Sécuriser l’accès et surveiller la santé du site

1. La sécurité d’accès : le maillon critique

Des trois piliers de l’entretien d’un site — mettre à jour, sauvegarder, sécuriser — le dernier est celui qui protège les deux autres. On peut tenir un site parfaitement à jour et sauvegardé ; si un intrus devine votre mot de passe et se connecte à votre place, il peut tout modifier, tout effacer, tout détourner. La porte d’entrée du site, c’est la page de connexion — et c’est elle que visent en priorité les attaquants.

Là encore, l’ennemi n’est presque jamais un pirate humain acharné sur votre institut. Ce sont des robots : des programmes automatiques qui parcourent le web en permanence et frappent à la porte de millions de sites, essayant des listes de mots de passe courants à une vitesse folle. Cette technique, appelée attaque par force brute, réussit chaque jour sur d’innombrables sites… simplement parce que leur mot de passe était « azerty123 » ou « admin ». La sécurité d’un petit site vitrine ne relève pas de la haute technologie : elle tient à quelques gestes simples, à la portée de tous.

La bonne nouvelle, c’est qu’une poignée de mesures élémentaires arrête l’immense majorité de ces attaques automatisées. Un mot de passe solide, une double authentification, une limite sur les tentatives de connexion : rien de plus, et votre porte devient infranchissable pour un robot. Cette leçon vous donne, une à une, ces mesures — sans jargon et sans stress.

Notre fil rouge. Nous restons aux côtés de l’Institut Rosalie, à Murol. Sa gérante, Rosalie Andant, gère elle-même son site : elle publie ses actualités, répond aux demandes de rendez-vous. Elle n’a ni service informatique ni budget pour un expert à demeure. Ce qu’il lui faut, ce sont des réflexes simples qu’elle applique une fois et qui la protègent durablement. C’est exactement ce que nous allons mettre en place.

2. Mots de passe forts et double authentification

La première serrure, la plus fondamentale, c’est le mot de passe. Un mot de passe faible, c’est une porte fermée avec un loquet en papier. Un mot de passe fort, c’est un verrou de coffre-fort. La différence tient à trois qualités.

Qu’est-ce qu’un mot de passe fort ?

• Long : au moins 12 à 16 caractères. La longueur est la qualité numéro un ; chaque caractère supplémentaire multiplie le temps qu’un robot mettrait à le deviner.
• Varié : un mélange de majuscules, de minuscules, de chiffres et de symboles.
• Unique : jamais réutilisé d’un service à l’autre. Si un site où vous êtes inscrit est piraté, votre mot de passe réutilisé ouvrirait tous les autres.

Une astuce efficace : la phrase de passe. Quatre mots sans rapport, faciles à retenir mais imprévisibles, forment un mot de passe à la fois long et solide — par exemple « Cabine-Lavande-Sancy-42 ». Bien plus sûr, et plus mémorisable, que « Rosalie2024 ».

Le gestionnaire de mots de passe

Comment retenir des dizaines de mots de passe longs et uniques ? On ne les retient pas : on les confie à un gestionnaire de mots de passe. Ce coffre-fort numérique (Bitwarden, le trousseau de votre navigateur, etc.) génère des mots de passe forts, les mémorise et les remplit à votre place. Vous ne retenez plus qu’un seul mot de passe maître. C’est la solution la plus simple et la plus sûre pour un dirigeant seul.

La double authentification (2FA)

Même le meilleur mot de passe peut fuiter. La double authentification (ou 2FA, pour two-factor authentication) ajoute une seconde serrure : après le mot de passe, le site demande un code temporaire, généré par une application sur votre téléphone (Google Authenticator, Authy…) et valable quelques secondes. Sans votre téléphone, un intrus qui aurait volé votre mot de passe reste bloqué à la porte. Une extension gratuite active la 2FA sur WordPress en quelques minutes.

Le schéma ci-dessous illustre cette double serrure : un intrus peut, à la rigueur, franchir la première (le mot de passe) ; il bute immanquablement sur la seconde (le code du téléphone).

3. Limiter les tentatives de connexion

Par défaut, WordPress laisse essayer un mot de passe autant de fois qu’on le souhaite. C’est exactement ce dont rêve un robot de force brute : il peut tenter des milliers de combinaisons sans jamais être arrêté. La parade est d’une logique imparable : limiter le nombre d’essais. Après trois ou cinq échecs, on bloque temporairement l’adresse qui insiste.

