Vos logiciels sont-ils à jour et vos comptes administrateur bien verrouillés ?

La plupart des sites web ne sont pas piratés par des génies armés de failles toutes neuves. Des vulnérabilités connues dans des logiciels non mis à jour et des identifiants administrateur faibles ou réutilisés comptent parmi les causes de compromission les plus courantes — et les plus évitables. C'est étrangement rassurant : un entretien de routine et des comptes bien tenus ferment les portes que beaucoup d'attaques réelles empruntent. Deux mises en garde honnêtes : il faut que ce soit de la routine, et cela ne couvre pas tous les chemins d'entrée (les ennuis de chaîne d'approvisionnement, le code sur mesure mal sécurisé et les sessions volées jouent selon d'autres règles).

Gardez tout à jour, sans traîner

Les logiciels maintenus reçoivent des correctifs — les plugins abandonnés et les composants en fin de vie n'en verront peut-être plus jamais, et doivent être remplacés ou supprimés. Les correctifs et les divulgations qui suivent aident aussi les attaquants à repérer les cibles non corrigées, et l'exploitation peut commencer avant ou après toute annonce.

• Priorisez selon le risque : les vulnérabilités activement exploitées ou critiques et exposées à Internet, dès que c'est possible sans danger ; les correctifs moins risqués, dans la maintenance normale. Les avis des éditeurs et les listes de failles activement exploitées valent mieux qu'un nombre de jours fixé d'avance.
• Inventoriez chaque couche — pas seulement le CMS, les plugins et les thèmes, mais aussi le système d'exploitation, le serveur web, l'environnement d'exécution, la base de données, les outils de déploiement et les intégrations — et notez qui entretient chacune (vous, l'hébergeur, un développeur).
• Mettez à jour avec une porte de sortie : une sauvegarde testée et restaurable avant la mise à jour, et un plan de retour en arrière qui rétablit le service sans rouvrir la faille. Testez les mises à jour risquées sur une copie de test — avec des données anonymisées et une protection de niveau production — mais ne laissez jamais « on testera plus tard » devenir « on n'a jamais mis à jour ».

Supprimez ce que vous n'utilisez pas

Chaque composant installé et chaque compte actif ajoute du risque et de l'entretien. Une fois confirmé inutile, supprimez-le.

• Désinstallez complètement les plugins et thèmes inutilisés, ne vous contentez pas de les désactiver : les fichiers peuvent rester accessibles et exploitables, et ils demandent des correctifs tant qu'ils existent.
• Désactivez ou supprimez les comptes utilisateurs superflus. Quand quelqu'un part, agissez tout de suite : coupez l'accès, révoquez les sessions actives, les jetons et les mots de passe d'application, transférez ce qui lui appartenait, puis supprimez ou archivez le compte.
• Les comptes de service et d'urgence nécessaires restent — étroitement protégés — et tout le reste mérite sa place ou s'en va.

Verrouillez l'accès administrateur — tout l'accès

« Admin », c'est plus que la connexion au CMS : le registrar, le DNS, le panneau d'hébergement, l'administration des e-mails, le dépôt de code, les systèmes de déploiement et de sauvegarde contrôlent le site eux aussi. Durcissez-les de la même façon :

• Le moindre privilège. Donnez à chacun seulement l'accès que son travail demande ; la plupart des gens ont besoin de bien moins qu'administrateur.
• Des mots de passe forts et uniques dans un gestionnaire de mots de passe. Pas de réutilisation, pas de connexions partagées.
• L'authentification à plusieurs facteurs (MFA) sur chaque connexion admin — de préférence résistante au phishing (passkeys ou clés de sécurité) quand c'est possible. La MFA bloque beaucoup d'attaques par mot de passe seul ; elle ne remplace ni une récupération sécurisée, ni la protection des sessions, ni les mises à jour. Protégez donc aussi le chemin de réinitialisation des facteurs, rangez les codes de récupération en lieu sûr, et gardez une méthode de récupération qui survit à la perte d'un appareil.
• Freinez et surveillez les connexions. Utilisez des délais progressifs ou des blocages temporaires prudents — conçus pour qu'un attaquant ne puisse pas enfermer exprès vos propres administrateurs dehors — et journalisez l'activité admin, avec des alertes que quelqu'un voit. Gardez les secrets hors des journaux (pas de mots de passe, jetons ou identifiants de session), restreignez l'accès et limitez la durée de conservation.
• Ne comptez pas sur un nom d'administrateur caché. Renommer l'admin par défaut peut réduire le bruit automatisé ; ce sont les identifiants, la MFA, le freinage et les alertes qui portent le vrai poids — des contrôles qui réduisent le risque et accélèrent la réaction, sans garantir la prévention.

Ce qu'il faut faire

1. Inventoriez chaque couche logicielle avec son responsable, et appliquez les mises à jour de sécurité selon des priorités guidées par l'exploitation réelle — sauvegarde et retour en arrière prêts.
2. Désinstallez chaque plugin ou thème confirmé inutile, et désactivez ou supprimez les comptes superflus, sessions et jetons révoqués.
3. Donnez à chaque personne un compte individuel avec seulement les privilèges que son travail exige — y compris chez le registrar et sur les systèmes DNS, d'hébergement et de déploiement.
4. Imposez des mots de passe uniques via un gestionnaire de mots de passe et une MFA résistante au phishing sur chaque connexion admin, avec le chemin de récupération protégé.
5. Freinez les tentatives de connexion sans permettre l'abus de verrouillage, et journalisez et alertez sur l'activité admin — secrets tenus à l'écart, accès restreint. L'hygiène ennuyeuse et régulière, c'est tout l'enjeu : elle ferme les portes que les vraies attaques utilisent.