Sécuriser WordPress n’est plus une option pour les PME-ETI : la découverte du serveur pirate WP-SHELLSTORM, qui a implanté des backdoors sur des milliers de sites, rappelle qu’un CMS mal durci devient une porte d’entrée permanente pour un attaquant. Ce tutoriel vous guide pas à pas pour durcir WordPress et détecter une backdoor WordPress avant qu’elle ne serve à exfiltrer vos données ou à héberger du phishing.
Pourquoi sécuriser WordPress est une priorité en PME-ETI
WordPress motorise une majorité des sites vitrines d’entreprise. Cette popularité en fait une cible de choix : un thème obsolète, un plugin abandonné ou un compte administrateur faible suffisent à ouvrir une brèche. Une backdoor WordPress discrète permet à l’attaquant de revenir à volonté, même après la correction de la faille initiale. L’enjeu n’est pas seulement votre site : c’est votre réputation, votre référencement et la confiance de vos clients.
Le mode opératoire type d’une compromission
- Point d’entrée : plugin ou thème vulnérable, identifiants faibles, ou fichier
wp-config.phpexposé. - Persistance : dépôt d’un webshell PHP camouflé dans
wp-content/uploadsou injecté dans un plugin légitime. - Exploitation : envoi de spam, hébergement de pages de phishing, ou pivot vers votre système d’information.
Durcir WordPress : la checklist des fondations
Avant tout outil de sécurité, durcir WordPress commence par l’hygiène de base. Appliquez ces mesures dès aujourd’hui :
- Mises à jour automatiques : activez-les pour le cœur, les thèmes et les plugins. Un site à jour ferme la majorité des vecteurs connus.
- Supprimez l’inutile : désinstallez (pas seulement désactivez) tout thème ou plugin non utilisé. Chaque extension est une surface d’attaque.
- Comptes forts : bannissez le login
admin, imposez des mots de passe longs et activez l’authentification à deux facteurs (2FA) pour chaque administrateur. - Principe du moindre privilège : n’attribuez le rôle Administrateur qu’aux personnes qui en ont réellement besoin.
Verrouiller les fichiers sensibles
Deux durcissements techniques réduisent fortement le risque de backdoor WordPress :
- Interdire l’exécution de PHP dans les uploads : ajoutez une règle serveur bloquant l’exécution de
.phpdanswp-content/uploads, là où se cachent la plupart des webshells. - Désactiver l’éditeur de fichiers : ajoutez
define('DISALLOW_FILE_EDIT', true);danswp-config.phppour empêcher la modification de code depuis l’admin.
Détecter une backdoor WordPress
Un site peut être compromis sans signe visible. Mettez en place une surveillance active pour repérer une backdoor WordPress :
- Contrôle d’intégrité des fichiers : un plugin de sécurité (Wordfence, Sucuri) compare vos fichiers aux versions officielles et alerte sur toute modification suspecte.
- Recherche de motifs dangereux : traquez les fonctions
eval(),base64_decode(),gzinflate()ousystem()dans vos fichiers PHP — signatures classiques d’un webshell. - Audit des comptes : vérifiez régulièrement la liste des utilisateurs administrateurs et supprimez tout compte inconnu.
- Journaux d’accès : surveillez les requêtes POST répétées vers des fichiers isolés dans
uploadsou à la racine.
Réagir en cas de compromission
Si vous détectez une backdoor, isolez le site, restaurez une sauvegarde saine antérieure à l’infection, changez tous les mots de passe et les clés de sécurité (SALT) de wp-config.php, puis analysez la faille d’origine avant remise en ligne. Corriger le webshell sans fermer le point d’entrée initial vous expose à une réinfection immédiate.
Sécuriser WordPress dans la durée
La sécurité d’un CMS est un processus, pas un réglage ponctuel. Pour maintenir un WordPress durci, adoptez une sauvegarde automatisée et testée, un pare-feu applicatif web (WAF) devant le site, et une revue trimestrielle de vos plugins. Ces réflexes rejoignent une démarche plus large de gestion de la surface d’attaque, comme nous l’abordons pour les extensions navigateur en PME-ETI et la protection des accès par MFA.
En résumé, sécuriser WordPress repose sur trois piliers : réduire la surface d’attaque, verrouiller les fichiers exécutables, et surveiller l’intégrité pour détecter toute backdoor WordPress au plus tôt. Face à des campagnes comme WP-SHELLSTORM, ces mesures simples font la différence entre un incident maîtrisé et une compromission durable.