Bloquer les essais répétés

Une extension dédiée (ou le module correspondant d’une extension de sécurité globale) surveille les échecs de connexion. Passé un seuil que vous fixez, elle bloque l’auteur des tentatives pour quelques minutes, puis plusieurs heures s’il persiste. Un robot qui ne peut essayer que cinq mots de passe toutes les quelques heures n’a plus aucune chance : il passe à un autre site. C’est l’une des protections les plus efficaces qui soit, pour un effort quasi nul.

Discrétion : la page de connexion

L’adresse de connexion de WordPress est connue de tous : c’est le site suivi de /wp-admin ou /wp-login.php. Les robots la visent directement. Une mesure complémentaire consiste à renommer cette page (par exemple en /acces-rosalie) grâce à une extension : les robots qui frappent à l’ancienne adresse ne trouvent plus la porte. Ce n’est pas une serrure en soi, mais cela réduit énormément le bruit des attaques.

Mesure	Ce qu’elle bloque	Effort
Limiter les tentatives	La force brute (essais répétés)	Très faible — une extension, un seuil
Renommer la page de connexion	Les robots qui visent /wp-login	Faible — bien noter la nouvelle adresse
Double authentification	L’usage d’un mot de passe volé	Faible — une application sur le téléphone
Supprimer le compte « admin »	La cible n°1 des robots	Faible — créer un autre admin, puis supprimer

4. Les rôles : donner le bon niveau d’accès

La sécurité, ce n’est pas seulement empêcher les intrus d’entrer : c’est aussi limiter ce que chacun peut faire une fois à l’intérieur. WordPress répartit les utilisateurs en rôles, chacun avec ses permissions. Le principe d’or, appelé moindre privilège, tient en une phrase : ne donnez à chacun que les droits strictement nécessaires à sa tâche, pas un de plus.

Pourquoi ? Parce que chaque compte administrateur est une porte de plus vers le contrôle total du site. Si le compte d’un rédacteur occasionnel est administrateur et se fait pirater, c’est tout le site qui tombe. S’il n’est que « rédacteur », les dégâts possibles sont limités à quelques articles. Moins de comptes puissants, moins de risques.

Rôle	Peut faire	À qui l’attribuer
Administrateur	Tout : réglages, extensions, thèmes, utilisateurs, contenu.	Vous seul (et votre prestataire). Le moins de comptes possible.
Éditeur	Gérer et publier tous les contenus (articles, pages), y compris ceux des autres.	Un responsable de contenu de confiance.
Auteur	Écrire et publier ses propres articles.	Un collaborateur régulier du blog.
Contributeur	Rédiger des articles, mais sans les publier (soumis à validation).	Un rédacteur occasionnel ou externe.
Abonné	Seulement consulter et gérer son profil.	Un simple membre inscrit.

Pour l’Institut Rosalie, la configuration idéale est minimaliste : un seul administrateur (Rosalie), et si un jour une stagiaire rédige des articles beauté, elle recevra un rôle d’auteur ou de contributeur — jamais administrateur. Le prestataire qui entretient le site peut avoir son propre compte administrateur, distinct, que l’on peut désactiver entre deux interventions.

5. Le HTTPS et le cadenas

Vous l’avez remarqué : dans la barre d’adresse du navigateur, certaines pages affichent un petit cadenas et une adresse commençant par https://. Ce n’est pas un détail cosmétique : c’est le signe que la connexion entre le visiteur et le site est chiffrée. Tout ce qui circule — un message envoyé via le formulaire, un mot de passe de connexion — voyage à l’abri des regards, illisible pour qui l’intercepterait.

HTTP, HTTPS et le certificat

La différence tient à une lettre : le « S » de HTTPS signifie secure (sécurisé). Techniquement, un certificat SSL installé sur l’hébergement chiffre les échanges. Sans lui, une page reste en HTTP : les navigateurs y affichent « Non sécurisé », ce qui inquiète les visiteurs et pénalise le référencement. Avec lui, le cadenas rassure et Google favorise le site.

