Comment nettoyer un site WordPress piraté et renforcer sa sécurité

Malgré les dernières technologies et les meilleures pratiques de sécurité, il est toujours possible que votre site WordPress soit piraté. Cela peut rapidement dégénérer si vous ne savez pas comment récupérer votre site Web.

La bonne nouvelle est que tout espoir n’est pas perdu après une attaque. Si vous prenez les bonnes mesures, comme contacter votre fournisseur d'hébergement, identifier la cause du piratage et restaurer une sauvegarde propre, vous pouvez éviter bien des douleurs et des frustrations.

Dans cet article, nous examinerons les types de hacks les plus courants affectant les sites WordPress. Ensuite, nous vous montrerons comment nettoyer votre site WordPress piraté et partagerons quelques méthodes clés pour renforcer la sécurité.

Types courants de hacks qui affectent les sites WordPress

Avant de vous montrer comment nettoyer un site WordPress piraté, examinons d'abord certains des types d'attaques les plus courants qui affectent WordPress.

1. Injection de logiciels malveillants

Les logiciels malveillants sont considérés comme le type de cybermenace le plus préoccupant selon les décideurs informatiques du monde entier. Le terme est utilisé pour décrire tout type de logiciel nuisible, comme un ransomware ou un virus, qui peut causer des problèmes sur votre site Web ou votre ordinateur.

Par exemple, le logiciel peut être capable de prendre le contrôle de l'intégralité de votre ordinateur ou de votre compte, de surveiller les actions que vous effectuez sur votre site ou d'extraire des informations sensibles (telles que des informations personnelles ou de paiement). Il peut également être difficile à repérer car il se manifeste de diverses manières.

Cependant, en règle générale, les logiciels malveillants nécessitent que vous entrepreniez une action afin de les installer ou de les activer. Ainsi, vous pouvez télécharger un fichier ou ouvrir une pièce jointe à un e-mail comme une image ou un document PDF.

Il peut être très difficile de détecter et de supprimer les logiciels malveillants de votre site Web. Votre meilleur pari est d'installer un scanner de logiciels malveillants comme Jetpack Scan. Mais si un logiciel malveillant est découvert sur votre site, vous devrez nettoyer les fichiers concernés ou les remplacer par des copies de vos fichiers de sauvegarde.

2. Attaques par force brute

Les attaques par force brute se produisent lorsque des pirates informatiques utilisent la force brute pour obtenir un accès non autorisé à votre site Web. En utilisant des essais et des erreurs, les pirates informatiques travaillent sur des tonnes de combinaisons de mots de passe et de noms d'utilisateur jusqu'à ce qu'ils réussissent.

C'est l'un des types de hacks WordPress les moins sophistiqués. Mais il reste très populaire car cela ne prend que quelques secondes pour déchiffrer votre mot de passe (en fonction de sa longueur et de sa complexité).

En règle générale, les attaques par force brute sont menées pour mener un autre type d'attaque sur votre site. Par exemple, une fois que le pirate informatique a réussi son chemin, il peut distribuer des logiciels malveillants, voler des données personnelles, rediriger le trafic de votre site Web ou placer des publicités indésirables pour réaliser des bénéfices.

Heureusement, vous pouvez réduire le risque d’attaques par force brute en renforçant votre procédure de connexion. Vous pouvez modifier l'URL de connexion, mettre en œuvre une authentification à deux facteurs et appliquer des mots de passe forts. De plus, vous pouvez toujours utiliser une solution automatique comme la protection contre la force brute Jetpack.

3.Injection SQL

Le but d’une injection de langage de requête structuré (SQL) est de manipuler les données de votre base de données WordPress. Cela peut être accompli en utilisant des instructions SQL pour inciter la base de données à effectuer des actions indésirables. Comme de nombreux hacks, ce type d’attaque peut avoir d’autres conséquences.

Par exemple, une fois que le pirate informatique accède à votre base de données, il peut extraire des données sensibles, corrompre ou modifier des informations, contourner l'authentification ou supprimer toutes les données de votre site Web. En accédant aux tables et aux fichiers de votre base de données, il est également courant que les pirates informatiques diffusent des logiciels malveillants à ces emplacements.

Pour éviter les injections SQL, vous devez sécuriser votre base de données. Cela peut généralement être accompli avec quelques choses simples, comme maintenir votre base de données à jour pour accéder aux dernières mises à jour de sécurité. Vous devez également limiter les autorisations de la base de données, afin que si un pirate informatique y accède, il puisse faire moins de dégâts.

