« J’ai une extension de sécurité installée » n’est pas la même chose que « je suis protégé ». Une extension mal configurée, obsolète, ou dont des fonctions clés sont désactivées par erreur, donne un faux sentiment de sécurité — pire que de n’avoir rien du tout, car cela vous fait baisser la garde. Ce checklist est conçu pour que vous puissiez le faire vous-même, sans connaissances techniques, en environ 10 minutes. Passez en revue chaque point sur votre propre site avant de considérer qu’il est protégé.
1. Les liens fonctionnent sur tout le site, pas seulement sur la page d’accueil (1 min)
Ouvrez 3 ou 4 pages internes au hasard — pas seulement la page d’accueil. Si l’une d’elles affiche une erreur 404 inattendue, quelque chose dans la configuration des permaliens ou du serveur est cassé — plus fréquent qu’on ne le pense après une mise à jour ou un changement d’hébergeur.
2. HTTPS sur tout le site, sans exception (1 min)
Vérifiez que le cadenas apparaît sur chaque page, pas seulement la page d’accueil. Si une page charge des ressources en HTTP (images, scripts), le navigateur devrait signaler un “contenu non sécurisé” — c’est une vraie faille, pas seulement esthétique.
3. Une sauvegarde récente et, surtout, restaurable (2 min)
Il ne suffit pas qu’une sauvegarde existe : elle doit dater des derniers jours, et vous devez savoir la restaurer sans aide extérieure. Si votre seule copie a plusieurs semaines ou que vous n’avez jamais testé sa restauration, en pratique vous n’avez pas de sauvegarde.
4. 2FA activé pour TOUS les administrateurs (1 min)
Un seul compte administrateur sans double authentification est la porte d’entrée la plus facile qui soit : il suffit de deviner ou de faire fuiter un mot de passe. Vérifiez la liste des utilisateurs ayant le rôle administrateur et confirmez que tous, sans exception, ont le 2FA activé.
5. Les en-têtes de sécurité sont présents (1 min)
Des en-têtes comme X-Frame-Options, X-Content-Type-Options ou Content-Security-Policy ne sont plus optionnels aujourd’hui : ils bloquent des catégories entières d’attaques (clickjacking, sniffing MIME) presque gratuitement. N’importe quel vérificateur d’en-têtes HTTP en ligne vous le confirmera en quelques secondes.
6. Personne n’a plus de droits que nécessaire (1 min)
Vérifiez la liste des utilisateurs. Un éditeur de contenu n’a pas besoin du rôle administrateur. Chaque compte admin superflu est un compte de plus qui, s’il est compromis, compromet tout le site.
7. Extensions et thèmes à jour — et pas d’abandonware (1 min)
Ouvrez le panneau des mises à jour. Portez une attention particulière aux extensions non mises à jour depuis plus d’un an : si l’auteur l’a abandonnée, aucune vulnérabilité découverte à partir de maintenant ne sera jamais corrigée.
8. Les fichiers sensibles ne sont pas accessibles publiquement (1 min)
Essayez d’ouvrir directement dans le navigateur l’URL de votre wp-config.php ou le readme.txt d’une extension. Vous devriez obtenir une erreur, jamais voir le contenu réel. Si vous le voyez, c’est une fuite d’information immédiate.
9. Limitation des tentatives de connexion (30 sec)
Essayez d’échouer une connexion 5 à 6 fois de suite avec un compte de test. Si rien ne vous bloque ni ne vous ralentit, n’importe quel script peut tester des milliers de mots de passe sans aucun coût.
10. Vous savez quel trafic votre site reçoit aujourd’hui (30 sec)
Ouvrez le tableau de bord de votre extension de sécurité et regardez le journal de trafic ou des événements bloqués des dernières 24 heures. Si vous n’avez aucune idée du nombre de tentatives d’attaque que reçoit votre site chaque jour, ce n’est pas que vous n’en recevez pas — c’est simplement que vous ne les voyez pas.
Combien en avez-vous coché ?
Si vous avez échoué sur 3 points ou plus, ce n’est pas une alarme — c’est normal, et c’est exactement pour cela que ce checklist existe. Mais il convient de les corriger cette semaine, en commençant par le 2FA et une sauvegarde restaurable, les deux points qui changent le plus l’issue en cas de problème.