[{"data":1,"prerenderedAt":495},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fsecuriser-site-wordpress-entreprise":45,"post-alt-\u002Fblogue\u002Fsecuriser-site-wordpress-entreprise":471,"post-rel-\u002Fblogue\u002Fsecuriser-site-wordpress-entreprise":473},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":419,"date":420,"description":421,"extension":422,"faq":423,"keyword":436,"meta":437,"minutes":27,"navigation":120,"path":438,"rawbody":439,"seo":440,"sources":441,"stem":463,"tags":464,"translationKey":465,"updated":469,"__hash__":470},"blog_fr\u002Fblogue\u002Fsecuriser-site-wordpress-entreprise.md","Sécuriser le site WordPress de l'entreprise : la checklist",{"type":49,"value":50,"toc":409},"minimark",[51,55,58,61,82,87,90,93,96,100,103,109,145,150,181,186,217,222,239,243,246,249,252,272,281,285,288,296,322,326,330,333,336,339,355,363,367,370,373,376,379,383,386,394,406],[52,53,54],"p",{},"Un fabricant d'armoires de cuisine de Drummondville a fait bâtir son site WordPress en 2019. Depuis, personne n'y a touché : 23 extensions, dont sept désactivées, un compte « admin » partagé avec l'ancienne agence et un formulaire de soumission qui recueille noms et numéros de téléphone.",[52,56,57],{},"Un lundi matin, un client appelle : le site le redirige vers une boutique de faux médicaments. Et le formulaire envoyait depuis des semaines une copie des demandes à une adresse inconnue.",[52,59,60],{},"L'histoire est fictive, mais chacune de ses causes est banale. La documentation officielle de WordPress et le Centre canadien pour la cybersécurité décrivent des mesures simples, à la portée d'une PME.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Les extensions et les thèmes sont ce qu'il faut surveiller de plus près : selon le Centre canadien pour la cybersécurité, plus vous en avez, plus votre surface d'attaque est grande. Supprimez ceux qui ne servent pas.",[70,74,75],{},"Depuis WordPress 5.5, les mises à jour automatiques s'activent extension par extension et thème par thème : activez-les, avec des sauvegardes testées comme filet.",[70,77,78],{},"WordPress n'inclut pas d'authentification à deux facteurs : ajoutez-la pour chaque administrateur.",[70,80,81],{},"Un pare-feu applicatif Web (WAF) bloque une partie des attaques et vous fait gagner du temps quand un correctif tarde.",[83,84,86],"h2",{"id":85},"pourquoi-les-sites-wordpress-dentreprise-se-font-pirater","Pourquoi les sites WordPress d'entreprise se font pirater",[52,88,89],{},"Un site WordPress est rarement visé personnellement : des robots balaient Internet à la recherche d'extensions vulnérables, de mots de passe faibles et de pages de connexion mal protégées, et votre site passe dans le lot.",[52,91,92],{},"Dans son guide ITSM.60.005, le Centre canadien pour la cybersécurité le résume ainsi : plus vous avez de modules d'extension, plus votre surface d'attaque est grande, surtout s'ils ne sont pas officiels. Et selon WordPress, les anciennes versions ne reçoivent plus de mises à jour de sécurité.",[52,94,95],{},"Votre site n'est pas qu'une vitrine : s'il recueille des renseignements personnels (formulaires, infolettre, boutique), une compromission peut constituer un incident de confidentialité au sens de la Loi 25 (art. 3.6).",[83,97,99],{"id":98},"la-checklist-de-sécurité-wordpress","La checklist de sécurité WordPress",[52,101,102],{},"Voici 14 vérifications tirées du guide de durcissement de WordPress (« Hardening WordPress ») et du guide ITSM.60.005 du Centre.",[52,104,105],{},[106,107,108],"strong",{},"Mises à jour",[67,110,113,124,131,138],{"className":111},[112],"contains-task-list",[70,114,117,123],{"className":115},[116],"task-list-item",[118,119],"input",{"disabled":120,"type":121,"aria-label":122},true,"checkbox","Le noyau de WordPress est à la dernière version."," Le noyau de WordPress est à la dernière version.",[70,125,127,130],{"className":126},[116],[118,128],{"disabled":120,"type":121,"aria-label":129},"Les mises à jour automatiques sont activées pour les extensions et les thèmes, ou une personne nommée les applique chaque semaine."," Les mises