4. Scripts intersites (XSS)

Le cross-site scripting (XSS), comme les logiciels malveillants, implique également la distribution de code malveillant sur votre site. Mais, dans ce cas, le code s’exécute dans le navigateur du visiteur lorsqu’il arrive sur votre site.

Généralement, le code est injecté dans des commentaires, des champs de formulaire ou des scripts susceptibles de s'exécuter automatiquement. Par exemple, le pirate informatique peut insérer du JavaScript malveillant dans un commentaire sur votre blog WordPress.

L’un des principaux problèmes des attaques XSS est qu’il n’y a généralement aucune indication que quelque chose s’est mal passé. De plus, étant donné que ce type d'attaque cible les informations de vos visiteurs, il peut nuire considérablement à la réputation de votre site Web.

Empêcher XSS peut être assez technique, mais vous vous donnerez une meilleure chance de réduire ces attaques en mettant en œuvre des protocoles de cryptage tels que les certificats SSL. De cette façon, même si un pirate informatique peut accéder aux informations, il ne pourra pas les lire.

5. Portes arrière

Une attaque par porte dérobée contourne les procédures d'authentification habituelles (comme les noms d'utilisateur et les mots de passe) pour obtenir un accès non autorisé à votre site. Pour mener ce type d'attaque, les pirates exploitent les vulnérabilités existantes ou installent des logiciels malveillants pour créer un point d'entrée.

Une fois que les attaquants ont trouvé un chemin vers votre site, ils sont capables de voler des informations, de suivre votre activité et de perturber l'ensemble de votre système. Malheureusement, une porte dérobée efficace peut passer très longtemps inaperçue si elle est bien cachée.

La meilleure façon de dissuader les pirates de créer des portes dérobées sur votre site est d'installer un pare-feu d'application Web (WAF) pour surveiller tout le trafic entrant. Et l’associer à un scanner de logiciels malveillants peut en même temps aider à éloigner le contenu malveillant de votre site.

Comment les sites WordPress sont piratés

Maintenant que vous en savez un peu plus sur les types courants de piratage, examinons certaines des façons dont les sites WordPress sont piratés.

1. Noyau, thèmes et plugins obsolètes

Si vous souhaitez assurer la sécurité de WordPress, il est important d'exécuter les mises à jour du noyau, des thèmes et des plugins lorsqu'elles sont disponibles. En effet, la plupart des mises à jour contiennent des correctifs pour les bogues et les vulnérabilités de sécurité découvertes dans la version précédente.

Une fois ces vulnérabilités connues, les pirates peuvent les exploiter et les utiliser pour accéder à votre site Web. Par conséquent, c'est toujours une bonne idée de mettre à jour le noyau de WordPress, ainsi que vos thèmes et plugins, à partir de votre tableau de bord. Et si vous craignez que les mises à jour endommagent votre site, vous pouvez créer une sauvegarde pour restaurer votre site Web en cas de problème.

2. Mots de passe et identifiants utilisateur faibles

Plus votre mot de passe est faible, plus il est facile pour les pirates d'accéder à votre site Web. En fait, même les mots de passe qui utilisent des chiffres et des symboles peuvent être déchiffrés en quelques secondes s’ils comportent moins de sept caractères.

De plus, la plupart des utilisateurs ont tendance à donner la priorité aux mots de passe forts pour le compte administrateur WordPress. Mais il est important de renforcer tous vos mots de passe, y compris ceux que vous utilisez pour votre compte d'hébergement Web, vos comptes FTP, votre base de données MySQL et vos comptes de messagerie.

Naturellement, le moyen le plus simple de rendre votre site moins vulnérable à une attaque basée sur les informations d'identification est d'utiliser (et d'appliquer) des mots de passe forts sur votre site. Et bien sûr, vous pouvez renforcer l’ensemble de la procédure de connexion en utilisant des méthodes telles que l’authentification à deux facteurs.

3. Un environnement d'hébergement vulnérable

À moins que vous n'exploitiez un site Web local, les fichiers de votre site sont stockés sur un serveur actif et ouverts aux attaques. Bien qu'il existe de nombreux fournisseurs d'hébergement disponibles, il est important d'en choisir un qui donne la priorité à WordPress et offre un environnement sécurisé.

C'est pourquoi il est préférable de s'en tenir à des fournisseurs d'hébergement réputés qui offrent des fonctionnalités utiles telles que les WAF, les certificats SSL et les mises à jour automatiques. De plus, si vous avez le budget, il est généralement plus sûr de choisir un plan d'hébergement géré ou un plan d'hébergement dédié plutôt qu'un environnement d'hébergement partagé.

