble­ment les risques et on s’assure que Word­Press reste ce qu’il doit être : un outil puis­sant, fiable et durable.

Mon­tage de l’i­mage à la Une, réa­li­sé avec la pho­to de Phi­lipp Kat­zen­ber­ger sur Unsplash