à jour automatiques sont activées pour les extensions et les thèmes, ou une personne nommée les applique chaque semaine.",[70,132,134,137],{"className":133},[116],[118,135],{"disabled":120,"type":121,"aria-label":136},"Les extensions et thèmes inutilisés sont supprimés, pas seulement désactivés."," Les extensions et thèmes inutilisés sont supprimés, pas seulement désactivés.",[70,139,141,144],{"className":140},[116],[118,142],{"disabled":120,"type":121,"aria-label":143},"L'hébergeur utilise une version de PHP encore prise en charge."," L'hébergeur utilise une version de PHP encore prise en charge.",[52,146,147],{},[106,148,149],{},"Comptes",[67,151,153,160,167,174],{"className":152},[112],[70,154,156,159],{"className":155},[116],[118,157],{"disabled":120,"type":121,"aria-label":158},"Chaque personne a son propre compte ; aucun compte « admin » ni compte partagé."," Chaque personne a son propre compte ; aucun compte « admin » ni compte partagé.",[70,161,163,166],{"className":162},[116],[118,164],{"disabled":120,"type":121,"aria-label":165},"Deux ou trois administrateurs au maximum ; les autres ont le rôle Éditeur ou Auteur."," Deux ou trois administrateurs au maximum ; les autres ont le rôle Éditeur ou Auteur.",[70,168,170,173],{"className":169},[116],[118,171],{"disabled":120,"type":121,"aria-label":172},"L'authentification à deux facteurs est obligatoire pour tous les administrateurs."," L'authentification à deux facteurs est obligatoire pour tous les administrateurs.",[70,175,177,180],{"className":176},[116],[118,178],{"disabled":120,"type":121,"aria-label":179},"Les accès de l'agence ou du pigiste sont nominatifs et retirés à la fin du mandat."," Les accès de l'agence ou du pigiste sont nominatifs et retirés à la fin du mandat.",[52,182,183],{},[106,184,185],{},"Protection et configuration",[67,187,189,196,203,210],{"className":188},[112],[70,190,192,195],{"className":191},[116],[118,193],{"disabled":120,"type":121,"aria-label":194},"Un pare-feu applicatif Web (WAF) filtre le trafic."," Un pare-feu applicatif Web (WAF) filtre le trafic.",[70,197,199,202],{"className":198},[116],[118,200],{"disabled":120,"type":121,"aria-label":201},"Les tentatives de connexion sont limitées, et xmlrpc.php est désactivé s'il ne sert pas."," Les tentatives de connexion sont limitées, et xmlrpc.php est désactivé s'il ne sert pas.",[70,204,206,209],{"className":205},[116],[118,207],{"disabled":120,"type":121,"aria-label":208},"L'éditeur de fichiers du tableau de bord est désactivé."," L'éditeur de fichiers du tableau de bord est désactivé.",[70,211,213,216],{"className":212},[116],[118,214],{"disabled":120,"type":121,"aria-label":215},"Le site est en HTTPS, et l'hébergeur offre SFTP plutôt que FTP."," Le site est en HTTPS, et l'hébergeur offre SFTP plutôt que FTP.",[52,218,219],{},[106,220,221],{},"Sauvegardes et surveillance",[67,223,225,232],{"className":224},[112],[70,226,228,231],{"className":227},[116],[118,229],{"disabled":120,"type":121,"aria-label":230},"Les sauvegardes sont automatiques, conservées à plusieurs endroits, et une restauration a été testée."," Les sauvegardes sont automatiques, conservées à plusieurs endroits, et une restauration a été testée.",[70,233,235,238],{"className":234},[116],[118,236],{"disabled":120,"type":121,"aria-label":237},"Les journaux et les tentatives de connexion échouées sont surveillés."," Les journaux et les tentatives de connexion échouées sont surveillés.",[83,240,242],{"id":241},"mises-à-jour-fermer-les-failles-connues","Mises à jour : fermer les failles connues",[52,244,245],{},"Activez les mises à jour automatiques des extensions et des thèmes : c'est la façon la plus simple de corriger les failles connues avant qu'un robot ne les trouve.",[52,247,248],{},"Depuis WordPress 5.5, les administrateurs peuvent les activer extension par extension (écran Extensions) et thème par thème (écran Apparence). Selon la documentation de WordPress, elles s'exécutent par défaut deux fois par jour, et le propriétaire reçoit un courriel après chaque tentative, réussie ou non. Pour le noyau, les mises à jour