Comment l’obtenir

Bonne nouvelle : le certificat est aujourd’hui gratuit et souvent activé en un clic. La plupart des hébergeurs proposent « Let’s Encrypt », un certificat gratuit et renouvelé automatiquement. Il suffit généralement de l’activer depuis le panneau de l’hébergeur, puis de s’assurer, côté WordPress, que l’adresse du site commence bien par https:// (dans Réglages ▸ Général). Une petite extension peut forcer toutes les pages à basculer en HTTPS pour ne laisser aucune page « non sécurisée ».

Le schéma ci-dessous oppose les deux situations : à gauche, un site en HTTP où les données voyagent en clair ; à droite, le même site en HTTPS, où tout est scellé.

6. Installer une extension de sécurité

Plutôt que d’empiler dix petites extensions, on peut confier l’essentiel de la protection à une seule extension de sécurité globale. Les plus connues — Wordfence, Solid Security (ex-iThemes), Sucuri — réunissent en un tableau de bord la plupart des mesures vues jusqu’ici, plus quelques renforts. C’est le couteau suisse de la sécurité WordPress.

Ce qu’une extension de sécurité apporte

• Un pare-feu : il filtre le trafic entrant et bloque les requêtes malveillantes connues, avant même qu’elles n’atteignent le site.
• Une analyse (scan) : elle inspecte régulièrement les fichiers du site à la recherche de code suspect ou modifié, et vous alerte.
• La limitation des connexions et souvent la 2FA, regroupées au même endroit.
• Des alertes par courriel : connexion d’un administrateur, tentative suspecte, fichier modifié.

Bien la configurer sans se compliquer la vie

À l’installation, ces extensions proposent un assistant de démarrage : acceptez les réglages recommandés, activez le pare-feu, planifiez une analyse hebdomadaire et renseignez votre adresse pour les alertes. Inutile d’activer toutes les options avancées : pour un site vitrine, les réglages par défaut couvrent déjà l’essentiel. Le plus important est d’installer l’extension et de lire ses alertes, pas de tout paramétrer.

La maquette ci-dessous montre un tableau de bord de sécurité typique : l’état général du pare-feu, la date de la dernière analyse et le nombre d’attaques bloquées — trois indicateurs à consulter d’un coup d’œil.

7. L’outil « Santé du site »

WordPress intègre, sans aucune extension, un outil de diagnostic précieux et trop souvent ignoré : la Santé du site. On y accède par Outils ▸ Santé du site. Il examine votre installation et vous livre un bilan clair, à la manière d’un contrôle technique automobile : ce qui va, ce qui mérite attention, ce qui est urgent.

Deux onglets, un bilan

L’onglet État affiche une liste de vérifications classées en trois niveaux : les points excellents, les améliorations recommandées (orange) et les problèmes critiques (rouge) à traiter en priorité. L’onglet Informations rassemble, lui, toutes les données techniques de votre site — utile à communiquer à un dépanneur.

Ce qu’il faut regarder

• La version de PHP : si l’outil la signale trop ancienne, demandez à l’hébergeur de la relever.
• Les mises à jour en attente : la Santé du site rappelle les composants non à jour.
• La présence de modules requis et la bonne communication avec les services de WordPress.
• Les sauvegardes et la sécurité, selon les extensions installées.

Un score « bon » ne veut pas dire « parfait » : certaines recommandations sont mineures. L’essentiel est de ne laisser aucun point rouge. La maquette ci-dessous reproduit cet écran de bilan, avec ses pastilles de couleur.

8. Surveiller son site au quotidien

Installer des protections, c’est bien ; savoir qu’elles tiennent, c’est mieux. La surveillance est la sentinelle qui veille pendant que vous travaillez. Elle ne demande, une fois en place, presque aucun effort : ce sont surtout des alertes que l’on reçoit et que l’on lit.

La surveillance de disponibilité (uptime)

Un service de surveillance uptime (UptimeRobot, par exemple, gratuit) vérifie toutes les quelques minutes que votre site répond bien. S’il tombe en panne — piratage, souci d’hébergeur, erreur après mise à jour — vous recevez aussitôt un courriel ou un SMS. Vous êtes ainsi le premier au courant, avant vos clientes, et pouvez réagir sans attendre qu’on vous signale « votre site ne marche plus ».

Le journal des connexions et les alertes

Votre extension de sécurité tient un journal des connexions et des événements : qui s’est connecté, quand, depuis où, quelles tentatives ont été bloquées. Un coup d’œil hebdomadaire suffit à repérer l’anormal (une connexion réussie à 3 h du matin, par exemple). Activez aussi l’alerte de connexion administrateur : à chaque connexion à un compte administrateur, un courriel vous prévient. Si ce n’est pas vous, vous le saurez immédiatement.