4. Thèmes et plugins mal codés

Nous avons déjà évoqué l'importance de maintenir vos thèmes et plugins à jour. Mais vous devez également vous assurer que vous installez uniquement des thèmes et des plugins provenant de sources fiables.

En règle générale, si vous accédez à un nouveau logiciel pour votre site, il est préférable de vous en tenir aux répertoires WordPress officiels ou au site Web du développeur (s'il s'agit d'un outil premium). De plus, c'est toujours une bonne idée de consulter les avis pour voir si de vrais utilisateurs ont rencontré des problèmes de sécurité.

5. Téléchargements de fichiers non sécurisés

De nombreux sites Web permettent aux visiteurs de télécharger des fichiers tels que des CV, des images, etc. Mais de nombreux utilisateurs de WordPress ne réalisent pas que la fonction de téléchargement de fichiers peut être utilisée pour mener de nombreuses attaques graves.

Par exemple, les pirates peuvent utiliser cette fonction pour télécharger des fichiers de script dangereux côté serveur qui permettent l'exécution de code à distance ou qui peuvent être déclenchés par une requête HTTP.

Heureusement, vous pouvez empêcher les téléchargements de fichiers non sécurisés en imposant des restrictions sur les fichiers, notamment le type de contenu, la taille du fichier, etc. Mieux encore, vous pouvez authentifier les sessions utilisateur afin que les visiteurs doivent se connecter avant de pouvoir télécharger des fichiers sur votre site.

Signes courants d’un site WordPress piraté

Nous allons ensuite examiner les signes les plus courants d’une attaque sur votre site Web.

1. Notifications de votre plugin de sécurité

Si vous utilisez un plugin de sécurité, vous saurez immédiatement si votre site WordPress a été piraté. Avec Jetpack Scan, vous recevrez des notifications instantanées par e-mail lorsque des menaces ou un comportement suspect sont détectés.

Mieux encore, lorsque vous visitez votre tableau de bord, l'interface intuitive permet de voir et de comprendre facilement les problèmes détectés. Et certains problèmes peuvent même être résolus en un seul clic.

L'analyse a lieu sur les serveurs Jetpack afin que vous puissiez accéder à votre site même en cas de panne.

L’avantage de l’utilisation de Jetpack comme plugin de sécurité WordPress est que vous aurez moins probablement besoin de détecter et de supprimer des logiciels malveillants en premier lieu. Grâce à ses nombreuses mesures de protection, comme un WAF 24h/24 et 7j/7, une authentification à deux facteurs, une protection contre les attaques par force brute, etc., votre site sera beaucoup plus difficile d'accès pour un pirate informatique.

2. Modifications de fichiers suspectes

L’un des signes les plus courants d’un piratage WordPress est la modification suspecte de fichiers, en particulier dans vos fichiers WordPress principaux (et en particulier dans le dossier wp-content ). Cela peut être difficile à détecter car les pirates peuvent créer de nouveaux fichiers portant des noms similaires à ceux existants.

Ou bien, ils peuvent simplement modifier vos fichiers principaux existants en y plaçant leur propre code. Comme cela peut être difficile à détecter, il est important d’utiliser un plugin de sécurité qui surveille les fichiers et la base de données de votre site Web. Sinon, vous devrez examiner manuellement les dossiers WordPress pour identifier tout fichier ou script malveillant.

3. Utilisateurs administrateurs ou comptes FTP inconnus

Si vous avez activé l'enregistrement des utilisateurs sur votre site (et que vous n'utilisez pas de protection anti-spam), il est facile pour les pirates de créer des comptes d'utilisateurs spam. Dans ce cas, vous pourrez généralement simplement supprimer le compte spam.

Mais si votre site n'est pas ouvert à l'enregistrement des utilisateurs et que vous voyez de nouveaux comptes d'utilisateurs, il est probable que votre site Web ait été piraté. Ceci est particulièrement problématique si le nouvel utilisateur est un administrateur, car il aura un accès complet à chaque partie de votre site.

4. Redirections et pop-ups malveillants

D’autres signes courants d’un piratage WordPress sont les redirections et les popups malveillants. Dans ce dernier cas, les pirates tentent de détourner votre trafic Web et de gagner de l'argent en affichant des publicités spam.

