Quand la plupart des gens imaginent le piratage d’un site web, ils se figurent quelqu’un en sweat \u00e0 capuche tapant fr\u00e9n\u00e9tiquement sur un terminal. La r\u00e9alit\u00e9 est bien moins spectaculaire et bien plus courante. Les sites WordPress sont compromis chaque jour par des scanners automatis\u00e9s qui parcourent le web public, sondent des milliers de sites \u00e0 la fois et entrent par des portes laiss\u00e9es ouvertes. L’attaquant est g\u00e9n\u00e9ralement un script, pas une personne, et la cible, c’est rarement vous en particulier. C’est quiconque se trouve faire tourner le logiciel qu’ils savent exploiter.<\/p>\n
Comprendre les v\u00e9ritables points d’entr\u00e9e importe, car la m\u00eame poign\u00e9e d’erreurs explique l’\u00e9crasante majorit\u00e9 des compromissions WordPress. Corrigez-les et vous devenez une cible bien plus difficile. Ignorez-les et vous avancez \u00e0 la chance.<\/p>\n
Les extensions sont la premi\u00e8re cause de compromission de WordPress. L’\u00e9cosyst\u00e8me d’extensions est immense et la qualit\u00e9 du code est in\u00e9gale. Une extension parfaitement s\u00fbre il y a deux ans peut voir publier une vuln\u00e9rabilit\u00e9 critique la semaine prochaine, et si vous ne l’avez pas mise \u00e0 jour, vous \u00eates expos\u00e9 d\u00e8s l’instant o\u00f9 cet avis devient public.<\/p>\n
Le sch\u00e9ma se d\u00e9roule g\u00e9n\u00e9ralement ainsi. Un chercheur ou un pirate d\u00e9couvre une faille dans une extension populaire, souvent quelque chose comme un t\u00e9l\u00e9versement de fichiers sans authentification ou une injection SQL. La faille est divulgu\u00e9e. En quelques heures, des scanners automatis\u00e9s balayent internet \u00e0 la recherche de sites ex\u00e9cutant la version vuln\u00e9rable. Les sites non corrig\u00e9s sont compromis en masse.<\/p>\n
Un audit r\u00e9cent que nous avons men\u00e9 sur le site d’une agence de Sydney a r\u00e9v\u00e9l\u00e9 une extension de gestionnaire de fichiers laiss\u00e9e install\u00e9e et active depuis plus d’un an, alors m\u00eame que cette famille d’extensions avait un long pass\u00e9 de vuln\u00e9rabilit\u00e9s d’ex\u00e9cution de code \u00e0 distance. L’attaquant n’a eu rien d’astucieux \u00e0 faire. L’extension lui a remis un acc\u00e8s en \u00e9criture \u00e0 tout le site.<\/p>\n
Les attaques par force brute contre la page de connexion WordPress sont incessantes. Les bots tentent des milliers de combinaisons courantes d’identifiant et de mot de passe par heure, puis\u00e9es dans des bases de fuites contenant des centaines de millions d’identifiants divulgu\u00e9s. Si votre administrateur utilise un identifiant comme admin, le nom de votre entreprise ou votre pr\u00e9nom, et un mot de passe apparu dans une fuite pass\u00e9e n’importe o\u00f9 sur internet, vous \u00eates d\u00e9j\u00e0 sur la liste.<\/p>\n
La solution n’est pas compliqu\u00e9e. Utilisez des mots de passe uniques et longs. Utilisez un gestionnaire de mots de passe. Utilisez l’authentification \u00e0 deux facteurs sur chaque compte administrateur. Limitez les tentatives de connexion. Renommez votre utilisateur administrateur par d\u00e9faut pour qu’il ne soit pas devinable. Ces \u00e9tapes sont ennuyeuses et stoppent net la plupart des attaques automatis\u00e9es.<\/p>\n
