Pas besoin d’être expert pour diviser votre risque par deux. Ces dix étapes, classées par impact, blindent votre WordPress en un après-midi.
L’essentiel (à faire aujourd’hui)
- Des mots de passe uniques et forts pour l’admin, l’hébergement et la base de données. Utilisez un gestionnaire.
- Activez la 2FA sur tous les comptes administrateurs. C’est le meilleur rapport effort/protection.
- Sauvegardes automatiques — et surtout, testez que vous savez les restaurer.
- Mettez à jour le cœur, les plugins et les thèmes. Supprimez l’inutile : chaque plugin inactif reste une surface d’attaque.
Le niveau supérieur
- Limitez les tentatives de connexion et masquez ou protégez
wp-login.phpcontre la force brute. - Permissions de fichiers correctes (en général 644 pour les fichiers, 755 pour les dossiers) et
wp-config.phphors de portée publique. - Désactivez l’édition de fichiers depuis le tableau de bord (
DISALLOW_FILE_EDIT). - HTTPS sur tout le site et en-têtes de sécurité (CSP, HSTS).
Une vraie défense
- Un WAF et un pare-feu de requêtes qui bloquent injections et envois malveillants avant qu’ils n’atteignent la base.
- Surveillance et analyse forensique qui détectent les changements suspects et vous alertent avant que le problème ne grandisse.
Les quatre premières étapes arrêtent la plupart des attaques automatisées. Les six suivantes vous protègent des sérieuses.
Les deux dernières étapes, en un clic
Les points 9 et 10 sont justement les plus durs à monter à la main. Sentinel les fournit d’origine —WAF, pare-feu de requêtes, scanner forensique, quarantaine et surveillance— et s’installe en moins de cinq minutes. Il blinde la partie difficile sans toucher une ligne de configuration.