Bien que ces types de fenêtres contextuelles n'apparaissent pas pour les utilisateurs connectés ou ceux qui visitent directement votre site Web, elles seront visibles par ceux qui atterrissent sur votre site à partir des moteurs de recherche. Pire encore, ces publicités s'ouvrent souvent dans une nouvelle fenêtre et peuvent passer longtemps inaperçues.

De plus, les pirates peuvent rediriger le trafic de votre site Web vers des sites Web tiers susceptibles de diffuser des logiciels malveillants ou de générer d'autres risques de sécurité. Généralement, ce type d’attaque est provoqué par une porte dérobée sur votre site que les pirates peuvent exploiter.

5. Liens vers des sites de spam

Comme nous l’avons évoqué dans une section précédente, les injections de données sont l’un des types de problèmes de sécurité WordPress les plus courants. Et une fois qu'un pirate informatique accède à votre site (généralement par une porte dérobée), il est en mesure de modifier les fichiers et les tables de votre base de données.

Certains de ces hacks impliquent des liens vers des sites Web de spam qui sont souvent ajoutés au pied de page de WordPress. Et même si vous pouvez supprimer les liens que vous trouvez, cela ne résoudra pas la racine du problème. Au lieu de cela, vous devrez trouver et réparer la porte dérobée que les pirates ont pu exploiter.

6. Pics de trafic inhabituels

Les modifications apportées à votre trafic Web habituel peuvent souvent être un indicateur clair d’un piratage WordPress. Par exemple, une baisse soudaine du trafic peut signifier qu'un logiciel malveillant présent sur votre site redirige les visiteurs vers des sites Web de spam.

Pendant ce temps, si votre serveur est inondé de tonnes de requêtes, il se peut que des pirates tentent une attaque par déni de service distribué (DDoS). Dans ce cas, les pirates informatiques submergent votre serveur de centaines de fausses requêtes pour provoquer le crash de votre site Web.

7. Liste de blocage de Google

Une autre raison expliquant une baisse du trafic Web pourrait être que l'outil de navigation sécurisée de Google avertit les visiteurs de ne pas accéder à votre site Web. En fait, Google bloque chaque jour environ 10 000 sites Web en raison d’irrégularités qu’il considère comme des logiciels malveillants, des liens de phishing, du spam, etc.

Dans ce cas, votre site Web sera supprimé de l'index Google et les visiteurs ne pourront ni consulter ni utiliser votre site Web. Cela peut également nuire à la réputation de votre site Web, car cela donne l'impression que votre site n'est pas fiable et dangereux.

Vous pouvez consulter le rapport de sécurité de votre site à l'aide de l'outil de navigation sécurisée. Pour supprimer votre site de la liste de blocage, vous devrez résoudre les problèmes. Ensuite, vous pouvez utiliser Google Search Console pour demander un examen de sécurité.

Utiliser Jetpack Scan pour détecter les problèmes de sécurité

La meilleure façon d’empêcher le piratage de votre site WordPress est d’utiliser une fonction de sécurité automatique telle que Jetpack Scan. De cette façon, vous bénéficierez d'analyses quotidiennes des logiciels malveillants et des vulnérabilités, ainsi que d'alertes immédiates chaque fois que des problèmes sont découverts. De plus, vous recevrez des conseils sur la façon de résoudre les problèmes et aurez accès à des correctifs en un clic .

Jetpack Scan est disponible en tant que fonctionnalité autonome ou dans le cadre du plan de sécurité avec le plugin Jetpack. Jetpack Security est la meilleure option car elle inclut Jetpack Scan, mais comprend également des sauvegardes en temps réel, une protection anti-spam, une authentification à deux facteurs, une protection contre les attaques par force brute et un journal d'activité complet de 30 jours pour suivre toutes les actions sur votre site.

Si vous ne voulez pas du plugin Jetpack complet, vous pouvez opter pour un forfait payant avec le plugin Jetpack Protect pour obtenir le même accès aux analyses quotidiennes gratuites des logiciels malveillants, aux alertes instantanées et aux correctifs en un clic. De plus, vous bénéficierez également d'une protection WAF 24h/24 et 7j/7.

1. Identifiez la source du piratage

Si vous vous demandez comment nettoyer un site WordPress piraté, la première étape consiste à identifier la source du piratage. Le plus simple pour cela est de consulter un journal d’activité (à condition de disposer d’un plugin de sécurité qui en fournit un).

