Cet article (en anglais) issu du blog de Delicious Brains met en avant les mythes les plus courants sur la securite de WordPress. Apres avoir etabli certains constats, l’article propose une checklist proactive pour securiser votre site.
Les mythes deboulonnes
L’article passe en revue plusieurs mythes tenaces, par exemple :
- « Le Coeur de WordPress n’est pas securise » (faux : le core est l’un des projets les plus audites au monde)
- « Cacher l’URL d’admin (/wp-admin) ameliore la securite » (faux : c’est du security through obscurity)
- « Un plugin de securite suffit » (faux : la securite est multi-couches)
- « Les mises a jour automatiques cassent toujours quelque chose » (faux : statistiquement, c’est ne PAS mettre a jour qui casse)
La checklist proactive
L’article propose une checklist orientee developpeurs :
- Maitriser les permissions de fichiers
- Echapper systematiquement les sorties
- Valider et assainir les entrees
- Limiter les capabilities des utilisateurs
- Securiser le wp-config.php
Bonus : les pages de spam cachees
En complement, vous pouvez lire un article technique sur le cas des pages de spam cachees (Sucuri). Une menace souvent invisible qui detruit progressivement le SEO et peut entrainer des blacklists.
Notre lecture
Ces deux lectures sont a partager en interne dans les agences. Beaucoup de devs juniors (et seniors) trainent des mauvaises pratiques heritees des annees 2010. La securite WordPress moderne, c’est rigueur dans le code + bons reflexes operationnels + maintenance reguliere. Pas besoin de magie.