Le c\u0153ur de WordPress lui-m\u00eame est g\u00e9n\u00e9ralement bien entretenu, avec des versions de s\u00e9curit\u00e9 diffus\u00e9es rapidement. Le risque n’est pas que le c\u0153ur soit truff\u00e9 de trous. Le risque est que certains propri\u00e9taires de sites d\u00e9sactivent les mises \u00e0 jour automatiques puis oublient d’appliquer les manuelles. Ex\u00e9cuter une version de WordPress vieille d’un ou deux ans, c’est fonctionner avec des vuln\u00e9rabilit\u00e9s document\u00e9es publiquement que n’importe quel scanner peut d\u00e9tecter.<\/p>\n
WordPress vous avertira lorsqu’une mise \u00e0 jour est disponible. Appliquez-la. Si vous craignez la compatibilit\u00e9 des extensions, appliquez-la d’abord sur une copie de pr\u00e9production. Ne la laissez pas en attente.<\/p>\n
Les th\u00e8mes sont aussi du code, et ils pr\u00e9sentent les m\u00eames risques que les extensions. Le plus gros probl\u00e8me, ce sont les th\u00e8mes pirat\u00e9s t\u00e9l\u00e9charg\u00e9s sur des sites douteux. Une copie gratuite d’un th\u00e8me premium depuis un site de torrents est presque toujours truff\u00e9e de portes d\u00e9rob\u00e9es, de liens cach\u00e9s ou pire. L’\u00e9conomie sur un th\u00e8me \u00e0 cent dollars peut co\u00fbter des milliers en nettoyage.<\/p>\n
Tenez-vous-en aux th\u00e8mes du d\u00e9p\u00f4t officiel WordPress ou de fournisseurs r\u00e9put\u00e9s assurant un support actif et des mises \u00e0 jour r\u00e9guli\u00e8res. Payez ce que vous utilisez. C’est bien moins cher que l’inverse.<\/p>\n
Un nombre surprenant de sites WordPress laissent fuiter des fichiers sensibles qui n’auraient jamais d\u00fb se trouver sur le web public. Des archives de sauvegarde dans la racine du document, des dumps .sql, des fichiers .env et de vieilles copies de wp-config.php nomm\u00e9es par exemple wp-config.bak. D\u00e8s qu’un attaquant t\u00e9l\u00e9charge l’un d’eux, il dispose des identifiants de base de donn\u00e9es, des cl\u00e9s secr\u00e8tes, ou des deux.<\/p>\n
Auditez votre racine de document. Tout ce qui ne fait pas partie de WordPress ne devrait pas s’y trouver. D\u00e9placez les sauvegardes hors du serveur. Supprimez les vieux fichiers de d\u00e9veloppement. Bloquez l’acc\u00e8s direct aux noms de fichiers sensibles courants au niveau du serveur.<\/p>\n
Sur un h\u00e9bergement mutualis\u00e9 bon march\u00e9, plusieurs sites WordPress peuvent cohabiter sur le m\u00eame compte, voire le m\u00eame disque. Si l’un d’eux est compromis, l’attaquant a souvent la capacit\u00e9 de rebondir vers les autres, d\u00e9posant le m\u00eame maliciel sur chaque site du lot. C’est un sch\u00e9ma fr\u00e9quent chez les agences qui font tourner vingt ou trente sites clients sur un unique plan mutualis\u00e9.<\/p>\n
Isolez les sites. Utilisez un v\u00e9ritable h\u00e9bergement WordPress infog\u00e9r\u00e9 o\u00f9 chaque site r\u00e9side dans son propre conteneur. Auditez tout autre site partageant votre environnement avec la m\u00eame rigueur que le v\u00f4tre.<\/p>\n
WordPress expose deux interfaces programmatiques principales, xmlrpc.php et la REST API. Toutes deux sont l\u00e9gitimes, toutes deux peuvent \u00eatre utiles, et toutes deux ont servi de vecteurs d’attaque. XML-RPC en particulier a historiquement \u00e9t\u00e9 d\u00e9tourn\u00e9 pour des attaques par force brute amplifi\u00e9es, o\u00f9 une seule requ\u00eate peut tenter de nombreuses suppositions de mot de passe \u00e0 la fois.<\/p>\n