La routine de sécurité

La sécurité n’est pas une action ponctuelle mais une habitude. Le mémo ci-dessous rassemble les gestes à mettre en place une fois, puis à contrôler régulièrement. C’est la check-list que Rosalie a suivie pour blinder son site en une matinée.

9. Que faire en cas de piratage

Malgré toutes les précautions, le risque zéro n’existe pas. Savoir réagir vite et dans le bon ordre fait toute la différence entre un incident maîtrisé et une catastrophe. Voici le plan de réaction, calme et méthodique.

1. Confirmer et isoler. Vérifiez qu’il s’agit bien d’un piratage (redirections, contenus étranges, alerte Google). Si possible, passez le site en maintenance pour protéger les visiteurs.
2. Changer tous les mots de passe. Administration WordPress, hébergeur, base de données, comptes de messagerie liés. On coupe l’accès à l’intrus.
3. Restaurer une sauvegarde saine. Reprenez une copie antérieure à l’attaque (leçon 366). C’est la façon la plus sûre de repartir propre.
4. Mettre à jour et analyser. Passez tout à jour (cœur, thème, extensions) et lancez une analyse complète avec l’extension de sécurité pour vérifier qu’il ne reste rien.
5. Comprendre la faille. Identifiez par où l’intrus est entré (extension obsolète, mot de passe faible) et corrigez-la, sous peine de récidive.
6. Demander la levée des alertes. Si Google a marqué le site, demandez un réexamen une fois nettoyé.

🧭 Erreurs fréquentes et dépannage

Les difficultés les plus courantes autour de la sécurité d’accès, avec la bonne réaction à chaque fois.

Symptôme	Cause probable	Solution
Je suis bloqué à ma propre connexion	Trop d’essais, ou page de connexion renommée oubliée.	Attendre la fin du blocage ; désactiver l’extension via l’hébergeur si besoin.
J’ai perdu mon téléphone avec la 2FA	Second facteur inaccessible.	Utiliser les codes de secours notés à l’activation ; sinon, désactiver la 2FA via l’hébergeur.
« Non sécurisé » dans la barre d’adresse	Certificat HTTPS absent ou expiré.	Activer/renouveler le certificat chez l’hébergeur ; forcer le HTTPS.
Google affiche « ce site peut être piraté »	Contenu malveillant détecté.	Nettoyer (restaurer + analyser), puis demander un réexamen à Google.
Beaucoup de tentatives de connexion dans le journal	Attaques de robots (normal).	Rien de grave si elles sont bloquées ; vérifier que la limitation est active.
Un compte administrateur inconnu est apparu	Signe possible d’intrusion.	Appliquer le plan de piratage : mots de passe, restauration, correction.

🧭 Panorama : quelle mesure contre quelle menace

Pour ne rien oublier, il est utile de relier chaque menace courante à la parade qui la neutralise, et d’en connaître la priorité. Ce tableau de synthèse sert de feuille de route : on traite d’abord les priorités hautes, puis on complète.

La menace	La parade	Priorité
Mot de passe deviné (force brute)	Mot de passe fort + limitation des tentatives + 2FA	Haute
Mot de passe volé ailleurs et réutilisé	Mot de passe unique + double authentification	Haute
Faille dans une extension obsolète	Mises à jour régulières (leçon 365) + analyse	Haute
Données interceptées en transit	HTTPS (certificat SSL)	Haute
Compte trop puissant compromis	Moindre privilège (bons rôles, un seul admin)	Moyenne
Intrusion passée inaperçue	Surveillance : alertes, journal, uptime	Moyenne

📋 Cas pratique 3 — Ajouter un collaborateur en toute sécurité

La situation. L’Institut Rosalie se développe : une assistante, Léa, va gérer les demandes de rendez-vous et publier de temps en temps une actualité. Rosalie doit lui donner un accès… sans lui ouvrir les clés du royaume. C’est l’occasion d’appliquer le principe du moindre privilège.

La résolution.