automatiques existent depuis la version 3.7.",[52,250,251],{},"Trois précautions :",[67,253,254,260,266],{},[70,255,256,259],{},[106,257,258],{},"Sauvegardez avant."," La documentation recommande de s'assurer de pouvoir revenir à une version antérieure.",[70,261,262,265],{},[106,263,264],{},"Faites le ménage."," Une extension désactivée reste sur le serveur : supprimez-la. Sur la fiche WordPress.org d'une extension, regardez la date de la dernière mise à jour ; une extension abandonnée ne recevra plus de correctifs.",[70,267,268,271],{},[106,269,270],{},"Vérifiez PHP."," WordPress recommande PHP 8.3 ou plus récent et précise que les anciennes versions, comme PHP 7.4, ont atteint leur fin de vie officielle.",[52,273,274,275,280],{},"Pour une boutique en ligne, testez les mises à jour importantes sur un site de préproduction. Notre article sur la ",[276,277,279],"a",{"href":278},"\u002Fblogue\u002Fpolitique-gestion-correctifs-pme","politique de gestion des correctifs"," propose des délais selon la gravité des failles.",[83,282,284],{"id":283},"comptes-et-connexion-2fa-rôles-et-page-de-connexion","Comptes et connexion : 2FA, rôles et page de connexion",[52,286,287],{},"WordPress n'intègre pas d'authentification à deux facteurs : sa documentation officielle recommande de l'ajouter pour tous les administrateurs et autres utilisateurs privilégiés, au moyen d'une extension réputée ou de votre fournisseur d'identité.",[52,289,290,291,295],{},"Le Centre canadien pour la cybersécurité recommande fortement l'authentification multifacteur pour tous les types de comptes, et WordPress mentionne les ",[276,292,294],{"href":293},"\u002Fblogue\u002Fcles-acces-passkeys-entreprise","clés d'accès (passkeys)",", qui résistent à l'hameçonnage. Ensuite :",[67,297,298,304,310,316],{},[70,299,300,303],{},[106,301,302],{},"Pas de nom d'utilisateur « admin »."," La documentation de WordPress le déconseille : créez un compte administrateur nominatif, puis rétrogradez ou supprimez l'ancien.",[70,305,306,309],{},[106,307,308],{},"Peu d'administrateurs."," Pour publier des nouvelles, le rôle Éditeur suffit.",[70,311,312,315],{},[106,313,314],{},"Limitez les tentatives de connexion."," WordPress recommande de le faire de préférence en amont (WAF ou réseau de diffusion de contenu) ou au niveau du serveur. Changer l'adresse de la page de connexion réduit le bruit, mais ne doit pas être votre seule défense.",[70,317,318,321],{},[106,319,320],{},"Fermez XML-RPC si vous ne l'utilisez pas."," Selon la même documentation, xmlrpc.php est une cible fréquente des attaques par force brute.",[323,324],"cta",{"variant":325},"audit",[83,327,329],{"id":328},"pare-feu-applicatif-hébergement-et-configuration","Pare-feu applicatif, hébergement et configuration",[52,331,332],{},"Un pare-feu applicatif Web (WAF) se place entre votre site et Internet pour filtrer les requêtes malveillantes ; le Centre canadien pour la cybersécurité recommande d'en installer un et précise qu'il peut servir de mesure temporaire en attendant un correctif.",[52,334,335],{},"Il peut s'agir d'un service infonuagique placé devant le site (mandataire inverse), du WAF de l'hébergeur ou d'une extension de sécurité. Les deux premiers bloquent le trafic avant qu'il n'atteigne votre serveur, ce que WordPress privilégie contre les attaques de connexion massives. Demandez d'abord à votre hébergeur ce qui est déjà inclus.",[52,337,338],{},"Côté configuration, le guide de durcissement de WordPress propose notamment :",[67,340,341,349,352],{},[70,342,343,344,348],{},"d'ajouter ",[345,346,347],"code",{},"define( 'DISALLOW_FILE_EDIT', true );"," dans wp-config.php pour désactiver l'éditeur de fichiers PHP du tableau de bord ;",[70,350,351],{},"de restreindre les permissions : 755 pour les dossiers, 644 pour les fichiers, 400 ou 440 pour wp-config.php ;",[70,353,354],{},"d'utiliser SFTP plutôt que FTP, et HTTPS pour l'administration.",[52,356,357,358,362],{},"Profitez-en pour vérifier les en-têtes de sécurité HTTP de votre site avec notre ",[276,359,361],{"href":360},"\u002Foutils\u002Fverificateur-en-tetes-securite","vérificateur