Sécurité de l'hébergement WordPress géré : ce qui est couvert et ce qui ne l'est pas

L'hébergement WordPress géré est un vrai progrès par rapport à un serveur nu. L'hébergeur met à jour la machine, maintient WordPress à jour et effectue des sauvegardes : toute une catégorie de maintenance cesse d'être votre travail. Le risque est de croire que cela signifie aussi que votre site est surveillé contre les attaques. Cela dépend de l'hébergeur et de l'offre, et les mots du marketing (« sécurisé », « protégé ») le précisent rarement.

Ce que l'hébergement géré couvre généralement

• Le serveur sous-jacent. Le système d'exploitation, le serveur web et PHP sont mis à jour et configurés par l'hébergeur, et les sites sont généralement isolés les uns des autres afin qu'un site compromis ait moins de chances de contaminer les autres.
• Les mises à jour du cœur de WordPress. La plupart des hébergeurs gérés appliquent automatiquement les versions de sécurité du cœur. Certains mettent aussi à jour les plugins et les thèmes, mais beaucoup ne le font pas : vérifiez donc ce qu'il en est.
• Les sauvegardes. Des copies régulières, souvent quotidiennes, avec une option de restauration. La durée et le lieu de conservation varient selon l'offre.
• Un certain filtrage du trafic. Un pare-feu basique ou un filtre au niveau du réseau bloque les requêtes malveillantes connues et les afflux de trafic avant qu'ils n'atteignent WordPress. Son étendue dépend du fournisseur.
• L'analyse de malwares, sur certaines offres. Un certain nombre d'hébergeurs analysent les fichiers à la recherche de malwares connus. D'autres ne le font que sur demande, ou seulement sur les offres supérieures.

Ce qu'il vous laisse généralement

• Les plugins et les thèmes. Un hébergeur ne peut pas corriger une faille dans du code écrit par quelqu'un d'autre. Un plugin vulnérable le reste jusqu'à ce que vous ou son auteur le mettiez à jour, et c'est ainsi que la plupart des sites WordPress sont piratés.
• Les mots de passe et les comptes. Si un attaquant dispose d'une connexion WordPress valide, le durcissement du serveur ne sert à rien, car cette connexion ressemble à du trafic normal. Les mots de passe faibles ou réutilisés, et les comptes administrateurs que personne ne se rappelle, sont à gérer par vous.
• Ce qui se trouve dans le site. La protection du serveur ne lit pas vos fichiers et votre base de données WordPress pour y chercher du code injecté, un nouvel administrateur ou un réglage modifié, sauf si votre offre l'inclut expressément.
• Les erreurs de configuration. Un fichier aux permissions trop ouvertes, un journal de débogage exposé ou une ancienne sauvegarde laissée dans un dossier public se trouvent dans votre site, pas dans le serveur.

Une sauvegarde n'est pas une analyse de sécurité

Les sauvegardes aident à récupérer, mais elles copient tout ce qui est sur le site, y compris une infection. Si un malware a été planté il y a trois semaines et que vos sauvegardes remontent à trente jours, vous pouvez restaurer une copie qui le contient déjà. Une sauvegarde vous dit à quoi ressemblait le site. Une analyse vous dit si c'est bien à cela qu'il devrait ressembler.

Questions à poser à votre hébergeur

Envoyez-les au support de votre hébergeur, ou cherchez les réponses dans la documentation de l'offre. Des réponses précises sont bon signe. Des réponses vagues méritent d'être notées.

• Analysez-vous mes fichiers à la recherche de malwares, et à quelle fréquence ? Demandez aussi si l'on vous prévient quand quelque chose est trouvé, et si l'hébergeur le nettoie ou se contente de le signaler.
• Les plugins et les thèmes sont-ils mis à jour automatiquement, ou seulement le cœur ?
• Que bloque le pare-feu, et protège-t-il le site si quelqu'un atteint directement le serveur ?
• Combien de temps les sauvegardes sont-elles conservées, et sont-elles stockées en dehors du serveur ? Demandez si vous pouvez restaurer séparément les fichiers et la base de données.
• Proposez-vous l'accès SSH et WP-CLI ? C'est important pour vérifier le site vous-même, et pour tout outil qui travaille depuis le serveur.
• Que se passe-t-il si mon site est reconnu infecté ? Certains hébergeurs suspendent le site jusqu'à son nettoyage.
• Puis-je consulter les journaux d'accès et d'erreurs ? C'est la première chose dont vous avez besoin après un incident.

Vérifications que vous pouvez faire vous-même

Aucune ne dépend de l'hébergeur. Quand une étape nécessite la ligne de commande, beaucoup d'hébergeurs gérés proposent le SSH sur au moins certaines offres.

• Passez en revue les administrateurs. Dans wp-admin, ouvrez Utilisateurs et filtrez par Administrateur. Supprimez ou remettez en question tout compte que vous ne reconnaissez pas.
• Activez la connexion à deux facteurs pour chaque administrateur et utilisez un mot de passe unique pour chacun.
• Supprimez les plugins et les thèmes que vous n'utilisez pas. Un plugin désactivé peut quand même être attaqué si ses fichiers sont sur le serveur.
• Comparez les fichiers du cœur avec les copies officielles : wp core verify-checksums. Le guide de vérification d'intégrité des fichiers du cœur explique ce que signifie le résultat.
• Regardez le site comme le fait un visiteur, depuis un téléphone et depuis un résultat de recherche, car certaines infections ne se montrent qu'aux visiteurs venant de Google. La vérification de piratage en cinq minutes vous guide pas à pas.

La lacune en une phrase

L'hébergement géré sécurise l'immeuble, mais il ne surveille pas forcément ce qui se passe à l'intérieur de votre logement. La plupart des compromissions WordPress se produisent dans la couche applicative, via un plugin, un mot de passe ou un réglage, et c'est la couche que la protection au niveau du serveur atteint le moins.