Maintenance WordPress à Toulouse : la checklist mensuelle qui évite le piratage

Un client de Saint-Cyprien m’a appelé un lundi matin, paniqué. Son site de vente de cosmétiques affichait des liens vers des sites de paris en ligne, en pleine page d’accueil. Google l’avait déjà repéré et classé le site comme dangereux. Résultat : plus aucune visite pendant six jours, le temps de tout nettoyer et de demander un réexamen.

Ce site n’avait rien d’exceptionnel. Pas de faille exotique, pas de hacker surdoué derrière l’attaque. Juste un plugin jamais mis à jour depuis quatorze mois et un mot de passe admin du genre « Boutique2023 ». La plupart des piratages WordPress que je vois à Toulouse ressemblent à ça : pas un acte ciblé, mais un robot qui scanne des milliers de sites et s’arrête sur celui qui n’a pas fermé la porte.

La bonne nouvelle, c’est que se protéger ne demande ni budget énorme ni compétences techniques poussées. Ça demande de la régularité. Voici la checklist que j’applique moi-même sur les sites que je gère, mois après mois.

Pourquoi la plupart des TPE sautent cette étape

Quand on lance son site, on pense « projet terminé » une fois la mise en ligne faite. Normal : c’était déjà un budget, du temps, de l’énergie. Personne n’a envie d’entendre qu’il faut continuer à s’en occuper après.

Sauf que WordPress fonctionne avec un noyau et des dizaines de plugins qui évoluent sans cesse. Chaque mise à jour corrige des failles de sécurité découvertes entre-temps. Un site qu’on laisse vivre sa vie pendant un an accumule les portes ouvertes une par une, sans que rien ne se voie de l’extérieur. Jusqu’au jour où ça casse.

La checklist mensuelle, point par point

1. Mettre à jour le cœur, les thèmes et les plugins

C’est la base, et pourtant c’est ce qui est le plus souvent ignoré. Une mise à jour prend cinq minutes. Un piratage prend plusieurs jours de nettoyage, parfois une perte de référencement durable.

Avant de cliquer sur « mettre à jour », je fais toujours une sauvegarde complète. Certaines mises à jour de plugins cassent l’affichage ou une fonctionnalité, mieux vaut pouvoir revenir en arrière en deux minutes plutôt qu’en deux heures.

2. Vérifier les comptes utilisateurs

Un restaurateur du quartier des Carmes m’a un jour montré fièrement qu’il avait donné un accès administrateur à son stagiaire d’été… deux ans plus tôt. Le stagiaire était parti, le compte était resté actif, avec un mot de passe jamais changé depuis.

Une fois par mois, je passe en revue qui a accès au site, avec quel rôle, et je supprime ce qui ne sert plus. Personne d’autre que vous (et votre prestataire) n’a besoin d’un accès administrateur complet.

3. Changer les mots de passe faibles ou anciens

« NomDeMaBoutique » suivi d’un chiffre n’est pas un mot de passe, c’est une invitation. J’impose un gestionnaire de mots de passe à tous mes clients, même ceux qui jurent qu’ils n’en ont pas besoin. Un mot de passe généré aléatoirement et stocké proprement coûte zéro effort au quotidien et ferme une des portes d’entrée les plus utilisées par les robots.

4. Contrôler les sauvegardes

Une sauvegarde qui existe mais qu’on n’a jamais testée n’est pas une sauvegarde, c’est un espoir. Une fois par mois, je vérifie que le fichier de sauvegarde est bien complet, daté récemment, et stocké ailleurs que sur le serveur lui-même. Si le serveur est compromis et que la sauvegarde est dessus, elle part avec le reste.

5. Scanner le site à la recherche de fichiers suspects

Des extensions comme Wordfence ou Sucuri font ce travail en tâche de fond, mais un coup d’œil manuel une fois par mois permet de repérer un fichier au nom bizarre glissé dans un dossier d’images, ou un plugin qu’on n’a jamais installé soi-même. C’est souvent le premier signe d’une intrusion passée inaperçue.

6. Vérifier le certificat SSL et le nom de domaine

Un certificat expiré fait fuir les visiteurs (avertissement rouge dans le navigateur) et peut aussi être le symptôme d’une configuration abandonnée. Je vérifie la date d’expiration du certificat et celle du nom de domaine, qui doit rester enregistré chez vous et non chez un prestataire qui pourrait disparaître du jour au lendemain.

Ce que ça change concrètement

Sur les sites où j’applique cette routine, je n’ai pas eu un seul piratage en trois ans. Sur ceux récupérés après un incident, le point commun est systématiquement le même : plugins obsolètes, mot de passe faible, aucune sauvegarde exploitable.

Le coût d’une maintenance régulière, en temps ou en prestation, reste très inférieur au coût d’un piratage : nettoyage technique, perte de visibilité Google pendant la remise en état, image écornée auprès des clients qui tombent sur un site infecté. Sans parler du temps que vous ne passez pas à vendre pendant que votre site est hors service.

Par où commencer si rien n’a jamais été fait

Si vous découvrez en lisant cet article que votre site n’a pas été mis à jour depuis des mois, pas de panique, mais pas d’attente non plus. Dans l’ordre :

• Faites une sauvegarde complète avant de toucher à quoi que ce soit
• Mettez à jour un plugin à la fois, en vérifiant que le site fonctionne toujours après chaque mise à jour
• Changez tous les mots de passe administrateurs
• Supprimez les comptes et plugins inutilisés
• Programmez un rappel mensuel, même basique, pour ne pas revenir à la case départ dans six mois

Un site web n’est jamais vraiment « fini ». C’est un outil vivant, qui a besoin d’un entretien minimal pour continuer à travailler pour vous plutôt que contre vous. Si vous voulez qu’on regarde ensemble l’état de sécurité de votre site, j’y jette volontiers un œil.