Vous appliquez les mises à jour dès que la pastille rouge apparaît, un plugin de sécurité tourne quelque part dans l’administration, et la question reste entière : est-ce que ça suffit ? La réponse dépend de ce que couvre WordPress lui-même et de ce qui reste, par construction, sur vos épaules.
À lire aussi : Faille plugin migration WordPress : sauvegarde piégée, 3 millions de sites menacés
WordPress a annoncé un programme de sécurité proactif consacré à son cœur, dans un contexte où les signalements de failles produits avec l’aide de l’intelligence artificielle atteignent des niveaux jamais vus. C’est une nouvelle plutôt rassurante, mais elle change peu de choses au quotidien d’un site d’artisan ou de TPE si l’on ne comprend pas son périmètre.
Je détaille ici ce que ce programme vise, pourquoi il arrive maintenant, et les trois chantiers concrets qui restent côté site : réduire la surface d’attaque, surveiller, pouvoir revenir en arrière.
À retenir
- Le programme porte sur le cœur de WordPress, pas sur vos thèmes ni vos extensions.
- Les signalements de failles assistés par IA atteignent un volume record.
- Votre risque principal reste les extensions abandonnées et les comptes mal protégés.
- Une sauvegarde hors site testée vaut mieux que trois plugins de sécurité empilés.
- Choisissez un seul plugin de sécurité, puis réglez-le vraiment.
Ce que WordPress a annoncé
WordPress a lancé une initiative de sécurité centrée sur son cœur. Le cœur, c’est l’ensemble des fichiers livrés par le projet WordPress lui-même : le moteur, l’administration, les fonctions de base. Ce n’est ni votre thème, ni les extensions que vous avez installées, ni votre hébergement.
Le mot « proactif » désigne le changement d’approche. Le fonctionnement historique est réactif : quelqu’un découvre une faille (un défaut de code qui permet à un tiers d’obtenir un accès ou un comportement non prévu), la signale, une équipe corrige, une version de correction sort. Un programme proactif consiste à aller chercher les défauts avant qu’ils ne soient signalés de l’extérieur, et surtout avant qu’ils ne soient exploités.
Pour vous, propriétaire d’un site, la traduction immédiate est simple : les versions de maintenance du cœur restent le canal par lequel ces corrections arrivent. Un site qui reçoit ses mises à jour bénéficie du programme sans rien faire. Un site figé sur une version ancienne n’en profite pas du tout.
Laissez les mises à jour automatiques de sécurité du cœur activées : c’est le seul canal par lequel un travail fait en amont finit par atterrir sur votre site.
Pourquoi ce programme arrive maintenant
Le contexte annoncé est explicite : les rapports de vulnérabilités liés à l’intelligence artificielle ont atteint des niveaux record. Un rapport de vulnérabilité, c’est un signalement envoyé à l’équipe qui maintient un logiciel pour décrire une faille et la façon de la déclencher.
Un volume record veut dire deux choses en même temps, et elles tirent dans des directions opposées. D’un côté, des failles réelles remontent plus vite qu’avant, parce que l’analyse automatisée de code ne se fatigue pas et ne se limite pas aux fichiers populaires. De l’autre, une part de ces signalements est du bruit : des rapports générés en série, mal qualifiés, qui consomment le temps des équipes bénévoles chargées de les trier. Un programme proactif répond aussi à cette saturation, en organisant la recherche de défauts plutôt qu’en subissant la file d’attente.
Le même outillage existe de l’autre côté. Ce qui accélère la détection défensive accélère aussi la recherche de cibles, et l’écart entre la publication d’un correctif et les premières tentatives d’exploitation se resserre. J’ai détaillé cette mécanique dans WordPress et IA : les nouveaux risques de sécurité à surveiller, et j’ai comparé ce que donne un scan assisté par IA face à une relecture humaine dans IA pour scanner les failles de sécurité WordPress.
Conséquence pratique : le délai acceptable entre la sortie d’un correctif et son application sur votre site se compte désormais en jours, pas en trimestres.
Le cœur n’est pas là où votre site casse
C’est le point que je répète le plus souvent en intervention. Le cœur de WordPress est la partie la plus relue, la plus testée et, maintenant, la plus activement auditée de votre installation. Ce n’est presque jamais par là qu’un site de TPE tombe.
Sur les sites que je reprends, les portes d’entrée sont ailleurs :
- Une extension installée pour un besoin ponctuel, oubliée active, et plus mise à jour par son auteur depuis longtemps.
- Un thème acheté sur une place de marché, personnalisé à la main, donc jamais mis à jour de peur de perdre les modifications.
- Un compte administrateur partagé entre plusieurs personnes, avec un mot de passe réutilisé ailleurs.
- Un hébergement mutualisé dont la version de PHP n’a pas bougé depuis la mise en ligne du site.
- Des accès FTP restés ouverts après le passage d’un prestataire.
Aucun de ces cinq points n’est traité par un programme de sécurité sur le cœur. Ils relèvent tous de la maintenance, c’est-à-dire d’un geste régulier et ennuyeux plutôt que d’un outil.
Une extension sans mise à jour depuis plus d’un an et toujours active est un risque assumé : désinstallez-la ou remplacez-la, désactiver ne suffit pas car les fichiers restent sur le serveur.
Les trois chantiers proactifs à votre échelle
Être proactif sur son propre site ne demande pas d’expertise en code. Cela demande de traiter trois sujets dans l’ordre, une fois, puis de les revoir à date fixe.