1. Un compte nominatif. Rosalie crée un compte au nom de Léa — jamais un compte partagé — pour savoir qui fait quoi.
2. Le bon rôle. Léa publie des actualités et consulte les demandes : un rôle d’éditeur suffit. Pas d’accès aux réglages, aux extensions ni aux autres comptes.
3. Un mot de passe fort et unique, que Léa change à sa première connexion, rangé dans son propre gestionnaire.
4. La 2FA sur son compte aussi. Chaque accès, même celui de Léa, passe par la double authentification.
5. Prévoir la sortie. Le jour où Léa quittera l’institut, il suffira de supprimer son compte : aucun mot de passe partagé à changer, aucune porte laissée entrouverte.

Le schéma ci-dessous résume ce cycle de vie d’un accès collaborateur, de la création à la sortie propre.

📋 Cas pratique 1 — La matinée sécurité de Rosalie

La situation. Le site de l’Institut Rosalie fonctionne, mais rien n’a jamais été fait côté sécurité : mot de passe faible (« Rosalie2024 »), compte « admin » toujours présent, aucune 2FA, connexions illimitées. Rosalie décide de consacrer une matinée à tout mettre en ordre, une bonne fois pour toutes.

La résolution, dans l’ordre.

1. Sauvegarder d’abord. Réflexe acquis à la leçon 366 : une sauvegarde complète avant toute manipulation.
2. Créer un vrai compte administrateur. Elle crée un compte à son nom, avec une phrase de passe forte rangée dans son gestionnaire, puis supprime le compte « admin ».
3. Activer la 2FA. Elle installe une extension de double authentification et scanne le code avec l’application de son téléphone. Désormais, chaque connexion demande le code temporaire.
4. Installer l’extension de sécurité. Assistant de démarrage, pare-feu activé, limitation des tentatives à cinq essais, analyse hebdomadaire planifiée, alertes par courriel renseignées.
5. Vérifier le HTTPS. Le cadenas est présent : le certificat gratuit était déjà actif. Elle force le HTTPS sur toutes les pages pour être sûre.
6. Contrôler la Santé du site. Un point orange sur la version de PHP : elle écrit à son hébergeur pour la relever. Aucun point rouge.
7. Mettre en place la surveillance. Un service uptime gratuit veille désormais sur la disponibilité du site.

En une matinée, le site est passé d’une porte grande ouverte à une forteresse tranquille. Le contraste avant/après résume la transformation.

📋 Cas pratique 2 — L’alerte de connexion suspecte

La situation. Un soir, Rosalie reçoit un courriel de son extension de sécurité : « Connexion administrateur réussie à 23 h 47 ». Or elle n’était pas devant son ordinateur. Grâce aux mesures en place, elle va limiter les dégâts et refermer la porte en quelques minutes.

La résolution.

1. Ne pas paniquer, agir vite. L’alerte prouve que la surveillance fonctionne : elle a été prévenue immédiatement.
2. Changer son mot de passe sur-le-champ, avec une nouvelle phrase de passe forte, et vérifier que sa 2FA est toujours active (le mot de passe seul ne devrait pas suffire).
3. Inspecter les comptes. Elle vérifie la liste des utilisateurs : aucun compte inconnu n’a été créé. Elle consulte le journal pour comprendre l’origine.
4. Lancer une analyse complète avec l’extension de sécurité : aucun fichier suspect. Par prudence, elle restaure malgré tout une sauvegarde saine de l’avant-veille.
5. Renforcer. Elle renomme sa page de connexion et resserre la limite de tentatives. La porte est de nouveau close, et mieux gardée qu’avant.

🏋️ Exercices

Testez vos réflexes de sécurité. Cherchez la réponse, puis dépliez le corrigé.

Exercice 1 — Le mot de passe. Parmi ces trois mots de passe, lequel est le plus solide, et pourquoi : « Institut63 », « Rosalie2024! », « Cabine-Lavande-Sancy-42 » ?

✅ Voir le corrigé

« Cabine-Lavande-Sancy-42 » : c’est une phrase de passe longue (plus de 20 caractères), variée et imprévisible. Les deux autres sont trop courts et trop devinables (nom + année, mot lié à l’activité). La longueur prime sur la complexité tarabiscotée.

Exercice 2 — La double serrure. Un robot a réussi à voler votre mot de passe. Qu’est-ce qui l’empêche encore de se connecter, et comment ?

✅ Voir le corrigé

La double authentification (2FA) : après le mot de passe, le site réclame un code temporaire généré sur votre téléphone. Sans ce téléphone, le robot est bloqué à la seconde serrure, même avec le bon mot de passe.

