Check-list sécurité WordPress

Socle, pas un audit. Cette check-list rassemble des bonnes pratiques courantes. Elle ne garantit pas l'absence de faille et ne remplace pas un audit de sécurité mené par un professionnel, en particulier pour un site sensible ou à fort trafic.

Comptes et accès

Utiliser un mot de passe unique et complexe pour chaque compte administrateur
Activer l'authentification à deux facteurs (MFA) si l'hébergeur ou une extension le permet
Limiter le nombre de comptes ayant un rôle administrateur
Appliquer le principe de moindre privilège pour les autres comptes (auteur, contributeur…)
Renommer ou supprimer le compte « admin » par défaut
Supprimer les comptes utilisateurs inactifs ou inutilisés

Mises à jour

Maintenir le cœur de WordPress à jour
Maintenir les thèmes installés à jour
Maintenir les extensions installées à jour
Vérifier régulièrement la version de PHP utilisée par l'hébergement
Tester les mises à jour importantes sur un environnement de test si possible

Extensions et thèmes

Supprimer les extensions inactives ou non utilisées
Supprimer les thèmes non utilisés
Vérifier la réputation et le suivi de mise à jour d'une extension avant installation
Limiter le nombre d'extensions au strict nécessaire
Éviter les extensions et thèmes issus de sources non officielles

Sauvegardes

Mettre en place des sauvegardes régulières du site et de la base de données
Stocker les sauvegardes en dehors du serveur d'hébergement principal
Tester périodiquement la restauration d'une sauvegarde
Adapter la fréquence de sauvegarde à la fréquence de mise à jour du contenu

Hébergement et configuration

Vérifier que le site utilise HTTPS avec un certificat valide
Restreindre l'accès à la page de connexion administrateur (IP, mot de passe supplémentaire…)
Désactiver l'édition de fichiers depuis l'interface d'administration WordPress
Vérifier les permissions des fichiers et dossiers sur le serveur
Activer les protections et sauvegardes proposées par l'hébergeur si disponibles

Surveillance et reprise

Mettre en place une journalisation des connexions et actions sensibles si possible
Surveiller les alertes de sécurité de l'hébergeur ou des extensions installées
Définir un plan de restauration en cas d'incident (qui fait quoi, avec quelle sauvegarde)
Documenter les accès et informations techniques essentielles du site
Revoir périodiquement cette check-list pour l'adapter à l'évolution du site

Notes personnelles (facultatif)

Ces notes restent privées : elles sont enregistrées uniquement dans votre navigateur, sur cet appareil.

Avertissement. Contenu informatif, à adapter à votre situation et à faire vérifier par un professionnel si nécessaire. Cocher l'ensemble de cette check-list constitue un socle de bonnes pratiques, pas une garantie de sécurité absolue.

Check-list : sécurité WordPress

Comptes et accès

Mises à jour

Extensions et thèmes

Sauvegardes

Hébergement et configuration

Surveillance et reprise

Notes personnelles (facultatif)