Par exemple, avec Jetpack Security, vous obtiendrez un journal d'activité de 30 jours où vous pourrez surveiller chaque action sur votre site. Cela inclut tout, des nouveaux comptes d'utilisateurs aux modifications de fichiers. Cela signifie que vous pourrez examiner toutes les actions répertoriées et prendre note de tout ce qui semble suspect.

Si vous n'avez pas de journal d'activité ou si vous ne pouvez pas accéder à votre site, c'est une bonne idée de vérifier les journaux d'erreurs de votre serveur. Vous ne pouvez accéder aux journaux d’erreurs qu’en activant le débogage dans WordPress.

Vous pouvez le faire en utilisant un plugin comme WP Debugging.

Ou, vous pouvez modifier votre fichier wp-config.php via un client FTP. Dans ce cas, recherchez la ligne indiquant « C'est tout, arrêtez d'éditer ! » Ensuite, collez le code suivant :

 define( 'WP_DEBUG', true );

 define( 'WP_DEBUG_LOG', true );

Le journal des erreurs est généralement appelé debug.log et se trouve dans le dossier wp-content . Ici, vous pouvez afficher tous les messages d'erreur, avertissements et avis enregistrés sur votre site.

Mais gardez à l’esprit que modifier directement les fichiers de votre site Web est un processus très délicat. En tant que tel, seuls les utilisateurs ou développeurs WordPress avancés devraient l’essayer. Et vous devez toujours disposer d’une sauvegarde complète de votre site avant de continuer.

Comme alternative plus simple, vous pouvez installer un scanner de logiciels malveillants comme Jetpack Scan pour détecter les logiciels malveillants sur votre site.

2. Contactez votre hébergeur

La prochaine étape pour nettoyer un site WordPress piraté consiste à contacter votre fournisseur d'hébergement. Ceci est particulièrement pertinent si vous utilisez un plan d'hébergement partagé, car il peut y avoir un problème plus important dont votre hébergeur est déjà conscient. De plus, selon votre type d'hébergement, vous ne pourrez peut-être pas accéder aux journaux d'erreurs de votre serveur. Dans ce cas, vous devrez donc demander à votre hébergeur de le faire pour vous.

3. Restaurez une sauvegarde propre si vous en avez une

La bonne nouvelle est que si vous disposez d’une sauvegarde, il est beaucoup plus facile de nettoyer un site WordPress piraté. En effet, vous pourrez simplement restaurer votre site Web à une version précédente.

Naturellement, vous ne pouvez le faire que si vous utilisez un plugin de sauvegarde tel que Jetpack VaultPress Backup.

Il s'agit d'un plugin sophistiqué qui crée des sauvegardes cloud en temps réel de votre site, y compris les tables de base de données, le contenu et les données WooCommerce. Les sauvegardes sont également cryptées pour protéger vos informations. Et vous bénéficierez de restaurations en un clic, que vous pouvez effectuer depuis votre site ou l'application mobile, même si votre site est complètement en panne.

Tout ce que vous avez à faire est de vous diriger vers Jetpack → Journal d'activité et d'utiliser les filtres pour rechercher une plage de dates ou un événement spécifique. Ensuite, cliquez sur Restaurer. Alternativement, vous pouvez accéder à Jetpack → Sauvegarde → Actions → Restaurer à ce stade.

Si vous souhaitez restaurer l'intégralité de votre site, laissez toutes les cases cochées et sélectionnez Confirmer la restauration. Vous recevrez ensuite un message de confirmation une fois le processus terminé.

4. Nettoyer les fichiers piratés

Enfin, si vous vous demandez comment nettoyer un site WordPress piraté et que vous n'avez pas de sauvegarde sous la main, vous devrez nettoyer les fichiers ciblés. Mais avant de commencer, il est important de créer une sauvegarde de votre site au cas où quelque chose se passerait mal lorsque vous supprimeriez/modifieriez les fichiers.

Si vous utilisez un plug-in de sécurité ou un scanner de logiciels malveillants, vous pouvez consulter les rapports susceptibles de fournir une liste de fichiers suspects. Par exemple, Jetpack Scan propose des correctifs en un clic pour de nombreuses erreurs et hacks courants.

Ou si vous le faites manuellement, vous pouvez télécharger une nouvelle installation de WordPress et comparer le code des fichiers principaux avec les fichiers de votre site Web. Si vous trouvez un code qui ne correspond pas aux nouveaux fichiers, supprimez-le.

Alternativement, vous pouvez remplacer tous les fichiers WordPress en accédant à Tableau de bord → Mises à jour et en cliquant sur le bouton Réinstaller la version .