Exercice 3 — Le bon rôle. Une stagiaire va rédiger quelques articles conseils, relus avant publication. Quel rôle lui donnez-vous, et lequel surtout pas ?

✅ Voir le corrigé

Un rôle de contributeur (elle rédige, mais la publication est validée) ou d’auteur. Surtout pas administrateur : c’est le principe du moindre privilège. On ne donne que les droits nécessaires à la tâche.

Exercice 4 — Le cadenas manquant. Un visiteur vous signale que son navigateur affiche « Non sécurisé » sur votre site. Que s’est-il probablement passé, et que faites-vous ?

✅ Voir le corrigé

Le certificat HTTPS est absent ou a expiré. Solution : l’activer ou le renouveler chez l’hébergeur (souvent gratuit avec Let’s Encrypt), puis forcer toutes les pages en HTTPS. Le cadenas doit réapparaître.

Exercice 5 — La force brute. Votre journal montre des centaines de tentatives de connexion échouées en une nuit. Faut-il s’inquiéter, et quelle mesure les rend inoffensives ?

✅ Voir le corrigé

C’est une attaque de robots par force brute, très banale. Elle est inoffensive tant que la limitation des tentatives est active (blocage après quelques essais) et que le mot de passe est fort. Vérifiez ces deux points : si c’est le cas, rien à craindre.

Exercice 6 — Le plan de piratage. Vous découvrez un compte administrateur inconnu et des redirections étranges. Citez, dans l’ordre, les trois premières actions.

✅ Voir le corrigé

1) Changer tous les mots de passe (WordPress, hébergeur, base) pour couper l’accès ; 2) restaurer une sauvegarde saine antérieure à l’attaque ; 3) mettre à jour, analyser et corriger la faille d’entrée. Restaurer sans changer les mots de passe ni corriger la faille rouvrirait la porte.

🚀 Aller plus loin

Quelques réflexes de professionnel pour aller au-delà des bases.

• Les codes de secours de la 2FA. À l’activation, notez les codes de récupération et rangez-les dans votre gestionnaire : ils vous sauvent si vous perdez votre téléphone.
• Le principe du moindre privilège, toujours. Passez en revue vos utilisateurs deux fois par an et supprimez les comptes inactifs.
• Les sauvegardes, socle de la sécurité. La meilleure protection contre un piratage reste une sauvegarde saine et récente : sécurité et sauvegarde vont de pair.
• La sobriété des extensions. Chaque extension est une porte potentielle : n’installez que celles dont vous vous servez, et supprimez (pas seulement désactivez) les autres.

Le mémo ci-dessous rassemble les gestes clés de connexion, à garder en tête.

🧩 Adapter à votre activité

• Institut, coiffure, bien-être. Le formulaire de rendez-vous recueille des données personnelles : HTTPS indispensable, et 2FA sur le compte qui gère les demandes.
• Restaurant, artisan. Peu de comptes, un seul administrateur : la configuration la plus simple est aussi la plus sûre. Soignez le mot de passe et la 2FA.
• Boutique en ligne. Enjeu maximal (données de clients, paiements) : extension de sécurité complète, surveillance active, sauvegardes quotidiennes et vigilance sur chaque compte.
• Association, profession libérale. Souvent plusieurs contributeurs : appliquez strictement le moindre privilège et supprimez les comptes des membres partis.

🔑 L’essentiel à retenir

• La menace principale d’un site vitrine, ce sont des robots automatiques — que quelques gestes simples suffisent à bloquer.
• Un mot de passe fort est long, varié et unique ; confiez-le à un gestionnaire.
• La double authentification ajoute une seconde serrure : le code du téléphone.
• Limitez les tentatives de connexion et supprimez le compte « admin » par défaut.
• Appliquez le moindre privilège : le bon rôle pour chacun, un seul administrateur.
• Le HTTPS (cadenas) chiffre les échanges : certificat gratuit, à activer sans faute.
• Une extension de sécurité regroupe pare-feu, analyse et alertes en un tableau de bord.
• L’outil Santé du site signale les points à corriger : aucun point rouge ne doit rester.
• Surveillez : alertes de connexion, journal, service uptime — pour réagir dans l’heure.
• En cas de piratage : mots de passe → restauration saine → correction de la faille, dans cet ordre.

