À quelle fréquence faut-il analyser un site WordPress contre les malwares ?

Il n'y a pas de réponse unique. La bonne fréquence dépend de ce que représente un site propre pour vous et de la rapidité avec laquelle vous voulez savoir si quelque chose tourne mal. Quelques facteurs font l'essentiel du travail, et une règle simple convient à la plupart des sites : analysez chaque semaine, et refaites une analyse après tout ce qui modifie le site.

Pourquoi la fréquence compte

Les dégâts d'une infection augmentent avec le temps pendant lequel elle passe inaperçue. Quelques jours de redirections de spam sont un désagrément que l'on nettoie en un après-midi. Quelques mois peuvent signifier un site signalé par les moteurs de recherche, un domaine sur liste noire, un hébergement suspendu et un nettoyage bien plus lourd, car l'attaquant a eu le temps d'ajouter d'autres portes dérobées.

La vitesse de détection est donc la vraie variable. Une analyse n'empêche pas une infection ; elle limite la durée pendant laquelle elle dure. Analyser une fois par mois laisse une infection courir jusqu'à un mois avant que quelqu'un regarde. Analyser chaque semaine réduit ce délai à une semaine.

Ce qui doit vous pousser à analyser plus souvent

• Le site traite des données clients. Des données de paiement, des comptes ou des informations personnelles augmentent les enjeux ainsi que l'obligation éventuelle de signaler une fuite.
• Il utilise beaucoup de plugins. Chaque plugin est du code tiers de plus qui peut contenir une faille. Plus de pièces mobiles, c'est plus de surface à surveiller.
• Il reçoit un trafic important. Un site très fréquenté est une cible plus attrayante, et une infection étend ses dégâts aux visiteurs et au classement plus vite.
• Vous le gérez pour un client. Les enjeux de réputation et de contrat sont plus élevés quand ce n'est pas seulement votre site.
• Il rapporte de l'argent tant qu'il est en ligne. Une boutique ou un site de génération de contacts perd du chiffre d'affaires à chaque heure où une redirection ou un défacement reste en place.

Une valeur par défaut raisonnable

Le rythme hebdomadaire est une base solide pour la plupart des sites. Il détecte une infection en quelques jours plutôt qu'en quelques mois, et une fois l'analyse automatisée, elle ne vous coûte aucun temps. Les sites cumulant plusieurs facteurs de risque ci-dessus peuvent justifier le quotidien. Un blog personnel à faible enjeu peut passer au mensuel, même si l'économie est faible une fois l'analyse automatisée.

• Quotidien : boutiques en ligne, sites d'adhésion, tout site qui stocke des données clients et sites gérés pour des clients.
• Hebdomadaire : sites d'entreprise, sites éditoriaux et la plupart des installations WordPress. C'est la valeur de départ.
• Mensuel : sites de loisir avec peu de plugins, sans connexion pour le public et peu de trafic.

Événements qui imposent une analyse de plus

Le calendrier n'est qu'une partie du sujet. Certains événements changent le risque d'un coup : analysez juste après eux plutôt que d'attendre la prochaine exécution planifiée :

• Vous installez ou mettez à jour un plugin ou un thème, surtout s'il vient d'ailleurs que du répertoire officiel. Du code nouveau, c'est un risque nouveau.
• Vous ajoutez un administrateur, ou quelqu'un quitte l'équipe et vous en supprimez un.
• Une faille est annoncée dans un composant que vous utilisez. Vérifiez si vous avez été exposé avant le correctif.
• Quelque chose semble anormal : une baisse de trafic, un avertissement de Google, des pages inconnues dans les résultats de recherche ou un site lent. Suivez la vérification de piratage en cinq minutes, puis analysez.
• Après le nettoyage d'une infection. Analysez de nouveau un ou deux jours plus tard pour confirmer que rien n'est revenu ; voir comment supprimer un malware.

Ce qu'une analyse doit réellement contrôler

La fréquence n'aide que si chaque analyse regarde les bonnes choses. Une analyse utile couvre quatre domaines :

• Les fichiers du cœur, comparés aux sommes de contrôle officielles de votre version, comme le décrit le guide d'intégrité des fichiers du cœur.
• Les fichiers nouveaux ou modifiés, en particulier les fichiers PHP du dossier uploads, où il ne devrait y en avoir aucun.
• Les motifs de malwares connus dans le code, comme les fonctions obfusquées qui décodent et exécutent des charges cachées.
• La base de données, où des scripts injectés, du contenu de spam et des comptes administrateurs illégitimes peuvent se cacher même quand les fichiers semblent sains.

Une analyse qui ne lit que les pages vues par les visiteurs en manquera la plus grande partie, car beaucoup d'infections se cachent du front-end. Analyser depuis le serveur, via SSH, atteint directement les fichiers et la base de données.