d'en-têtes de sécurité",".",[83,364,366],{"id":365},"sauvegardes-et-surveillance-prévoir-le-pire","Sauvegardes et surveillance : prévoir le pire",[52,368,369],{},"Une sauvegarde n'a de valeur que si vous savez la restaurer : le Centre canadien pour la cybersécurité demande de tester les sauvegardes rigoureusement pour s'assurer qu'elles fonctionnent.",[52,371,372],{},"La documentation de WordPress suggère une sauvegarde hebdomadaire pour un petit site peu actif, quotidienne pour un site très actif, et au moins trois à cinq copies récentes conservées à plusieurs endroits (hébergeur, service infonuagique, ordinateur local). Gardez aussi des copies assez anciennes pour remonter avant une compromission passée inaperçue.",[52,374,375],{},"Le Centre recommande aussi d'analyser les journaux et de surveiller les tentatives de connexion échouées. Concrètement : une alerte pour chaque nouvelle connexion d'administrateur et un coup d'œil mensuel à l'outil Santé du site (menu Outils).",[52,377,378],{},"Si un site qui recueille des renseignements personnels est compromis, consignez l'événement dans votre registre des incidents et évaluez le risque de préjudice sérieux, comme l'exige la Loi 25 ; validez avec votre conseiller juridique.",[83,380,382],{"id":381},"faire-tester-son-site-scan-ou-test-dintrusion","Faire tester son site : scan ou test d'intrusion ?",[52,384,385],{},"Pour un site vitrine sans données sensibles, un scan de vulnérabilités régulier suffit souvent ; dès que le site traite des paiements, des comptes clients ou des renseignements personnels, un test d'intrusion d'application Web devient pertinent.",[52,387,388,389,393],{},"Notre comparatif ",[276,390,392],{"href":391},"\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty","test d'intrusion, scan, bug bounty ou red team"," explique ce que chaque approche trouve. Un test d'intrusion exige une autorisation écrite du propriétaire du système (Code criminel, art. 342.1) ; si votre site est chez un hébergeur, vérifiez aussi ses conditions d'utilisation.",[52,395,396,397,400,401,405],{},"Trop de cases vides ? Notre service de ",[276,398,399],{"href":21},"remédiation et durcissement"," peut faire le ménage avec votre agence Web, et une ",[276,402,404],{"href":403},"\u002Fdiscussion-gratuite","discussion gratuite"," aide à choisir par où commencer.",[323,407],{"variant":408},"devis",{"title":410,"searchDepth":11,"depth":15,"links":411},"",[412,413,414,415,416,417,418],{"id":85,"depth":11,"text":86},{"id":98,"depth":11,"text":99},{"id":241,"depth":11,"text":242},{"id":283,"depth":11,"text":284},{"id":328,"depth":11,"text":329},{"id":365,"depth":11,"text":366},{"id":381,"depth":11,"text":382},"threats","2026-10-24","Extensions à jour, 2FA, pare-feu applicatif, sauvegardes testées : la checklist pour sécuriser le site WordPress de votre PME, selon WordPress et le Centre.","md",[424,427,430,433],{"q":425,"a":426},"Est-ce que WordPress est sécuritaire pour un site d'entreprise ?","Oui, s'il est entretenu. Le noyau de WordPress reçoit des mises à jour de sécurité, mais les anciennes versions n'en reçoivent plus, et chaque extension ajoute du code à surveiller. Un site à jour, avec peu d'extensions, l'authentification à deux facteurs pour les administrateurs, un pare-feu applicatif et des sauvegardes testées est un choix raisonnable pour une PME.",{"q":428,"a":429},"Faut-il activer les mises à jour automatiques des extensions WordPress ?","Dans la plupart des cas, oui. Depuis WordPress 5.5, elles s'activent extension par extension et thème par thème, et WordPress envoie un courriel après chaque tentative. La documentation officielle recommande de s'assurer d'abord de pouvoir revenir à une version antérieure. Pour une boutique en ligne critique, testez les mises à jour majeures sur un site de préproduction.",{"q":431,"a":432},"WordPress a-t-il une authentification à deux facteurs intégrée ?","Non. La documentation officielle indique que le noyau de WordPress n'inclut pas d'authentification à deux facteurs : il faut l'ajouter au moyen d'une extension réputée ou de votre fournisseur