Si votre site WordPress n’est pas entre les mains d’un hébergeur professionnel, il peut être la cible de nombreuses attaques. Une TMA WordPress est très fortement recommandée afin de sécuriser au mieux votre site Web.
C’est pourquoi il est important d’apporter toutes les maintenances, même les moins évidentes, à votre site WordPress ainsi que mettre à jour régulièrement tout le contenu, les extensions, les thèmes.
Sécuriser son site internet WordPress (ou sa boutique WooCommerce) est loin d’être une chose aisée, et faire l’objet d’une attaque sans y être correctement préparé, c’est l’assurance de subir de très gros dégâts.
Faisons un tour d’ensemble des différents types d’attaques qui peuvent être lancées contre un site WordPress.
Avec +42% des sites web mondiaux WordPress est la cible de nombreuses attaques.
W3Techs – 2024
Vulnérabilités des extensions et des thèmes
Les extensions et les thèmes sont un moyen pratique d’ajouter des fonctionnalités à vos pages WordPress ou de créer un look unique. Mais les extensions sont un point d’entrée fréquent pour les attaques contre WordPress, d’où l’importance d’être à jour ou bien d’en changer si elles ne sont plus à jour depuis un certain temps.
Une extension obsolète peut devenir vulnérable à une attaque. Voici donc quelques conseils pour protéger votre site :
- Mettez toujours à jour vos extensions à partir du tableau de bord de WordPress
- Utilisez un scanner de sécurité des extensions qui se trouve dans Tableau de bord > Outils > Santé du site pour détecter les problèmes potentiels avec vos extensions actuels.
- Si une extension n’a pas été mis à jour depuis plus de 6 mois, il est possible que le développeur l’ait abandonné. Ces extensions sont les plus vulnérables aux failles et il est préférable de les éviter complètement et de les remplacer si nécessaire.
Vulnérabilités de base de WordPress
WordPress est un logiciel libre, ce qui permet à votre entreprise de réduire les coûts, et offre de vastes possibilités d’innovation.
Mais comme le code source est facilement accessible, les cybercriminels potentiels peuvent identifier les principales vulnérabilités et les exploiter.
L’un des moyens les plus faciles d’exposer votre site WordPress à des attaques est de continuer à utiliser des versions obsolètes de WordPress !
Heureusement, des développeurs identifient ces mêmes failles et créent des correctifs pour maintenir la bonne sécurité de nos sites WordPress.
Pour protéger votre site contre les nouvelles menaces, assurez-vous toujours que vous ayez installé les dernières mises à jour. Pour ce faire, il vous suffit de vous connecter à votre compte administrateur WordPress et d’aller dans Tableau de bord > Mises à jour.
Attaques par force brute
La forme d’attaque la plus simple qui cible l’un des maillons potentiellement les plus faibles de la sécurité : votre mot de passe !
Une attaque par force brute implique qu’un cybercriminel essaie un nombre gigantesque de combinaisons de mots de passe, encore et encore, jusqu’à ce qu’il trouve la bonne combinaison.
Cette forme d’attaque est loin d’être élégante, mais elle s’est avérée très efficace contre les mots de passe faibles et les noms d’utilisateur tels que « 123 », « password » et « admin ».
Cependant, une attaque simple à une défense simple. Soyez attentif à l’indicateur de force du mot de passe de WordPress et essayez ce qui suit :
- Mots de passe longs (minimum 12 caractères)
- Un bon mélange de caractères numériques et alphabétiques
- Évitez les mots du dictionnaire et les mots liés à votre site ou à votre entreprise.
- Évitez les substitutions évidentes comme « Maison123 > M@ison123 ».
- Ajoutez l’authentification à deux facteurs comme couche supplémentaire de sécurité.
En règle générale, si vous semblez recevoir un grand nombre de demandes de connexion aléatoires, il est fort probable que vous fassiez l’objet d’une attaque par force brute.
Attaques par injection SQL
L’une des attaques WordPress les plus courantes, une personne malveillante peut causer des dommages ou accéder à l’administration de WordPress en injectant des requêtes ou des instructions SQL malveillantes pour manipuler votre base de données MySQL.
Toute section de votre site WordPress où l’utilisateur entre des données, comme un formulaire de contact ou un champ de recherche, peut faire l’objet d’une attaque par injection de code SQL.
Les thèmes et les extensions peuvent être le maillon faible des attaques par injection SQL. Assurez-vous donc que tout ce qui est installé provient d’un développeur fiable et digne de confiance.
L’une des astuces les plus simples pour déjouer les pirates consiste à modifier le nom par défaut de la base de données de WordPress. L’utilisation d’un nom de base de données plus unique rendra beaucoup plus difficile pour les cybercriminels d’identifier les détails de votre base de données et aidera à garder votre site propre.
Si vous souhaitez savoir comment sécuriser WordPress en 10 points, nous avons un article dans ce sens là.
