Audit de sécurité WordPress
Une revue passive du durcissement d’un site WordPress, pour son propriétaire. Elle lit uniquement les pages publiques et les en-têtes HTTP (rien n’est envoyé, aucune connexion n’est tentée, aucune faille n’est testée) et signale les lacunes de durcissement courantes que recherchent les scanners automatiques, avec une correction claire pour chacune.
- Chargement de la page d’accueil
- Vérification que le site tourne sous WordPress
- Lecture des fichiers publics et de l’index REST
- Vérification des informations de version exposées
- Examen des en-têtes de sécurité
Vous voulez un site WordPress bien durci ?
Cette vérification passive ne voit que ce que le site révèle publiquement. Un audit complet va plus loin, en toute sécurité et avec votre accord, et nous corrigeons ce qu’il trouve.
- Plugins et thèmes comparés aux alertes de sécurité connues
- Durcissement : connexions, permissions des fichiers, accès à l’administration
- En-têtes de sécurité et pare-feu correctement configurés
- Analyse des logiciels malveillants, nettoyage et sauvegardes fiables
- Une surveillance pour être le premier informé des problèmes
La plupart des intrusions WordPress exploitent les bases
Les sites sont rarement pris par des attaques ingénieuses et ciblées. L’immense majorité tombe face à des bots automatiques qui parcourent tout le web à la recherche de la même poignée de faiblesses : un plugin obsolète avec une faille connue, un mot de passe administrateur faible ou réutilisé deviné, un numéro de version qui dit au bot exactement quoi essayer, ou une configuration laissée à sa valeur par défaut non sécurisée.
Cette revue couvre la partie de tout cela qu’un propriétaire peut voir de l’extérieur, sans rien toucher. Elle lit les pages publiques et les en-têtes HTTP que le serveur envoie déjà, et signale où le site en dévoile plus qu’il ne devrait ou laisse une valeur par défaut ouverte. Elle ne tente pas de se connecter, d’envoyer des données, d’accéder à des fichiers privés ni de tester une faille : elle observe seulement, et vous dit quoi resserrer.
1. Exposition
Si la version de WordPress figure dans le balisage ou dans le fichier readme par défaut, et si les dossiers peuvent être parcourus directement.
2. Valeurs par défaut ouvertes
XML-RPC laissé activé, et si la REST API dévoile des noms de comptes : deux cibles favorites des bots automatiques.
3. En-têtes et HTTPS
HTTPS et HSTS, ainsi que les en-têtes de réponse qui protègent contre l’intégration dans un cadre, les astuces sur le type de contenu et les scripts injectés.
Questions et réponses
Est-ce sans risque pour mon site ? Est-ce que cela l’attaque ?
C’est entièrement passif. L’outil lit quelques pages publiques et les en-têtes HTTP que votre serveur envoie déjà à chaque visiteur, et ne modifie rien. Il ne tente pas de se connecter, d’envoyer des formulaires, d’accéder à des fichiers privés ni de tester une faille.
Que vérifie l’audit ?
La sécurité du transport (HTTPS, HSTS), l’exposition d’informations (la version de WordPress dans le balisage ou dans readme.html, le listage du dossier uploads), les valeurs par défaut ouvertes (XML-RPC, et si la REST API liste les noms d’utilisateur) et les principaux en-têtes de sécurité de la réponse.
Dois-je l’utiliser uniquement sur mon propre site ?
Oui. Même si chaque vérification est passive et ne lit que des informations publiques, ces outils sont destinés à auditer des sites qui vous appartiennent ou dont vous êtes responsable. C’est aussi comme cela que vous pouvez agir sur les résultats.
Un bon score signifie-t-il que le site est sûr ?
Non. Cela couvre les bases du durcissement visibles de l’extérieur. La vraie sécurité dépend aussi de mots de passe solides, de plugins à jour, de permissions de fichiers correctes, de sauvegardes fiables et de la configuration du serveur : ce qu’un audit complet examine avec votre accord.
Besoin de plus qu’une vérification d’une page ?
Nous construisons et maintenons des sites web et des sites WordPress depuis 2008. Parlez-nous de votre site : nous reviendrons avec un plan et une estimation honnête.