Bien sécuriser son site WordPress

Dernièrement, j’ai travaillé sur de nombreux sites Web qui présentaient des failles de sécurité, les propriétaires de sites Web me contactent parce que leur site est soit indisponible, soit redirigé vers un site Web frauduleux comme les sites pornographiques ou mal intentionnés.
Mais souvent, je travaille également sur des sites Web lents, les gens m’appellent parce qu’il est devenu difficile de travailler sur leur site Web et leurs visiteurs ont de mauvaises expériences parce que leurs pages se chargent lentement, et cela est également dû à des problèmes de sécurité.

La chose que tous ces sites ont en commun est l’absence ou une très faible sécurité. Et la principale raison à cela est en fait assez simple et surprenante, c’est juste que les webmasters ne savent pas qu’ils doivent mettre un système de sécurité sur leur site web comme ils le font sur les ordinateurs.

Malheureusement, cela peut entraîner des problèmes très coûteux. Lorsque les sites sont attaqués cela peut prendre des semaines voire des mois pour récupérer le contenu et remettre le site en ligne, lorsque cela est possible ! En particulier lorsqu’aucune sauvegarde automatique n’est en place.

Donc, le fait est que si vous n’avez aucune sauvegarde de votre site Web que vous pouvez utiliser pour le restaurer, vous devrez supprimer manuellement le code frauduleux de chaque fichier et comme cela peut signifier des centaines de milliers de fichiers, vous devrez les parcourir un par un. Cela prend énormément du temps, il y a beaucoup de travail à faire et vous pourriez même ne pas aller au fond des choses.
Si vous embauchez quelqu’un pour le faire, cela finira par vous coûter des milliers et des milliers d’euros rien que pour restaurer votre site.

Avoir un site Web sécurisé n’est en fait pas si compliqué, il vous suffit de suivre certains types de règles pour vous assurer qu’il n’y a aucun point d’entrée pour les pirates qui tentent d’accéder à votre site Web.

Voici donc quelques mesures à prendre pour sécuriser votre site Web :

1. Sécurisez votre serveur :

Vous avez ici une grande différence entre les services d’hébergement car certains fournisseurs vont vous laisser faire tout le travail, vous devez savoir ce que vous faites ou vous devez engager un développeur pour faire tout le nécessaire pour sécurisez votre serveur et votre site web (c’est le cas d’OVH par exemple)
D’autres fournisseurs vont vous donner plus d’outils pour vous permettre d’aller plus vite et de faire une partie du travail rapidement. Comme pour le certificat SSL et le WAF (qui bloque les pirates connus)
Avec certains fournisseurs d’hébergement, vous devrez installer vous-même des pare-feu sur vos sites Web dans les journaux d’activation, tandis que d’autres le feront pour vous.
Dernière chose à propos de l’hébergement, et la plus importante (je ne le répéterai jamais trop souvent). Vous devez avoir une option de restauration « en un clic ». Ce qui signifie avoir une sauvegarde automatisée tous les jours et une option pour restaurer une sauvegarde en un seul clic.

2. Sécurisez votre site WordPress

Vous devez savoir que WordPress vous oblige à mettre en place un système de sécurité car les sites WordPress sont sensibles aux attaques. La popularité de WordPress le rend très connu des hackers. Ils connaissent donc les faiblesses et savent ce qu’il faut rechercher dans n’importe quel site Web. Ils parcourent de nombreux sites Web et recherchent des sites présentant des problèmes de sécurité pour les attaquer (il est plus facile de voler de l’argent dans un coffre-fort ouvert !).
Donc, vous devez changer certaines choses pour éviter cela.

Il existe de nombreux plugins pour sécuriser les sites WordPress mais il est impératif de comprendre deux choses :

• Vous devez configurer le plugin parfaitement, ce qui est rarement le cas lorsque ce n’est pas fait par un professionnel
  
• Le plugin ne propose qu’une sécurité passive de votre site. Il est impératif d’avoir une sécurité active si vous souhaitez ne pas avoir de problèmes dans le temps. C’est à dire, entre autre, suivre les attaques et réparer les nouvelles failles, travailler sur un éco-système de site cohérent pour éviter les failles, mettre à jours les plugins pour patcher les failles, se tenir au courant des évolutions en terme de sécurité pour constemment faire évoluer votre système.

La chose la plus importante à faire est de commencer par masquer toutes les informations sur votre site Web, car les robots vérifieront ce que vous n’avez pas mis à jour et ce que vous utilisez sur le site Web pour trouver les points faibles.
Une autre erreur que je vois tout le temps et que vous devez changer tout de suite : n’utilisez pas l’URL wp-admin par défaut pour votre accès au back office, vous devez la changer. Et s’il vous plaît, s’il vous plaît, arrêtez d’utiliser « admin » comme nom d’utilisateur. C’est la première chose que les robots pirates testent.

La dernière chose sur laquelle vous devez travailler est d’interdire automatiquement tous les robots qui parcourent votre site Web en permanence. Il existe de bons robots comme Google qui veulent vous aider avec le référencement, mais beaucoup d’entre eux ne font que naviguer votre site pour obtenir des informations.
Ceci est important pour deux raisons, la première est que ces robots pourraient obtenir des informations afin de trouver une faiblesse sur votre site Web et de l’utiliser. La seconde est que ces robots utilisent les ressources de votre serveur et ralentissent le site Web pour vos utilisateurs réels. cela signifie que vous pouvez réellement augmenter la vitesse du site Web simplement en interdisant les robots indésirables.

Pour ceux qui ne souhaitent pas s’occuper de la partie sécurité de leur site et préfèrent avoir l’esprit tranquille je propose un abonnement de maintenance et sécurité mensuel, avec une option d’intervention en cas de piratage.