Si vous n’utilisez pas XML-RPC, d\u00e9sactivez-le. Si vous n’avez pas besoin d’un acc\u00e8s non authentifi\u00e9 \u00e0 certains points de terminaison de la REST API, restreignez-le. La plupart des h\u00e9bergeurs modernes et des extensions de s\u00e9curit\u00e9 rendent cela simple.<\/p>\n
Un attaquant n’a pas toujours besoin de votre mot de passe. S’il peut capturer un cookie de session, par exemple via une attaque de l’homme du milieu sur une connexion non s\u00e9curis\u00e9e, il peut se faire passer pour vous tant que cette session reste valide. Se connecter sur un wifi public sans VPN, ou exploiter un site sans un HTTPS correct partout, facilite grandement la chose.<\/p>\n
Utilisez toujours HTTPS. Forcez-le sur tout le site. D\u00e9finissez les indicateurs de cookie s\u00e9curis\u00e9s. D\u00e9connectez-vous quand vous avez termin\u00e9. Faites tourner p\u00e9riodiquement les salts et cl\u00e9s de WordPress pour invalider les sessions existantes.<\/p>\n
Certaines compromissions ne n\u00e9cessitent aucune faille logicielle. Un e-mail de phishing demandant \u00e0 un employ\u00e9 de se connecter \u00e0 une fausse page d’administration, un faux e-mail de facture poussant un d\u00e9veloppeur \u00e0 ex\u00e9cuter une commande shell hostile, un prestataire qui r\u00e9utilise le m\u00eame mot de passe partout et le voit ensuite fuiter d’ailleurs. Les personnes font partie de la surface d’attaque.<\/p>\n
Formez le personnel. Utilisez un gestionnaire de mots de passe \u00e0 l’\u00e9chelle de l’\u00e9quipe. Imposez l’authentification \u00e0 deux facteurs. Limitez le nombre de comptes ayant un acc\u00e8s de niveau administrateur. Supprimez les comptes d\u00e8s que quelqu’un quitte le projet.<\/p>\n
Beaucoup de sites WordPress sont lanc\u00e9s pour une campagne, un \u00e9v\u00e9nement ou un projet annexe, puis oubli\u00e9s. Ils continuent de tourner sur le m\u00eame h\u00e9bergement, avec les m\u00eames identifiants, d\u00e9rivant lentement vers l’obsolescence. Un an plus tard, ils constituent une cible parfaite. Le propri\u00e9taire a cess\u00e9 de les surveiller, mais ni Google ni les bots.<\/p>\n
Si vous n’avez plus besoin d’un site WordPress, mettez-le hors ligne correctement. Exportez le contenu, d\u00e9mantelez l’installation, lib\u00e9rez le domaine, archivez la base de donn\u00e9es. Ne laissez pas d’installations abandonn\u00e9es sur l’internet public.<\/p>\n
Les d\u00e9fenses ne sont pas exotiques. Gardez tout \u00e0 jour. Utilisez des mots de passe forts et uniques plus l’authentification \u00e0 deux facteurs. Utilisez une extension de s\u00e9curit\u00e9 s\u00e9rieuse comme Wordfence et tenez compte de ce qu’elle vous dit. Assurez-vous que votre h\u00e9bergeur est r\u00e9put\u00e9, isole correctement les sites et propose des sauvegardes externalis\u00e9es. Auditez vos extensions, th\u00e8mes et utilisateurs administrateurs au moins chaque trimestre. Faites tourner les cl\u00e9s et les salts quand le personnel ou les prestataires changent. Restaurez une sauvegarde de temps en temps, simplement pour savoir qu’elle fonctionne.<\/p>\n
Rien de tout cela n’est glamour. C’est de la routine et \u00e7a marche. Les sites qui se font compromettre ne sont presque jamais ceux qui ont tout fait. Ce sont ceux qui en ont fait l’essentiel, ou rien, en supposant qu’ils \u00e9taient trop petits pour qu’on les remarque.<\/p>\n