La sécurité d’un site WordPress ne se résume pas à installer une extension. Pour organiser les vérifications, pars du site réel : ses accès, ses composants et les fonctions utilisées par tes visiteurs. Ce guide aide à cadrer ce travail ; il ne constitue pas un diagnostic de ton installation.
1. Délimiter les accès et les dépendances du site
Prépare une fiche avec le domaine, l’hébergement, WordPress, le thème, les extensions et les services connectés. Pour chaque élément, indique le titulaire, la personne qui intervient et le moyen de la joindre. Ne mets pas les mots de passe dans cette fiche.
La documentation de sécurité WordPress distingue les responsabilités de l’hébergeur et celles liées à l’application. Cette distinction évite de confondre une protection annoncée par l’hébergement avec une vérification effective du site.
2. Préparer les comptes et leur récupération
Pour ton inventaire, sépare le compte qui publie des contenus, celui qui administre WordPress et les accès à l’hébergement. Note qui utilise chaque compte et quelle récupération est prévue si cette personne devient indisponible.
WordPress recommande des mots de passe robustes et évoque l’authentification en deux étapes. Avant de modifier les accès, prépare un moyen de récupération autorisé. La désactivation d’un compte doit être décidée avec son responsable : vérifie d’abord les contenus et les intégrations qui peuvent en dépendre.
3. Encadrer les changements de composants
WordPress recommande de maintenir les logiciels à jour et d’utiliser des sources fiables. Pour chaque intervention, consigne les composants concernés, la personne responsable et le contrôle prévu après la modification.
Écris une fiche de réception adaptée à ton site : affichage d’une offre, connexion autorisée, demande de contact, réservation ou commande. Le guide de préparation d’un site WordPress aide à identifier ces fonctions. Distingue un contrôle d’affichage d’une vérification du parcours complet.
4. Vérifier ce que la sauvegarde permet de récupérer
Les fichiers et la base de données sont complémentaires pour sauvegarder WordPress. La documentation officielle des sauvegardes présente ces éléments et les opérations de restauration.
Demande un compte rendu d’essai sur un environnement isolé : copie utilisée, éléments récupérés, fonctions contrôlées et limites observées. Cet essai doit être autorisé et préparé pour ne pas déclencher d’e-mails, paiements ou synchronisations réels. Une sauvegarde annoncée comme réussie et une restauration effectivement vérifiée sont deux états différents.
5. Recevoir les protections sur des usages précis
Avant toute nouvelle règle, liste ce qui doit rester utilisable : administration, formulaire, paiement ou échange avec un outil externe. Prévois les vérifications et le retour arrière avec la personne compétente qui intervient.
Ne reprends pas une recette générique consistant à désactiver toutes les interfaces ou à changer des permissions sans examiner les dépendances. Ton compte rendu doit décrire la règle réellement appliquée, les parcours testés et ce qui reste à contrôler. Une alerte ou un score ne remplace pas ce bilan.
6. Identifier qui reçoit les alertes et intervient
Prépare les contacts de l’hébergement, du prestataire et d’une assistance spécialisée si nécessaire. Indique le canal de signalement et les informations utiles, sans transmettre des identifiants dans un message ordinaire.
La définition du périmètre de maintenance reste distincte d’une intervention spécialisée sur un incident. Pour organiser les contrôles de ton site, consulte la prestation de maintenance ou présente ton installation et ton besoin. Le travail retenu doit être précisé dans la proposition, sans protection absolue ni délai de résolution présumé.
