La plupart des sites WordPress piratés ne l'ont pas été à cause de WordPress, mais à cause de la façon dont ils sont hébergés. Un plugin de sécurité ne compense pas un serveur mal configuré.

Ces 11 questions vous permettent de vérifier en dix minutes si votre site est vraiment protégé. Posez-les à votre hébergeur ou à votre agence : les réponses en diront long.

Comment utiliser cette checklist

Pour chaque question, vous trouverez pourquoi elle compte et la réponse que vous devriez obtenir. Comptez une bonne réponse par question, puis reportez-vous au score en fin de page.

Pas le temps de faire le tour ? Envoyez-moi l'adresse de votre site : je vous dis en 15 minutes, gratuitement, quels points me semblent prioritaires.

Isolation et fichiers

1. Mon site est-il isolé des autres sites hébergés ?

Pourquoi c'est important : sur un hébergement mutualisé, un site voisin piraté peut servir de porte d'entrée vers le vôtre.

La bonne réponse : « Votre site a sa propre machine virtuelle », ou au minimum « son propre processus PHP, sous un utilisateur système dédié ».

2. Si quelqu'un exploite une faille, peut-il modifier les fichiers du site ?

Pourquoi c'est important : la plupart des attaques consistent à déposer un fichier malveillant ou à modifier le code d'un thème ou d'un plugin.

La bonne réponse : « Non. Les fichiers de WordPress sont en lecture seule ; seuls les médias et le cache sont modifiables. »

3. Un fichier PHP déposé dans les médias peut-il s'exécuter ?

Pourquoi c'est important : le dossier des médias est le seul où WordPress peut écrire. C'est donc là qu'un attaquant tentera de déposer son code.

La bonne réponse : « Non, l'exécution de PHP y est bloquée au niveau du serveur. »

Plugins et mises à jour

4. Qui décide des plugins installés, et sont-ils vérifiés ?

Pourquoi c'est important : l'immense majorité des failles WordPress se trouve dans les plugins et les thèmes, pas dans WordPress lui-même.

La bonne réponse : « Chaque nouveau plugin est vérifié avant installation : maintenance, historique de sécurité, éditeur. Réponse sous 2 heures. »

5. À quelle fréquence le site est-il mis à jour ?

Pourquoi c'est important : dès qu'une faille est publiée, des robots scannent Internet pour l'exploiter. Chaque jour sans mise à jour est un jour d'exposition.

La bonne réponse : « Tous les jours, automatiquement. »

6. Que se passe-t-il si une mise à jour casse le site ?

Pourquoi c'est important : c'est la raison pour laquelle beaucoup de sites ne sont jamais mis à jour. La peur de casser est légitime, mais elle a une solution.

La bonne réponse : « Un instantané du serveur est pris avant chaque mise à jour. Si le site ne répond plus correctement, il revient automatiquement à l'état précédent et nous sommes alertés. »

Réseau et accès

7. L'accès à l'administration est-il protégé ?

Pourquoi c'est important : un mot de passe volé ou deviné suffit à prendre le contrôle complet d'un site.

La bonne réponse : « La double authentification est obligatoire pour les administrateurs, et les tentatives de connexion répétées sont bloquées. »

8. Ma base de données est-elle séparée de celle des autres sites ?

Pourquoi c'est important : vos données clients, commandes et comptes utilisateurs vivent dans la base de données. Elle ne doit être accessible qu'à votre site.

La bonne réponse : « Chaque site a sa propre base et son propre utilisateur, avec des droits limités, et la base n'est pas accessible depuis Internet. »

Détection et sauvegardes

9. Comment saurez-vous que mon site a été piraté ?

Pourquoi c'est important : un piratage découvert par vos clients ou par Google, qui affiche alors un avertissement, coûte bien plus cher qu'un piratage détecté en quelques heures.

La bonne réponse : « Les fichiers sont comparés chaque jour à leur version officielle, et nous sommes alertés quand un plugin installé a une faille connue. »

10. Où sont mes sauvegardes, et un attaquant peut-il les supprimer ?

Pourquoi c'est important : une sauvegarde stockée sur le même serveur disparaît avec lui. Et un rançongiciel commence souvent par effacer les sauvegardes accessibles.

La bonne réponse : « Elles sont stockées dans un autre centre de données, et le serveur qui héberge votre site n'a pas le droit de les supprimer. »

11. Quand avez-vous testé une restauration pour la dernière fois ?

Pourquoi c'est important : une sauvegarde jamais restaurée est une hypothèse, pas une garantie.

La bonne réponse : une date récente, et une durée de restauration chiffrée.

Votre score

Bonnes réponses

Ce que cela signifie

9 à 11

Votre site est entre de bonnes mains. Gardez cette checklist pour vérifier que rien ne se dégrade avec le temps.

5 à 7

Les bases sont là, mais certaines protections manquent. Une faille dans un plugin peut encore suffire à compromettre le site.

0 à 4

Votre site repose surtout sur la chance. S'il porte des données clients ou du chiffre d'affaires, c'est le moment d'agir.

Une réponse floue ou un « je vais vérifier » compte comme un non : une bonne protection se décrit simplement.

Vous voulez une réponse claire pour votre site ?

C'est exactement ce que je fais pour mes clients : un hébergement WordPress conçu pour répondre « oui » aux 11 questions.

Audit gratuit de 15 minutes : envoyez-moi l'adresse de votre site, je vous dis ce qui me semble prioritaire. Demander un audit