Erreur #1 : Utiliser des mots de passe faibles ou prévisibles

Le mot de passe "123456" est utilisé par 23 millions d'utilisateurs dans le monde. Le deuxième plus populaire ? "password". Ces combinaisons ridiculement simples représentent la porte d'entrée principale pour les hackers qui utilisent des attaques par force brute : des milliers de tentatives automatisées de connexion jusqu'à trouver la bonne combinaison.

Pourquoi c'est critique

Un robot peut tester 10 000 combinaisons par heure sur votre page wp-login.php. Un mot de passe de 8 caractères composé uniquement de lettres minuscules sera cracké en moins de 3 heures. Si vous ajoutez des majuscules et des chiffres, le temps passe à quelques jours. Mais un véritable mot de passe sécurisé de 16 caractères avec symboles prendrait plusieurs millions d'années à craquer.

⚠️ Erreurs courantes :

• Utiliser "admin" comme nom d'utilisateur
• Réutiliser le même mot de passe sur plusieurs sites
• Stocker les mots de passe dans un fichier texte non chiffré
• Choisir des mots du dictionnaire ou des informations personnelles

La solution immédiate

Générez un mot de passe d'au moins 16 caractères contenant majuscules, minuscules, chiffres et symboles spéciaux (@, #, $, %, etc.). Utilisez un gestionnaire de mots de passe comme Bitwarden, 1Password ou LastPass pour stocker et générer ces codes de manière sécurisée.

Activez l'authentification à deux facteurs (2FA) avec un plugin comme Wordfence ou Google Authenticator. Même si quelqu'un obtient votre mot de passe, il ne pourra pas se connecter sans le code temporaire généré sur votre smartphone.

Erreur #3 : Installer des plugins et thèmes de sources douteuses

Les plugins "nulled" (versions crackées de plugins premium) ou téléchargés depuis des sites non officiels sont un cheval de Troie dans votre infrastructure. Ces fichiers modifiés contiennent souvent du code malveillant qui ouvre des backdoors, vole vos données ou transforme votre site en zombie pour des attaques DDoS.

Le piège des versions gratuites de plugins premium

Un plugin premium coûte parfois 60€, alors qu'un site obscur propose de le télécharger gratuitement. Trop beau pour être vrai ? Absolument. Ces versions crackées intègrent du code malveillant invisible qui s'active après quelques jours d'utilisation. Résultat : votre site devient une plateforme de distribution de malwares à votre insu.

⚠️ Signaux d'alerte :

• Plugin téléchargé hors de WordPress.org ou du site officiel de l'éditeur
• Version "nulled", "cracké" ou "gratuite" d'un plugin normalement payant
• Plugin avec moins de 1000 installations actives et aucun avis
• Dernière mise à jour datant de plus de 2 ans

Comment vérifier la légitimité d'un plugin

Installez uniquement des plugins depuis le dépôt officiel WordPress.org ou directement depuis le site de l'éditeur. Vérifiez le nombre d'installations actives (plus de 10 000 = bon signe), la note moyenne (au moins 4/5 étoiles), et surtout la date de dernière mise à jour (moins de 6 mois idéalement).

Utilisez des outils comme Wordfence ou Sucuri SiteCheck pour scanner régulièrement vos fichiers et détecter toute modification suspecte. Un nettoyage préventif vaut mieux qu'un nettoyage post-infection qui coûte des milliers d'euros.

Erreur #5 : Ne pas effectuer de sauvegardes régulières et automatiques

Imaginez perdre 3 ans de contenu, tous vos articles, vos commandes clients, votre base de données complète en quelques secondes. C'est exactement ce qui arrive aux sites sans stratégie de sauvegarde quand une attaque réussit. 47% des sites WordPress n'ont jamais effectué une seule sauvegarde complète.

Le mythe de l'hébergeur qui sauvegarde pour vous

Beaucoup pensent que leur hébergeur web fait automatiquement des sauvegardes. La réalité est plus nuancée : certains hébergeurs proposent des sauvegardes, mais avec des limitations strictes (conservation de 7 jours maximum, restauration payante, exclusion de la base de données). Lisez attentivement votre contrat d'hébergement : la clause de non-responsabilité en cas de perte de données est systématique.

⚠️ Scénarios catastrophes courants :

• Mise à jour d'un plugin qui casse le site
• Infection par malware qui supprime les fichiers
• Erreur humaine lors d'une modification de code
• Ransomware qui chiffre toute la base de données

La règle 3-2-1 des sauvegardes

Appliquez la règle de sécurité professionnelle 3-2-1 : 3 copies de vos données (originale + 2 sauvegardes), sur 2 supports différents (serveur + cloud), avec 1 copie hors site (stockage externe distant). Cette redondance garantit qu'une catastrophe locale (panne serveur, incendie datacenter) ne détruit pas toutes vos sauvegardes simultanément.

Configuration d'une sauvegarde automatique

Installez UpdraftPlus (gratuit pour les fonctions de base) et configurez des sauvegardes automatiques quotidiennes. Connectez un stockage cloud externe comme Google Drive, Dropbox ou Amazon S3 pour stocker les fichiers hors serveur. Conservez au minimum les 30 dernières sauvegardes pour pouvoir restaurer une version antérieure à une infection.

Testez régulièrement la procédure de restauration sur un environnement de test. Une sauvegarde qui ne peut pas être restaurée est inutile : 34% des tentatives de restauration échouent par manque de test préalable.

Erreur #7 : Laisser des permissions de fichiers trop permissives

Les permissions de fichiers sous Linux (système utilisé par 90% des serveurs web) déterminent qui peut lire, écrire ou exécuter chaque fichier. Une permission trop large type 777 (lecture/écriture/exécution pour tout le monde) transforme votre serveur en terrain de jeu pour pirates. C'est comme laisser les clés de votre maison à disposition de n'importe quel passant.

Comprendre le système de permissions Unix

Les permissions s'expriment en trois chiffres : le premier pour le propriétaire, le deuxième pour le groupe, le troisième pour tous les autres. Chaque chiffre est une addition : 4 (lecture) + 2 (écriture) + 1 (exécution). Ainsi 755 signifie : propriétaire peut tout faire (7=4+2+1), groupe et autres peuvent seulement lire et exécuter (5=4+1).

⚠️ Permissions recommandées WordPress :

• Dossiers : 755 (propriétaire écrit, autres lisent)
• Fichiers : 644 (propriétaire écrit, autres lisent)
• wp-config.php : 440 ou 400 (lecture stricte)
• .htaccess : 644 (lecture/écriture propriétaire)

Le danger du 777 partout

Beaucoup d'administrateurs débutants, confrontés à une erreur "Permission denied", appliquent bêtement la permission 777 sur tout le site. Cette solution de facilité ouvre une autoroute pour les malwares. N'importe quel script malveillant peut alors écrire dans vos fichiers, créer des backdoors, modifier votre .htaccess ou injecter du code dans vos plugins.

Corriger les permissions en masse

Connectez-vous en SSH à votre serveur et exécutez ces commandes depuis la racine de WordPress :

find /chemin/vers/wordpress -type d -exec chmod 755 {} \;
find /chemin/vers/wordpress -type f -exec chmod 644 {} \;
chmod 440 wp-config.php

Ces commandes appliquent les bonnes permissions à tous les dossiers (755) et fichiers (644) récursivement, puis verrouillent le fichier de configuration sensible. Vérifiez ensuite que votre site fonctionne correctement : WordPress doit pouvoir uploader des fichiers dans /wp-content/uploads qui peut nécessiter la permission 775.