d'identité. Rendez-la obligatoire pour tous les administrateurs et les autres comptes privilégiés.",{"q":434,"a":435},"Mon site WordPress a été piraté : que faire en premier ?","Avertissez votre hébergeur et conservez les journaux avant de tout effacer. Changez ensuite les mots de passe des administrateurs et de l'hébergement à partir d'un appareil sain, restaurez une sauvegarde antérieure à la compromission, puis mettez tout à jour. Si le site recueillait des renseignements personnels, évaluez s'il s'agit d'un incident de confidentialité au sens de la Loi 25 et validez avec votre conseiller juridique.","sécuriser site WordPress",{},"\u002Fblogue\u002Fsecuriser-site-wordpress-entreprise","---\ntitle: \"Sécuriser le site WordPress de l'entreprise : la checklist\"\ndescription: \"Extensions à jour, 2FA, pare-feu applicatif, sauvegardes testées : la checklist pour sécuriser le site WordPress de votre PME, selon WordPress et le Centre.\"\ndate: 2026-10-24\ncategory: threats\ntags: [\"wordpress\", \"site web\", \"correctifs\", \"pme\"]\ntranslationKey: wordpress\nkeyword: \"sécuriser site WordPress\"\nfaq:\n  - q: \"Est-ce que WordPress est sécuritaire pour un site d'entreprise ?\"\n    a: \"Oui, s'il est entretenu. Le noyau de WordPress reçoit des mises à jour de sécurité, mais les anciennes versions n'en reçoivent plus, et chaque extension ajoute du code à surveiller. Un site à jour, avec peu d'extensions, l'authentification à deux facteurs pour les administrateurs, un pare-feu applicatif et des sauvegardes testées est un choix raisonnable pour une PME.\"\n  - q: \"Faut-il activer les mises à jour automatiques des extensions WordPress ?\"\n    a: \"Dans la plupart des cas, oui. Depuis WordPress 5.5, elles s'activent extension par extension et thème par thème, et WordPress envoie un courriel après chaque tentative. La documentation officielle recommande de s'assurer d'abord de pouvoir revenir à une version antérieure. Pour une boutique en ligne critique, testez les mises à jour majeures sur un site de préproduction.\"\n  - q: \"WordPress a-t-il une authentification à deux facteurs intégrée ?\"\n    a: \"Non. La documentation officielle indique que le noyau de WordPress n'inclut pas d'authentification à deux facteurs : il faut l'ajouter au moyen d'une extension réputée ou de votre fournisseur d'identité. Rendez-la obligatoire pour tous les administrateurs et les autres comptes privilégiés.\"\n  - q: \"Mon site WordPress a été piraté : que faire en premier ?\"\n    a: \"Avertissez votre hébergeur et conservez les journaux avant de tout effacer. Changez ensuite les mots de passe des administrateurs et de l'hébergement à partir d'un appareil sain, restaurez une sauvegarde antérieure à la compromission, puis mettez tout à jour. Si le site recueillait des renseignements personnels, évaluez s'il s'agit d'un incident de confidentialité au sens de la Loi 25 et validez avec votre conseiller juridique.\"\nsources:\n  - title: \"WordPress Developer Resources : Hardening WordPress\"\n    url: \"https:\u002F\u002Fdeveloper.wordpress.org\u002Fadvanced-administration\u002Fsecurity\u002Fhardening\u002F\"\n  - title: \"WordPress Developer Resources : Brute Force Attacks\"\n    url: \"https:\u002F\u002Fdeveloper.wordpress.org\u002Fadvanced-administration\u002Fsecurity\u002Fbrute-force\u002F\"\n  - title: \"WordPress Developer Resources : Backups\"\n    url: \"https:\u002F\u002Fdeveloper.wordpress.org\u002Fadvanced-administration\u002Fsecurity\u002Fbackup\u002F\"\n  - title: \"WordPress.org : Plugin and themes auto-updates\"\n    url: \"https:\u002F\u002Fwordpress.org\u002Fdocumentation\u002Farticle\u002Fplugins-themes-auto-updates\u002F\"\n  - title: \"WordPress.org : Requirements\"\n    url: \"https:\u002F\u002Fwordpress.org\u002Fabout\u002Frequirements\u002F\"\n  - title: \"Centre canadien pour la cybersécurité : Facteurs à considérer en matière de cybersécurité pour votre site Web (ITSM.60.005)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-considerer-en-matiere-de-cybersecurite-pour-votre-site-web-itsm60005\"\n  - title: \"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n---\n\nUn fabricant d'armoires de cuisine de Drummondville a fait bâtir son site WordPress en 2019. Depuis, personne n'y a touché : 23 extensions, dont sept désactivées, un compte « admin » partagé avec l'ancienne agence et un formulaire de soumission qui recueille noms et numéros de téléphone.