Attaques DDoS
Les attaques DDoS sont l’une des attaques dont on parle le plus aujourd’hui. Elles ont paralysé des hôpitaux, des banques et des organisations de premier plan dans le monde entier, telles que Sony, Netflix et Amazon.
Une attaque par déni de service distribué (DDoS) se produit lorsqu’un serveur Web est bombardé par un tel volume de requêtes qu’il finit par s’effondrer.
Les attaques DDoS sont très bien organisées et visent aussi bien les petits que les grands sites Web.
Bien que les attaques DDoS soient souvent bien camouflées et difficiles à gérer, il existe divers outils permettant de prévenir et d’arrêter une attaque. Il s’agit d’une attaque puissante, mais il existe des moyens de se défendre :
- Vous pouvez essayer de désactiver les API exploitées pendant une attaque afin de réduire le nombre de requêtes.
- Désactiver les applications tierces qui interagissent avec votre site WordPress peut également s’avérer utile.
- Utiliser des extensions qui bloquent automatiquement les adresses IP qui effectuent des activités suspectes.
Mais pour empêcher une attaque, l’activation d’un pare-feu d’application de site Web peut identifier les requêtes suspectes et les empêcher d’accéder à votre site web.
L’extension SecuPress Pro permet, entre autres, de bloquer les adresses IP qui effectuent certaines recherches que vous avez définies.
Cela permet de créer une première ligne de défense efficace contre les attaques provenant de machines spécifiques.
Attaque XSS (scripts intersites)
Il s’agit d’un autre type d’attaque très fréquent, souvent appelé attaque XSS.
Une attaque XSS est le téléchargement silencieux d’un code JavaScript malveillant par un cybercriminel dans le but de collecter des données à l’insu de l’utilisateur ou de le rediriger vers un autre site.
Les méthodes de type hameçonnage, telles que l’inscription à une lettre d’information ou à un forum, sont des types courants d’attaques XSS.
La meilleure façon d’éviter cette attaque est de veiller à ce que les données soient correctement validées sur l’ensemble de votre site WordPress. La validation est une compétence importante nécessaire à une bonne sécurité et consiste essentiellement à vérifier que toutes les données de votre site web correspondent à ce que vous attendez d’elles.
WordPress dispose de plusieurs fonctions de développement pour assainir les données, mais pour ceux qui débutent dans le code, il existe quelques extensions qui aident à se protéger contre les injections de code. Certaines extensions sont capables d’aider à prévenir les attaques XSS en fournissant des fonctions de sécurité pour bloquer et prévenir les vulnérabilités.
Logiciels malveillants
L’un des objectifs les plus courants d’un cyber-attaquant est de télécharger des logiciels malveillants sur l’appareil d’un utilisateur et la popularité du CMS WordPress en fait une cible privilégiée.
Les cybercriminels qui veulent télécharger des logiciels malveillants recherchent souvent des WordPress obsolètes, car ils peuvent exploiter les vulnérabilités non protégées. Une raison de plus pour maintenir les mises à jour et aussi de masquer la version de WordPress dans le code généré à l’affichage du site.
Pour vous défendre contre les logiciels malveillants, il existe des extensions qui analysent et identifient les logiciels malveillants et le code malveillant dans votre site. Certaines des meilleures extensions peuvent même supprimer les logiciels malveillants et identifier la source de votre vulnérabilité.
Attaque de type MitM
Cette attaque, qui signifie l’Homme du Milieu, est un anglicisme qui porte très bien son nom.
Le principe de cette attaque est de s’immiscer entre les communications du serveur et du client.
Le moyen le plus utilisé pour ce genre d’attaque est l’imposture ARP (usurpation), si l’attaquant et l’attaqué se trouvent sur le même réseau local, il est particulièrement aisé pour l’attaquant de se faire passer par un routeur, et de faire transiter l’information par chez lui.
Le deuxième moyen est d’usurper une adresse IP, toujours en faisant croire au serveur que c’est un client connu et sécurisé.
Cette attaque est très vicieuse, parce que la communication est interceptée mais ni le serveur ni le client ne s’en rend compte, et tous deux continuent leur activité comme si de rien n’était.
Il existe de nombreux types d’attaques, mais l’on peut se prémunir pour chacune d’entre elles. Ne laissez pas votre mains entre de mauvaises mains, ni les données de vos clients – et les vôtres – sans avoir pris de précautions quant à ces données. Il en est de votre devoir.
Conclusion
Pour toutes ces raison, il est impératif de sécuriser votre site WordPress contre toutes cyberattaques ! En tout cas vous devez, ou votre hébergeur, minimiser les risques d’attaques en appliquant certaines règles afin de protéger votre site Web. D’ailleurs votre site WordPress devrait être en HTTPS, et si ce n’est pas le cas il y a urgence à le faire !
