Les 5 tâches de maintenance WordPress que la plupart des propriétaires oublient

Si vous demandez à un propriétaire de site WordPress ce que signifie la maintenance, il évoquera généralement les mises à jour. Cliquer sur le bouton de mise à jour des extensions, cliquer sur le bouton de mise à jour du cœur de WordPress, terminé. Cela en fait partie, mais une maintenance bien faite est plus large et plus discrète que cela. C’est un ensemble de petites vérifications qui maintiennent les petits problèmes petits, et quelques-unes d’entre elles sont presque universellement négligées. Voici les cinq que nous voyons délaissées le plus souvent, et ce qu’elles font pour vous lorsqu’elles ne le sont pas.

1. Tester vos sauvegardes en en restaurant réellement une

La plupart des sites WordPress ont des sauvegardes configurées quelque part. Bien moins de sites ont des sauvegardes qui fonctionnent réellement. La différence ne devient visible que le jour où vous en avez besoin, c’est-à-dire le pire moment possible pour découvrir le problème.

Les défaillances courantes sont familières. L’extension de sauvegarde a cessé de fonctionner en silence il y a trois mois après une mise à jour. La destination hors site est tombée à court de stockage et a discrètement rejeté les nouveaux envois. Les sauvegardes sont des sauvegardes complètes des fichiers mais excluent la base de données. Les sauvegardes sont des sauvegardes de la base de données mais excluent le dossier des envois. Les sauvegardes existent mais elles sont chiffrées et personne n’a testé la clé de déchiffrement.

Le remède est de restaurer pour de vrai. Choisissez une sauvegarde récente, montez un site de préproduction temporaire et restaurez-la. Si cela fonctionne, vous le savez. Sinon, vous avez le temps de corriger le processus pendant que le site en production est encore en bonne santé. Nous recommandons de le faire au moins une fois par trimestre pour tout site critique.

2. Vérifier qui a un accès administrateur

Les listes d’utilisateurs WordPress s’accumulent. Sur deux ou trois ans, un seul site récolte un freelance qui a créé le formulaire de contact, un développeur qui a fait une intégration ponctuelle, un prestataire marketing qui devait publier un article, le designer d’origine qui a configuré les couleurs de la marque, et quelques extensions qui ont discrètement créé leurs propres comptes utilisateur. La plupart ne sont jamais supprimés.

Chacun de ces comptes est une voie d’accès à votre site. Si l’un d’eux a reçu un accès de niveau administrateur, il peut tout faire, y compris importer involontairement une compromission depuis son propre ordinateur portable. Si le mot de passe d’un freelance se retrouve des années plus tard dans une fuite quelque part sur internet, votre identifiant administrateur est sur la liste.

Ouvrez la page des utilisateurs une fois par trimestre. Quiconque n’a pas besoin d’accès aujourd’hui est supprimé. Quiconque a seulement besoin de publier du contenu n’a pas besoin du rôle administrateur ; il lui faut au plus le rôle éditeur. Appliquez le moindre privilège par défaut et vous supprimez beaucoup de risque pour très peu d’effort.

3. Nettoyer la base de données

La base de données WordPress grossit discrètement avec le temps. Les révisions d’articles s’accumulent sans limite si vous ne configurez pas WordPress pour les plafonner. Les brouillons automatiques s’empilent. Les transients jamais nettoyés remplissent la table des options. Les extensions laissent leurs propres données lorsqu’on les supprime. Les commentaires indésirables, si vous n’avez pas un bon filtrage, peuvent gonfler la table des commentaires. Les journaux d’Action Scheduler de diverses extensions peuvent atteindre des centaines de milliers de lignes.

Rien de tout cela ne casse le site immédiatement. Cela rend simplement tout légèrement plus lent. Les chargements de page passent plus de temps à attendre les requêtes à la base de données. Les pages d’administration mettent plus de temps à s’afficher. Les sauvegardes grossissent et prennent plus de temps à s’exécuter. Sur deux ou trois ans, un petit site peut se retrouver avec une base de données plusieurs fois plus grande que son contenu réel.