\n\nUn lundi matin, un client appelle : le site le redirige vers une boutique de faux médicaments. Et le formulaire envoyait depuis des semaines une copie des demandes à une adresse inconnue.\n\nL'histoire est fictive, mais chacune de ses causes est banale. La documentation officielle de WordPress et le Centre canadien pour la cybersécurité décrivent des mesures simples, à la portée d'une PME.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Les extensions et les thèmes sont ce qu'il faut surveiller de plus près : selon le Centre canadien pour la cybersécurité, plus vous en avez, plus votre surface d'attaque est grande. Supprimez ceux qui ne servent pas.\n- Depuis WordPress 5.5, les mises à jour automatiques s'activent extension par extension et thème par thème : activez-les, avec des sauvegardes testées comme filet.\n- WordPress n'inclut pas d'authentification à deux facteurs : ajoutez-la pour chaque administrateur.\n- Un pare-feu applicatif Web (WAF) bloque une partie des attaques et vous fait gagner du temps quand un correctif tarde.\n::\n\n## Pourquoi les sites WordPress d'entreprise se font pirater\n\nUn site WordPress est rarement visé personnellement : des robots balaient Internet à la recherche d'extensions vulnérables, de mots de passe faibles et de pages de connexion mal protégées, et votre site passe dans le lot.\n\nDans son guide ITSM.60.005, le Centre canadien pour la cybersécurité le résume ainsi : plus vous avez de modules d'extension, plus votre surface d'attaque est grande, surtout s'ils ne sont pas officiels. Et selon WordPress, les anciennes versions ne reçoivent plus de mises à jour de sécurité.\n\nVotre site n'est pas qu'une vitrine : s'il recueille des renseignements personnels (formulaires, infolettre, boutique), une compromission peut constituer un incident de confidentialité au sens de la Loi 25 (art. 3.6).\n\n## La checklist de sécurité WordPress\n\nVoici 14 vérifications tirées du guide de durcissement de WordPress (« Hardening WordPress ») et du guide ITSM.60.005 du Centre.\n\n**Mises à jour**\n\n- [ ] Le noyau de WordPress est à la dernière version.\n- [ ] Les mises à jour automatiques sont activées pour les extensions et les thèmes, ou une personne nommée les applique chaque semaine.\n- [ ] Les extensions et thèmes inutilisés sont supprimés, pas seulement désactivés.\n- [ ] L'hébergeur utilise une version de PHP encore prise en charge.\n\n**Comptes**\n\n- [ ] Chaque personne a son propre compte ; aucun compte « admin » ni compte partagé.\n- [ ] Deux ou trois administrateurs au maximum ; les autres ont le rôle Éditeur ou Auteur.\n- [ ] L'authentification à deux facteurs est obligatoire pour tous les administrateurs.\n- [ ] Les accès de l'agence ou du pigiste sont nominatifs et retirés à la fin du mandat.\n\n**Protection et configuration**\n\n- [ ] Un pare-feu applicatif Web (WAF) filtre le trafic.\n- [ ] Les tentatives de connexion sont limitées, et xmlrpc.php est désactivé s'il ne sert pas.\n- [ ] L'éditeur de fichiers du tableau de bord est désactivé.\n- [ ] Le site est en HTTPS, et l'hébergeur offre SFTP plutôt que FTP.\n\n**Sauvegardes et surveillance**\n\n- [ ] Les sauvegardes sont automatiques, conservées à plusieurs endroits, et une restauration a été testée.\n- [ ] Les journaux et les tentatives de connexion échouées sont surveillés.\n\n## Mises à jour : fermer les failles connues\n\nActivez les mises à jour automatiques des extensions et des thèmes : c'est la façon la plus simple de corriger les failles connues avant qu'un robot ne les trouve.\n\nDepuis WordPress 5.5, les administrateurs peuvent les activer extension par extension (écran Extensions) et thème par thème (écran Apparence). Selon la documentation de WordPress, elles s'exécutent par défaut deux fois par jour, et le propriétaire reçoit un courriel après chaque tentative, réussie ou non. Pour le noyau, les mises à jour automatiques existent depuis la version 3.7.