Cela ne remplacera ni ne supprimera aucun contenu, plugins ou images. Tout ce qu'il fait, c'est remplacer les fichiers au cœur de WordPress.

De plus, si les fichiers concernés se trouvent dans votre thème WordPress, désinstallez simplement le thème, puis installez une nouvelle version. Il en va de même pour tous les fichiers de plugin infectés.

Renforcement de la sécurité après avoir nettoyé votre site piraté

Maintenant que vous savez comment nettoyer un site WordPress piraté, passons en revue quelques méthodes pour renforcer la sécurité après le nettoyage. De cette façon, vous pouvez mieux protéger votre site Web contre de futurs piratages.

1. Installez un plugin de sécurité et de sauvegarde

Le moyen le plus simple d’étendre la protection de votre site WordPress consiste à installer un plugin de sécurité et de sauvegarde. Cela fournira une protection contre la majorité des menaces, ainsi que des solutions pour résoudre la plupart des problèmes qui passent.

Les meilleurs plugins de sécurité WordPress offrent une gamme de mesures préventives telles que des WAF, des analyses quotidiennes, des journaux d'activité et une protection de connexion. Vous pouvez également trouver des options telles que Jetpack Security qui incluent même des soins de suivi tels que des actions recommandées et des correctifs en un clic.

Mieux encore, Jetpack Security inclut le plugin avancé Jetpack VaultPress Backup, vous n'avez donc pas besoin d'installer un service distinct. De cette façon, vous pouvez faire des copies en temps réel de tous les fichiers et tables de base de données disponibles. De plus, vous pouvez restaurer certains éléments, ou l'intégralité de votre site, en un seul clic.

2. Réinitialisez tous les mots de passe

Si votre site WordPress a été piraté, il y a de fortes chances que vos mots de passe aient été compromis. Par conséquent, vous devez réinitialiser tous les mots de passe, y compris ceux de votre compte administrateur, compte d'hébergement, compte FTP, compte de messagerie et base de données.

Pour renforcer votre procédure de connexion, il est préférable de s'en tenir à des mots de passe très forts composés de lettres majuscules et minuscules, de chiffres et de caractères spéciaux. De plus, essayez de créer des mots de passe aussi longs que possible. Si vous ne parvenez pas à créer vous-même des mots de passe forts, vous pouvez toujours utiliser un générateur de mots de passe.

3. Mettez en œuvre des politiques de mots de passe solides

Bien qu'il soit utile de réinitialiser vos mots de passe, vous souhaiterez également mettre en œuvre des politiques de mots de passe strictes sur votre site pour protéger tous les comptes d'utilisateurs. Cela peut impliquer d’éduquer les utilisateurs sur les dangers des mots de passe faibles.

Dans cet esprit, vous souhaiterez peut-être inclure ces informations dans un e-mail de bienvenue lorsque de nouveaux utilisateurs s'inscrivent sur votre site. Ou vous pouvez appliquer des mots de passe forts avec un plugin tel que Password Policy Manager.

De cette façon, vous pouvez surveiller la force de tous les mots de passe. Vous pouvez également demander aux utilisateurs de modifier leurs mots de passe existants et d'activer les dates d'expiration automatique pour exiger des mises à jour régulières des informations d'identification.

4. Configurez l'authentification à deux facteurs (2FA) avec Jetpack

Même si les mots de passe forts peuvent rendre difficile l’accès des pirates à votre site, vous pouvez aller plus loin et mettre en œuvre une authentification à deux facteurs. De cette façon, en plus d’un mot de passe fort, les utilisateurs auront besoin d’une deuxième clé pour réussir leur connexion.

En règle générale, la deuxième clé est un code de vérification envoyé à un compte de messagerie ou à un numéro de téléphone mobile. La bonne nouvelle est que si vous utilisez déjà un plugin de sécurité comme Jetpack, vous pouvez l'activer directement dans votre tableau de bord.

Tout ce que vous avez à faire est d'aller dans Jetpack → Paramètres → Sécurité . Localisez la section de connexion WordPress.com et utilisez le bouton bascule pour permettre aux utilisateurs de se connecter à votre site avec leurs comptes WordPress.com. Ensuite, utilisez la bascule ci-dessous pour exiger que les comptes utilisent l'authentification à deux facteurs.

5. Gardez le logiciel WordPress à jour

L’un des moyens les plus simples de renforcer la sécurité de WordPress consiste à mettre régulièrement à jour le logiciel principal de WordPress (ainsi que les thèmes et les plugins). De cette façon, vous aurez accès aux derniers correctifs de sécurité. De plus, cela rend votre site plus résistant aux attaques par porte dérobée.

