Repère Sécurité Guides Sécurité WordPress
Sécurité WordPress : extensions, thèmes et comptes, ce qu’un audit examine
Un WordPress est assemblé à partir de code écrit ailleurs. C’est ce qui le rend pratique, et c’est ce qui déplace le travail d’un audit vers trois endroits précis : ce que le site charge, qui peut y entrer, et ce qu’il laisse voir.
Un site d’assemblage
Sur un site développé sur mesure, examiner la sécurité revient largement à examiner ce qu’une équipe a écrit. Sur un WordPress, c’est différent : le cœur vient du projet WordPress, le thème d’un auteur, et chaque fonctionnalité d’une extension publiée par quelqu’un d’autre encore.
Un site de PME assemble couramment une vingtaine de composants de provenances différentes. Chacun a son éditeur, son rythme de publication, sa propre histoire de correctifs — et parfois plus personne derrière.
Ce n’est pas un défaut de WordPress : c’est son modèle, et c’est ce qui permet à une petite entreprise d’avoir un site sérieux sans équipe technique. Mais cela déplace la question. L’audit ne demande pas seulement « ce code est-il bien écrit ? » ; il demande d’abord « qu’est-ce qui est réellement en place, et dans quel état ? »
Les extensions et les thèmes
C’est le premier chantier, et généralement le plus fourni. Quatre choses s’y examinent.
Ce qui est installé mais inactif
La documentation de WordPress est directe sur ce point : une extension ou un thème qu’on n’utilise pas doit être supprimé, pas simplement désactivé. Le code reste présent sur le serveur tant qu’il n’est pas retiré.
En pratique, c’est le constat le plus fréquent et le plus simple à corriger. Personne ne supprime jamais rien, par crainte d’en avoir besoin plus tard.
Ce qui n’est plus maintenu
Un composant dont l’éditeur a cessé les publications ne recevra plus de correctif, quelle que soit votre diligence à mettre à jour. Le répertoire officiel de WordPress signale les extensions qui n’ont pas été testées avec les versions récentes ; c’est un indice, pas une preuve, mais il mérite un regard.
Les versions en place
Un audit croise chaque composant et sa version avec les vulnérabilités publiées. C’est un travail méthodique plutôt qu’ingénieux, et c’est précisément celui qu’un propriétaire ne peut pas faire seul : il faut une source à jour et savoir l’interpréter.
Les thèmes, souvent oubliés
Un thème est du code au même titre qu’une extension. Les installations en portent fréquemment plusieurs : celui en usage, celui d’avant, et un thème par défaut. Un thème enfant mal séparé de son parent complique aussi les mises à jour, ce qui finit par les faire reporter.
Les comptes et les accès
Le deuxième chantier ne relève pas de la surface mais de l’identité, et il se traite autrement.
Qui peut entrer
La liste des utilisateurs raconte l’histoire du site : l’agence de la refonte, le pigiste d’un projet, l’ancien employé du marketing. Fermer un compte n’est la responsabilité de personne en particulier, donc ça ne se fait pas.
Un audit s’intéresse aux comptes eux-mêmes, mais aussi à ce que chacun peut faire. Quand tout le monde est administrateur, une erreur de n’importe qui devient une erreur grave.
Comment on entre
Le Centre canadien pour la cybersécurité place l’authentification robuste parmi les quatre premières mesures qu’une PME devrait mettre en œuvre. Sur un WordPress, la double authentification passe par un composant supplémentaire, ce qui a une conséquence à noter : ce composant fait lui aussi partie de la surface, et il s’examine comme les autres.
Ce qui se passe autour
Les accès au site ne sont pas les seuls qui comptent. L’accès à l’hébergement, à la base de données et au registraire du domaine ouvrent des chemins au moins aussi directs, et ils sont encore plus rarement revus.
Ce que le site laisse voir
Le troisième chantier porte sur ce qui répond alors que rien ne l’exigeait : fichiers restés accessibles, répertoires qui se listent, sauvegardes déposées à la racine le temps d’une migration et jamais retirées, informations de version affichées sans nécessité.
Prise isolément, aucune de ces expositions n’est dramatique. Leur intérêt est cumulatif : elles renseignent sur ce qui tourne et sur ses versions, ce qui transforme une recherche en vérification.
S’y ajoutent les en-têtes de sécurité, ces consignes que le serveur envoie au navigateur pour limiter certains abus. Leur absence n’est pas une faille en soi ; c’est une protection qu’on n’a pas activée alors qu’elle est gratuite.
Ce que l’entretien ne couvre pas
À retenir
Tenir un site à jour et examiner ce qu’il expose sont deux travaux distincts. Un site parfaitement entretenu peut porter un compte d’administration oublié, une règle d’accès trop large ou une sauvegarde accessible : aucune mise à jour ne corrige cela, parce que ce n’est pas ce qu’une mise à jour regarde.
L’inverse est vrai aussi. Un audit constate un état à une date ; six mois plus tard, les composants auront bougé. Les deux se complètent, et beaucoup de PME ont besoin des deux.
Chez Repère, ce sont deux services : l’audit relève de Repère Sécurité, l’entretien de Repère Maintenance. Deux mandats, deux livrables, et vous n’êtes jamais obligé de prendre les deux.
Si vous voulez d’abord regarder par vous-même, neuf contrôles se font sans outil ni prestataire.