Un nettoyage trimestriel de la base de données, idéalement avec de bons outils plutôt qu’avec des extensions agressives de suppression automatique, garde le site léger. Configurez des limites de révisions d’articles dans wp-config.php. Videz les corbeilles. Supprimez les clés d’options inutilisées laissées par des extensions désinstallées. Réindexez les tables lentes. Puis faites une nouvelle sauvegarde.

4. Auditer la racine du document à la recherche de fichiers indésirables

C’est l’une des vérifications les plus négligées, et c’est celle qui a signalé une compromission récente d’une agence de Sydney que nous avons auditée. L’attaquant avait déposé quinze fichiers malveillants dans des dossiers qui imitaient les noms de pages WordPress du site. Personne n’avait regardé la racine du document depuis des mois. Si on l’avait fait, les fichiers auraient été repérés en quelques minutes.

La racine du document d’un site WordPress devrait contenir les fichiers du cœur de WordPress et très peu d’autre chose. Si vous trouvez des dossiers que vous ne reconnaissez pas, des fichiers .php en dehors de wp-admin, wp-content et wp-includes, des archives de sauvegarde, des dumps .sql, ou des copies de développement de fichiers nommés par exemple wp-config.bak, quelque chose ne va pas. Examinez chaque fichier inexpliqué.

Un coup d’œil mensuel à la racine du document, soit via SFTP, soit via le gestionnaire de fichiers de votre hébergeur, est une tâche de quinze minutes qui détecte une catégorie d’attaque que la plupart des outils de surveillance manquent.

5. Renouveler les salts, les clés et les mots de passe d’application

WordPress utilise un ensemble de clés secrètes cryptographiques et de salts, définis dans wp-config.php, pour signer les cookies et protéger les données de session. Ils sont générés lors de l’installation de WordPress et presque personne ne les change jamais ensuite. S’ils ont fuité à un moment donné, chaque jeton de session émis depuis est techniquement encore valide, et un attaquant qui en aurait capturé un un jour pourrait encore l’utiliser.

Les renouveler une ou deux fois par an invalide toutes les sessions existantes, force tout le monde à se reconnecter et vous offre une remise à zéro propre. La même logique s’applique aux mots de passe d’application utilisés par les extensions et intégrations, aux clés d’API des services qui se connectent à votre site, et à tout jeton ponctuel que vous auriez émis pour des migrations ou des tests.

Chaque fois qu’un employé ou un prestataire s’en va, ou chaque fois que vous soupçonnez qu’un identifiant a pu être exposé, le renouvellement est essentiel. Les cinq minutes que cela prend constituent l’amélioration de sécurité la moins chère que vous ferez jamais.

Pourquoi ces tâches sont oubliées

Le point commun entre ces cinq tâches est qu’aucune ne produit de résultats visibles. Restaurer une sauvegarde de test, supprimer l’ancien compte administrateur d’un prestataire, nettoyer les révisions d’articles, analyser la racine du document, renouveler les clés cryptographiques. Le site est identique avant et après. Le travail est invisible jusqu’au jour où il fait la différence entre se remettre d’un problème en une heure ou reconstruire le site de zéro.

C’est précisément pour cela qu’on les saute. La récompense de les accomplir est l’absence d’un problème, et les humains valorisent mal les absences. Une bonne routine de support les intègre comme une habitude, de sorte que la question de savoir si elles valent la peine d’être faites aujourd’hui ne se pose jamais.

Besoin d’un coup de main ?

Si vous souhaitez que Defyn vous décharge de ces tâches et les exécute selon un calendrier régulier, contactez-nous. Nous les réalisons dans le cadre du travail de support standard sur chaque site WordPress que nous gérons et nous serions ravis d’ajouter le vôtre à la routine.