Pour vous assurer que vous utilisez la dernière version de WordPress, accédez à Tableau de bord → Mises à jour. Ci-dessous, vous verrez également les plugins et les thèmes pour lesquels des mises à jour sont disponibles. Sélectionnez simplement les options pertinentes et cliquez sur Mettre à jour.

6. Auditer les comptes d'utilisateurs

Il est important de s’assurer que les bonnes personnes disposent du bon niveau d’accès à votre site Web. Pour déterminer cela, vous devrez attribuer des rôles d'utilisateur à chaque nouvel utilisateur de votre site Web. Cela accorde des autorisations et des privilèges spécifiques à chaque personne enregistrée.

Mais c'est une bonne idée d'auditer régulièrement vos comptes d'utilisateurs pour vous assurer que les paramètres reflètent l'état actuel de votre site Web. Par exemple, vous pouvez oublier de supprimer un utilisateur lorsqu'un membre du personnel démissionne.

Vous pouvez afficher tous les rôles d'utilisateur en accédant à Utilisateurs → Tous les utilisateurs dans votre tableau de bord WordPress. En haut de la page, vous verrez des liens vous permettant d'afficher les comptes en fonction de leur rôle d'utilisateur, comme les auteurs, les contributeurs et les éditeurs.

En règle générale, chaque site ne doit avoir qu'un seul administrateur. Si vous voyez de nouveaux comptes d'administrateur, cela peut être le signe d'un piratage. De plus, il est préférable de fonctionner selon le principe du moindre privilège afin que les utilisateurs ne puissent effectuer que les actions dont ils ont absolument besoin.

7. Supprimez votre site des listes dangereuses (Google ou McAfee)

Si votre site Web a été victime d'un piratage WordPress, vous constaterez peut-être que vous avez été bloqué par les moteurs de recherche comme Google et McAfee. Même une fois que vous aurez nettoyé les fichiers infectés (ou restauré votre site), vous verrez probablement toujours des avertissements.

Dans ce cas, vous devrez demander un examen de sécurité pour supprimer votre site des listes dangereuses. Vous pouvez le faire en utilisant Google Search Console. Vous pouvez également soumettre une demande de contestation auprès de McAfee.

Comment protéger votre site contre le piratage avec Jetpack Security

Comme nous en avons discuté, la meilleure façon de protéger votre site Web contre le piratage est d'installer une solution de sécurité complète comme Jetpack Security.

Pour démarrer avec cet outil, commencez par installer et activer le plugin Jetpack. Ensuite, tout ce que vous avez à faire est de sélectionner un plan de sécurité ou complet et de procéder au paiement. Entrez l'URL de votre site et continuez. Vous devrez également saisir les informations d'identification de l'administrateur du compte que vous souhaitez connecter à Jetpack.

Une fois Jetpack configuré avec succès, vous pourrez terminer le processus de paiement. Ensuite, vous pouvez activer les fonctionnalités recommandées dans la liste de contrôle de configuration. Vous pouvez également revenir à votre tableau de bord et configurer les paramètres ultérieurement.

Questions fréquemment posées

Dans cette section, nous aborderons certaines des questions les plus fréquemment posées concernant le nettoyage et la sécurisation d'un site WordPress piraté.

Comment puis-je être sûr que mon site WordPress a été piraté ?

La meilleure façon de savoir que votre site WordPress a été piraté est de consulter votre plugin de sécurité. Avec un plugin de qualité comme Jetpack, vous recevrez des notifications instantanées par e-mail lorsqu'une menace est détectée.

Mais il existe d’autres signes courants d’un piratage auxquels vous pouvez prêter attention. Par exemple, vous pouvez découvrir des comptes d'utilisateurs ou des comptes FTP inconnus.

De plus, il peut y avoir de nouveaux liens vers des sites Web tiers ou des modifications suspectes dans des fichiers WordPress importants. Et si votre site Web a été piraté, vous le trouverez peut-être sur les listes de blocage de Google et McAfee.

Comment puis-je analyser mon site WordPress à la recherche de logiciels malveillants ?

Les logiciels malveillants sont l’une des menaces en ligne les plus préoccupantes et peuvent être très difficiles à identifier. Heureusement, vous pouvez utiliser un outil d'analyse simple comme Jetpack Scan, qui examinera automatiquement votre site à la recherche de vulnérabilités et de logiciels malveillants et vous alertera instantanément si un problème est détecté.