Réduire la surface d’attaque
La surface d’attaque, c’est la somme de tout ce qui peut être visé : chaque extension, chaque thème installé, chaque compte utilisateur, chaque point d’entrée ouvert. Moins il y en a, moins il y a de choses à surveiller.
- Listez vos extensions actives et supprimez celles dont vous ne savez plus à quoi elles servent.
- Supprimez les thèmes inactifs, en gardant uniquement le thème utilisé et un thème par défaut de secours.
- Repassez chaque compte utilisateur au rôle minimum nécessaire : un rédacteur n’a pas besoin du rôle administrateur.
- Activez l’authentification à deux facteurs sur les comptes administrateurs, c’est-à-dire un code à usage unique en plus du mot de passe.
Surveiller sans se noyer
Surveiller, ce n’est pas recevoir cinquante alertes par semaine. C’est savoir, le jour même, qu’un fichier du cœur a été modifié, qu’une connexion administrateur a réussi depuis un pays où vous ne travaillez pas, ou qu’une extension installée chez vous vient de publier un correctif de sécurité. Un plugin de sécurité correctement réglé couvre ces trois signaux. Trois plugins mal réglés couvrent surtout votre boîte mail.
Pouvoir revenir en arrière
C’est le chantier le moins gratifiant et le plus décisif. Une sauvegarde utile est stockée ailleurs que sur le serveur du site, elle comprend les fichiers et la base de données, elle est datée, et elle a déjà été restaurée au moins une fois pour vérifier qu’elle fonctionne. Une sauvegarde jamais testée est une hypothèse, pas une garantie. C’est la différence entre deux heures d’indisponibilité et la reconstruction complète d’un site.
Un seul plugin de sécurité, choisi puis réglé
L’écosystème WordPress propose des outils installés de longue date : Wordfence, Shield, SecuPress, BulletProof Security, entre autres. Ils couvrent globalement les mêmes fonctions de base, avec des priorités différentes : filtrage des requêtes, surveillance des fichiers, limitation des tentatives de connexion, durcissement de la configuration.
À lire aussi : WordPress 7.2 : la bêta et la date de sortie sont déjà calées
Le piège classique n’est pas le mauvais choix, c’est l’empilement. Deux plugins qui filtrent les connexions se contredisent, ralentissent l’administration et produisent des blocages que personne ne sait expliquer six mois plus tard. Retenez un outil, prenez trente minutes pour parcourir ses réglages, notez ce que vous avez activé, et n’en installez pas de second. J’ai détaillé les critères de départage dans mon comparatif des plugins de sécurité WordPress à l’épreuve.
Gardez aussi en tête qu’un plugin de sécurité ne compense ni un hébergement sur une version de PHP obsolète, ni une extension abandonnée, ni un mot de passe partagé. Il signale, il ralentit, il journalise. Il ne répare pas une décision de maintenance qui n’a pas été prise.
Par où commencer cette semaine
Le programme de sécurité proactif de WordPress travaille sur une partie de votre site que vous ne gérez pas. Profitez-en pour traiter celle que vous gérez, en trois passages :
- Vérifiez que les mises à jour de sécurité automatiques du cœur sont bien actives.
- Faites l’inventaire des extensions et des thèmes, puis supprimez tout ce qui ne sert plus.
- Déclenchez une sauvegarde complète, téléchargez-la ailleurs, et restaurez-la sur un site de test.
Si ces trois points vous prennent plus d’une soirée ou révèlent des incohérences que vous ne savez pas trancher, un audit WordPress donne l’état réel de l’installation, extension par extension, avec l’ordre de priorité des corrections. C’est le travail que je fais avant toute reprise de maintenance.
À lire aussi : WordPress 7.1.1 : la mise à jour de maintenance arrive le 17 septembre
FAQ
Dois-je installer quelque chose de particulier suite à cette annonce ?
Non. Le programme concerne le développement du cœur de WordPress, pas un module à ajouter. Le seul prérequis pour en bénéficier est de recevoir et d’appliquer les mises à jour du cœur. Si votre site est resté sur une version ancienne, la priorité est de le remettre à jour, pas d’installer un outil supplémentaire.
Faut-il activer les mises à jour automatiques des extensions aussi ?
Pour les extensions simples et largement utilisées, oui, avec une sauvegarde automatique quotidienne en filet. Pour une extension centrale, comme une boutique ou un constructeur de pages, je préfère une mise à jour manuelle après vérification sur un site de test. Le risque n’est pas la sécurité, c’est la page qui casse un vendredi soir.
Un plugin de sécurité gratuit est-il suffisant ?
Pour un site vitrine, une version gratuite bien réglée couvre l’essentiel : surveillance des fichiers, limitation des connexions, journal des accès. Les versions payantes apportent surtout des règles de filtrage mises à jour plus vite et un support. Le facteur décisif reste le réglage et la relecture des alertes, pas la licence.
Comment savoir si mon site est déjà compromis ?
Les signaux fréquents : des pages inconnues indexées dans les résultats de recherche, des redirections vers des sites tiers depuis mobile uniquement, un compte administrateur que vous n’avez pas créé, une hausse inexpliquée du temps de réponse. Une vérification d’intégrité des fichiers du cœur, proposée par la plupart des plugins de sécurité, donne une première réponse en quelques minutes.
Un petit site sans boutique intéresse-t-il vraiment les attaquants ?
Oui, parce que la cible n’est pas votre chiffre d’affaires mais votre serveur et votre réputation de domaine. Un site compromis sert à héberger des pages de spam, à envoyer des courriels ou à relayer des attaques. Les tentatives sont automatisées et ne font aucun tri : elles scannent des adresses, pas des entreprises.