\n\nTrois précautions :\n\n- **Sauvegardez avant.** La documentation recommande de s'assurer de pouvoir revenir à une version antérieure.\n- **Faites le ménage.** Une extension désactivée reste sur le serveur : supprimez-la. Sur la fiche WordPress.org d'une extension, regardez la date de la dernière mise à jour ; une extension abandonnée ne recevra plus de correctifs.\n- **Vérifiez PHP.** WordPress recommande PHP 8.3 ou plus récent et précise que les anciennes versions, comme PHP 7.4, ont atteint leur fin de vie officielle.\n\nPour une boutique en ligne, testez les mises à jour importantes sur un site de préproduction. Notre article sur la [politique de gestion des correctifs](\u002Fblogue\u002Fpolitique-gestion-correctifs-pme) propose des délais selon la gravité des failles.\n\n## Comptes et connexion : 2FA, rôles et page de connexion\n\nWordPress n'intègre pas d'authentification à deux facteurs : sa documentation officielle recommande de l'ajouter pour tous les administrateurs et autres utilisateurs privilégiés, au moyen d'une extension réputée ou de votre fournisseur d'identité.\n\nLe Centre canadien pour la cybersécurité recommande fortement l'authentification multifacteur pour tous les types de comptes, et WordPress mentionne les [clés d'accès (passkeys)](\u002Fblogue\u002Fcles-acces-passkeys-entreprise), qui résistent à l'hameçonnage. Ensuite :\n\n- **Pas de nom d'utilisateur « admin ».** La documentation de WordPress le déconseille : créez un compte administrateur nominatif, puis rétrogradez ou supprimez l'ancien.\n- **Peu d'administrateurs.** Pour publier des nouvelles, le rôle Éditeur suffit.\n- **Limitez les tentatives de connexion.** WordPress recommande de le faire de préférence en amont (WAF ou réseau de diffusion de contenu) ou au niveau du serveur. Changer l'adresse de la page de connexion réduit le bruit, mais ne doit pas être votre seule défense.\n- **Fermez XML-RPC si vous ne l'utilisez pas.** Selon la même documentation, xmlrpc.php est une cible fréquente des attaques par force brute.\n\n::cta{variant=\"audit\"}\n::\n\n## Pare-feu applicatif, hébergement et configuration\n\nUn pare-feu applicatif Web (WAF) se place entre votre site et Internet pour filtrer les requêtes malveillantes ; le Centre canadien pour la cybersécurité recommande d'en installer un et précise qu'il peut servir de mesure temporaire en attendant un correctif.\n\nIl peut s'agir d'un service infonuagique placé devant le site (mandataire inverse), du WAF de l'hébergeur ou d'une extension de sécurité. Les deux premiers bloquent le trafic avant qu'il n'atteigne votre serveur, ce que WordPress privilégie contre les attaques de connexion massives. Demandez d'abord à votre hébergeur ce qui est déjà inclus.\n\nCôté configuration, le guide de durcissement de WordPress propose notamment :\n\n- d'ajouter `define( 'DISALLOW_FILE_EDIT', true );` dans wp-config.php pour désactiver l'éditeur de fichiers PHP du tableau de bord ;\n- de restreindre les permissions : 755 pour les dossiers, 644 pour les fichiers, 400 ou 440 pour wp-config.php ;\n- d'utiliser SFTP plutôt que FTP, et HTTPS pour l'administration.\n\nProfitez-en pour vérifier les en-têtes de sécurité HTTP de votre site avec notre [vérificateur d'en-têtes de sécurité](\u002Foutils\u002Fverificateur-en-tetes-securite).\n\n## Sauvegardes et surveillance : prévoir le pire\n\nUne sauvegarde n'a de valeur que si vous savez la restaurer : le Centre canadien pour la cybersécurité demande de tester les sauvegardes rigoureusement pour s'assurer qu'elles fonctionnent.\n\nLa documentation de WordPress suggère une sauvegarde hebdomadaire pour un petit site peu actif, quotidienne pour un site très actif, et au moins trois à cinq copies récentes conservées à plusieurs endroits (hébergeur, service infonuagique, ordinateur local). Gardez aussi des copies assez anciennes pour remonter avant une compromission passée inaperçue.