🔒 Sécuriser son site WordPress ou Joomla : erreurs fréquentes et bonnes pratiques

Aujourd’hui, WordPress et Joomla représentent à eux seuls plus de 60 % des CMS utilisés dans le monde. Leur popularité en fait des cibles privilégiées pour les cybercriminels. Failles de sécurité, plugins malveillants, mots de passe faibles… les attaques sont nombreuses, mais elles ne sont pas une fatalité.

Voici un tour d’horizon des risques concrets liés à ces CMS, et comment protéger efficacement votre site.

🎯 Cas concrets d’attaques sur WordPress et Joomla

1. Un plugin WordPress piraté : exemple de “Display Widgets”

En 2017, le plugin “Display Widgets” (plus de 200 000 installations) a été racheté par un développeur malveillant. Il y a injecté un backdoor pour publier du spam sur les sites utilisant ce plugin.

➡️ Conséquence : De nombreux sites se sont retrouvés à afficher des contenus illégitimes, parfois sans que le propriétaire ne s’en rende compte.

2. Joomla : faille SQLi dans le composant com_fields (2018)

Cette vulnérabilité permettait à un attaquant non authentifié d’injecter des requêtes SQL pour extraire les comptes utilisateurs.

➡️ Conséquence : Si votre compte admin n’est pas protégé, les hackers peuvent en prendre le contrôle.

3. WordPress mal configuré : accès libre au fichier wp-config.php

Sur un serveur mal sécurisé, ce fichier peut être accessible publiquement. Il contient vos identifiants de base de données.

➡️ Conséquence : Une compromission totale de votre site et de sa base de données.

🔐 Comment bien sécuriser son site WordPress ou Joomla

Voici les bonnes pratiques essentielles à appliquer :

✅ 1. Gardez votre CMS, vos thèmes et vos plugins à jour

C’est la base absolue. Les mises à jour corrigent des failles souvent exploitées par des bots ou des scripts automatisés.

  • Activez les mises à jour automatiques sur WordPress pour les plugins critiques.
  • Sur Joomla, utilisez une extension de surveillance des mises à jour (comme Akeeba CMS Update Notifier).

✅ 2. Supprimez tout ce qui est inutile

Chaque plugin ou thème inactif est une porte d’entrée potentielle.

  • Supprimez les extensions inutilisées.
  • Ne gardez que les thèmes/plug-ins de sources officielles (WordPress.org, Joomla Extensions Directory).

✅ 3. Protégez vos fichiers critiques

  • Sur WordPress : bloquez l’accès à wp-config.php, .htaccess, xmlrpc.php si vous ne l’utilisez pas.
  • Sur Joomla : limitez l’accès à configuration.php.

Exemple de code à ajouter dans .htaccess :

.htaccess

<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>

✅ 4. Utilisez un pare-feu applicatif (WAF)

Un Web Application Firewall permet de bloquer les attaques avant même qu’elles n’atteignent votre CMS.

  • Exemple : Imunify360, que nous avons installé récemment sur tous les sites hébergés chez nous, analyse et bloque les scripts malveillants en temps réel.
  • Sinon, des plugins comme Wordfence (WordPress) ou RSFirewall (Joomla) sont de bons compléments.

✅ 5. Activez l’authentification à deux facteurs (2FA)

Un mot de passe fort, c’est bien. Le 2FA, c’est mieux.

  • WordPress : Plugin “WP 2FA”, “Google Authenticator”, ou via une solution d’hébergement sécurisée.
  • Joomla : Activez la double authentification dans les paramètres utilisateurs.

✅ 6. Sauvegardez régulièrement… et testez vos sauvegardes

Utilisez des extensions comme :

  • UpdraftPlus (WordPress) ou Akeeba Backup (Joomla) pour automatiser vos sauvegardes.
  • Pensez à stocker vos backups en externe (cloud, FTP, NAS) et testez les restaurations de temps en temps.

✅ 7. Analysez régulièrement votre site

Des scanners peuvent détecter des fichiers infectés ou des comportements suspects :

  • WordPress : MalCare, Wordfence, Sucuri Scanner
  • Joomla : MyJoomla, RSFirewall

👉 Sur nos serveurs, Imunify360 scanne en temps réel tous les fichiers. Dès qu’un fichier suspect est détecté, il est automatiquement mis en quarantaine.

🧠 Conclusion

Un site WordPress ou Joomla bien sécurisé, ce n’est pas qu’une affaire de plugin. C’est un ensemble de bonnes pratiques, une vigilance continue, et le recours à des solutions de protection professionnelles.

Si vous avez un doute sur l’état de sécurité de votre site, nous pouvons effectuer un audit rapide et gratuit pour vérifier qu’aucune porte d’entrée n’est laissée ouverte.

🛡️ Protégez votre site. Protégez votre activité.