De plus, il est livré avec des correctifs en un clic pour la plupart des problèmes et un WAF 24h/24 et 7j/7 pour bloquer le trafic malveillant afin de réduire les menaces dès le départ.

Pourquoi est-il important de sauvegarder régulièrement mon site WordPress ?

Si votre site WordPress est piraté, ce n'est pas la fin du monde si vous disposez de sauvegardes. Si vous ne le faites pas, vous risquez de rencontrer bien plus de problèmes car vous devrez examiner manuellement tous les fichiers de votre site Web à la recherche de code malveillant. Ensuite, vous devrez remplacer tous les fichiers corrompus par des remplacements propres, ce qui peut prendre du temps et être sujet aux erreurs.

Mais, avec un outil tel que Jetpack VaultPress Backup, vous pouvez immédiatement restaurer votre site Web à une version antérieure. Vous pouvez choisir le moment exact auquel vous souhaitez restaurer votre site Web. De plus, vous pouvez choisir de restaurer l'intégralité de votre site Web ou de sélectionner des fichiers spécifiques.

Quelle est la meilleure façon de sauvegarder mon site WordPress ?

Le moyen le plus simple de sauvegarder votre site Web consiste à installer un plugin automatique tel que Jetpack VaultPress Backup. De cette façon, vous pouvez protéger les fichiers de votre site Web, les tables de base de données et les données des clients et des commandes.

Les sauvegardes sont stockées dans le cloud, donc même si votre serveur tombe en panne, votre sauvegarde restera intacte. De plus, le processus de restauration est très simple, avec la possibilité de restaurer votre site en un seul clic. De plus, vous pouvez le faire directement depuis votre tableau de bord ou utiliser l'application mobile Jetpack.

Qu’est-ce qu’un pare-feu d’application Web (WAF) et comment améliore-t-il la sécurité de WordPress ?

Un pare-feu d'application Web (WAF) est l'une des mesures de sécurité préventives les plus sophistiquées que vous puissiez mettre en œuvre sur votre site. Un WAF fonctionne en surveillant tout votre trafic Web entrant. Ensuite, il bloque toute adresse IP qu’il juge suspecte.

Si vous choisissez de protéger votre site avec Jetpack Security, vous aurez accès à un WAF pour une protection 24h/24 et 7j/7.

Comment Jetpack Security aide-t-il à identifier et à atténuer les tentatives de piratage ?

Jetpack Security peut vous offrir une totale tranquillité d'esprit en matière de sécurité WordPress. Vous aurez accès à des sauvegardes en temps réel, donc si quelque chose ne va pas sur votre site, vous pourrez rapidement le restaurer vers une version antérieure.

Jetpack fournit une protection anti-spam pour les commentaires et les formulaires avec Akismet. Et vous obtiendrez même un journal d'activité de 30 jours où vous pourrez surveiller chaque action sur votre site. Ceci est particulièrement utile lors de l’identification d’erreurs et d’autres problèmes de sécurité.

De plus, vous bénéficierez également d'analyses de logiciels malveillants et d'un WAF. De plus, lorsque des problèmes sont détectés sur votre site, vous en serez immédiatement informé. Et, via votre tableau de bord, vous aurez accès à des correctifs en un clic et à des recommandations d'experts en matière de sécurité.

Jetpack Security : votre bouclier contre les hacks WordPress

Il est facile de paniquer lorsque vous réalisez que votre site WordPress a été piraté. Cela est particulièrement vrai lorsque vous ne savez pas comment récupérer votre site Web. Mais la situation est beaucoup moins stressante lorsque l’on sait comment nettoyer et protéger son site contre le piratage.

Une fois que vous avez restauré votre site à l'aide d'une sauvegarde (ou nettoyé les fichiers piratés), vous pouvez installer un plugin de sécurité et réinitialiser tous les mots de passe. Ensuite, il est important d'auditer les comptes d'utilisateurs, de configurer une authentification à deux facteurs et de supprimer votre site de toutes les listes de blocage.

Mais pour une totale tranquillité d'esprit, c'est une bonne idée d'installer un plugin de sécurité tout-en-un comme Jetpack Security. De cette façon, vous aurez accès à un journal d'activité de 30 jours, à une protection complète contre le spam des commentaires et des formulaires, à des sauvegardes en temps réel, à une protection contre les attaques par force brute, à un pare-feu d'application Web, et bien plus encore. Commencez dès aujourd’hui à sécuriser votre site WordPress !