Il est commun d’entendre au détour des blogs d’info sur les technologies web que WordPress est désormais la cible de telle ou telle attaque et que la solution est vulnérable et la cible de nombreux pirates.
Que faut-il réellement en penser ?
Comme toute solution web (et informatique en général), oui, WordPress a des failles de sécurité. Tout comme Magento, Windows, OSX et j’en passe. Tout système exposé sur le web devient vulnérable avec le temps. Et ce délai n’est que plus réduit lorsque la popularité de cet outil grandit.
Cependant l’équipe de développement WordPress met tout en oeuvre pour corriger ces failles au plus vite et il n’est pas rare de voir des mises à jour de sécurité arriver 24 ou 48h après la découverte de l’exploit. La version actuelle de WordPress, la 3.3.1, ne contient pas de faille connue et est pour l’instant sécurisée.
Pourquoi alors il y a t’il tellement de sites WordPress hackés ?
La réponse à cette question n’est pas forcément si évidente. La faute est largement partagée entre les différents acteurs.
Un pirate a en effet des dizaines de manière de pénétrer et modifier votre site. Et lorsque l’on étudie ces possibilités, on s’aperçoit rapidement que leur source provient généralement de l’utilisateur final et non pas de la solution installée.
Voici une liste non-exhaustive des causes liées à l’utilisateur final qui représentent la majorité des attaques actuelles :
- Mauvaise politique de sécurité des mots de passe (FTP, SSH, WP, etc.)
- Mises à jour de la solution non-effectuées
- Infection de logiciels tierces (FileZilla)
- Failles et backdoors présentes dans les plugins et thèmes ajoutés par l’utilisateur
Une deuxième source de failles provient de l’hébergement du site. La multiplication des offres d’hébergement low-cost ne va pas dans le sens de la sécurité sur Internet. Voici quelques exemples de problèmes rencontrés chez de nombreux hébergeurs :
- Serveurs non mis à jour sur d’anciens systèmes et logiciels
- Mauvaise gestion des droits permettant les attaques de types Cross-Site Scripting (infection d’un site par le biais d’un autre hébergé sur la même plate-forme) et l’upload de fichiers frauduleux
- Mauvaise politique de sécurité des mots de passe, etc.
Ces hébergements mutualisés sont une plaie pour les utilisateurs car même si vous avez sécurisé votre propre installation, votre site n’est pas à l’abri d’un pirate utilisant le site de votre voisin pour altérer vos fichiers.
Ne parlons même pas des hébergements dédiés que de nombreux utilisateurs mettent en place sans avoir la moindre notion d’administration système. Ces systèmes se transforment vite en nids à spams et malwares en tout genre.
Que faire pour éviter ces piratages ?
Même si il est illusoire de penser que votre site pourra être un jour 100% sécurisé, certaines modifications simples et rapides peuvent vous éviter de nombreux désagréments :
- Effectuez des mises à jour régulières de la solution WordPress et abonnez-vous au flux RSS de ces dernières
- Elaborez vos mots de passe aléatoirement et ne réutilisez pas un mot de passe
- Sélectionnez un hébergeur digne de ce nom quitte à payer une somme annuelle un peu plus importante
- Etudiez et vérifiez tout contenu externe que vous intégrez comme les plugins et les thèmes
- Faites des sauvegardes régulières de votre site et de votre base SQL.
Ces règles semblent très basiques et pourtant peu de webmasters prennent la peine de les mettre en place.
N’hésitez pas à proposer d’autres mesures de sécurité qui vous semblent impératives ! Nous détaillerons les solutions techniques dans de prochains articles.