📖 Glossaire

Terme	Définition
Force brute	Attaque essayant automatiquement une multitude de mots de passe jusqu’à trouver le bon.
Mot de passe fort	Long, varié et unique ; difficile à deviner par une machine.
Phrase de passe	Suite de mots sans rapport, longue et mémorisable, formant un mot de passe solide.
Gestionnaire de mots de passe	Coffre-fort numérique qui génère, mémorise et remplit les mots de passe.
Double authentification (2FA)	Second facteur (code temporaire du téléphone) en plus du mot de passe.
Rôle	Niveau de permissions d’un utilisateur (administrateur, éditeur, auteur…).
Moindre privilège	Principe consistant à n’accorder que les droits strictement nécessaires.
HTTPS / SSL	Connexion chiffrée signalée par un cadenas ; repose sur un certificat.
Pare-feu	Filtre qui bloque le trafic malveillant avant qu’il n’atteigne le site.
Analyse (scan)	Inspection régulière des fichiers à la recherche de code suspect.
Santé du site	Outil intégré de WordPress qui diagnostique l’installation.
Uptime	Surveillance de la disponibilité du site, avec alerte en cas de panne.
Certificat Let’s Encrypt	Certificat HTTPS gratuit, renouvelé automatiquement.

❓ Questions fréquentes

Mon petit site vitrine intéresse-t-il vraiment les pirates ?

Oui, mais pas pour ce qu’il contient : pour ce qu’il permet. Un site piraté sert à envoyer du spam, héberger des pages frauduleuses ou relayer des attaques. Les robots ne choisissent pas leurs victimes, ils ciblent les sites vulnérables. La taille n’y change rien.

La double authentification, n’est-ce pas trop compliqué ?

Non. Après l’avoir activée une fois, il suffit d’ouvrir une application sur son téléphone et de recopier un code de six chiffres à la connexion. Quelques secondes, pour un gain de sécurité considérable. C’est le meilleur rapport effort/protection qui soit.

Combien coûte la sécurisation d’un site vitrine ?

L’essentiel est gratuit : mots de passe forts, 2FA, limitation des connexions, HTTPS (Let’s Encrypt), version gratuite d’une extension de sécurité, surveillance uptime gratuite. La sécurité de base ne demande pas de budget, seulement des réflexes.

Faut-il plusieurs extensions de sécurité ?

Non, une seule extension globale suffit et il vaut mieux ne pas les cumuler : deux pare-feux peuvent se gêner. Choisissez-en une reconnue, configurez-la avec l’assistant, et complétez éventuellement par la 2FA si elle n’est pas incluse.

Que faire si je me bloque moi-même à la connexion ?

Attendez la fin du blocage temporaire, ou utilisez les codes de secours de la 2FA. En dernier recours, l’extension responsable peut être désactivée via le gestionnaire de fichiers de l’hébergeur, ce qui rétablit l’accès. D’où l’importance de bien noter ses adresses et codes.

La sécurité remplace-t-elle les sauvegardes ?

Jamais. Les deux se complètent : la sécurité prévient les incidents, la sauvegarde permet d’en guérir. Même le site le mieux protégé doit disposer de sauvegardes récentes et hors site (leçon 366).

Dois-je m’occuper du RGPD en même temps ?

La sécurité en est un pilier : protéger les données personnelles recueillies (formulaire de rendez-vous) fait partie de vos obligations. Le HTTPS, des accès limités et des mots de passe forts sont des mesures de sécurité attendues. Le volet juridique complet dépasse cette leçon, mais ces gestes en posent les fondations.

Num Compagny accompagne les dirigeants et les équipes des TPE-PME dans la sécurisation, la sauvegarde et l’entretien de leur site WordPress, au sein de son Académie et lors de formations sur mesure. Retrouvez l’ensemble de ce parcours sur numcompagny.com.

🏁 Testez vos connaissances

★ Quiz — WordPress au quotidien

4 questions

1. Pour une actualité datée, on crée :

Une page Un article Une extension Un thème

2. Avant toute mise à jour, on vérifie :

La météo Qu’une sauvegarde récente existe Les commentaires Le logo

3. Une bonne sauvegarde est :

Sur le serveur uniquement Automatique, externe et testée Faite une fois par an Dans la corbeille

4. Le rôle adapté à un salarié qui publie des articles :

Administrateur Éditeur Abonné Anonyme

Valider mes réponses