\n\nLe Centre recommande aussi d'analyser les journaux et de surveiller les tentatives de connexion échouées. Concrètement : une alerte pour chaque nouvelle connexion d'administrateur et un coup d'œil mensuel à l'outil Santé du site (menu Outils).\n\nSi un site qui recueille des renseignements personnels est compromis, consignez l'événement dans votre registre des incidents et évaluez le risque de préjudice sérieux, comme l'exige la Loi 25 ; validez avec votre conseiller juridique.\n\n## Faire tester son site : scan ou test d'intrusion ?\n\nPour un site vitrine sans données sensibles, un scan de vulnérabilités régulier suffit souvent ; dès que le site traite des paiements, des comptes clients ou des renseignements personnels, un test d'intrusion d'application Web devient pertinent.\n\nNotre comparatif [test d'intrusion, scan, bug bounty ou red team](\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty) explique ce que chaque approche trouve. Un test d'intrusion exige une autorisation écrite du propriétaire du système (Code criminel, art. 342.1) ; si votre site est chez un hébergeur, vérifiez aussi ses conditions d'utilisation.\n\nTrop de cases vides ? Notre service de [remédiation et durcissement](\u002Fservices\u002Fremediation-durcissement) peut faire le ménage avec votre agence Web, et une [discussion gratuite](\u002Fdiscussion-gratuite) aide à choisir par où commencer.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":421},[442,445,448,451,454,457,460],{"title":443,"url":444},"WordPress Developer Resources : Hardening WordPress","https:\u002F\u002Fdeveloper.wordpress.org\u002Fadvanced-administration\u002Fsecurity\u002Fhardening\u002F",{"title":446,"url":447},"WordPress Developer Resources : Brute Force Attacks","https:\u002F\u002Fdeveloper.wordpress.org\u002Fadvanced-administration\u002Fsecurity\u002Fbrute-force\u002F",{"title":449,"url":450},"WordPress Developer Resources : Backups","https:\u002F\u002Fdeveloper.wordpress.org\u002Fadvanced-administration\u002Fsecurity\u002Fbackup\u002F",{"title":452,"url":453},"WordPress.org : Plugin and themes auto-updates","https:\u002F\u002Fwordpress.org\u002Fdocumentation\u002Farticle\u002Fplugins-themes-auto-updates\u002F",{"title":455,"url":456},"WordPress.org : Requirements","https:\u002F\u002Fwordpress.org\u002Fabout\u002Frequirements\u002F",{"title":458,"url":459},"Centre canadien pour la cybersécurité : Facteurs à considérer en matière de cybersécurité pour votre site Web (ITSM.60.005)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-considerer-en-matiere-de-cybersecurite-pour-votre-site-web-itsm60005",{"title":461,"url":462},"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1","blogue\u002Fsecuriser-site-wordpress-entreprise",[465,466,467,468],"wordpress","site web","correctifs","pme",null,"q46In9mDn2dBFc6rEisIs-Dx4pd4WQwqDRxxSIkKPZk",{"path":472},"\u002Fen\u002Fblog\u002Fsecure-business-wordpress-site",[474,481,487],{"path":475,"title":476,"description":477,"category":419,"minutes":23,"tags":478},"\u002Fblogue\u002Ffin-support-windows-10-entreprise","Fin du support de Windows 10 : que faire en entreprise en 2026","Windows 10 n'est plus supporté depuis le 14 octobre 2025. Mises à jour ESU, coûts, migration vers Windows 11 : le plan d'action de votre PME en 2026.",[479,467,480,468],"windows","fin de vie",{"path":278,"title":482,"description":483,"category":419,"minutes":27,"tags":484},"Politique de gestion des correctifs : modèle et délais pour PME","Délais par gravité, priorisation des failles exploitées, exceptions et indicateurs : bâtissez une politique de gestion des correctifs réaliste pour votre PME.",[467,485,468,486],"vulnérabilités","mises à jour",{"path":488,"title":489,"description":490,"category":419,"minutes":27,"tags":491},"\u002Fblogue\u002Francongiciel-pme-anatomie-attaque","Attaque par rançongiciel en PME : anatomie, étape par étape","Du mot de passe volé au chiffrement du vendredi : comment se déroule une attaque par rançongiciel dans une PME québécoise, et où la stopper à chaque étape.",[492,468,493,494],"rançongiciel","réponse aux incidents","sauvegardes",1792970122346]