Glossaire de la sécurité WordPress

Accès et authentification

Authentification par clé SSH

Une façon de se connecter à un serveur avec une paire de clés cryptographiques au lieu d'un mot de passe. La clé privée reste sur la machine qui se connecte et la clé publique est placée sur le serveur. Aucun mot de passe n'est transmis, et une clé peut être révoquée sans rien changer d'autre au compte. Une clé donne tout de même l'accès dont dispose le compte, donc la clé privée doit être traitée comme un mot de passe. En savoir plus : clés SSH ou mots de passe.

Authentification à deux facteurs (2FA)

Une seconde preuve d'identité en plus du mot de passe, généralement un code temporaire généré par une application, exigée à la connexion. Elle bloque la plupart des attaques de credential stuffing et de force brute même quand un mot de passe a fuité, car l'attaquant a encore besoin du second facteur.

Attaque par force brute

Une tentative automatisée de deviner une connexion en essayant un grand nombre de combinaisons d'identifiants et de mots de passe. Le formulaire de connexion WordPress par défaut (wp-login.php) est une cible courante, car il est prévisible et rarement limité en débit d'origine. En savoir plus : attaques par force brute sur la connexion.

Credential stuffing

Une attaque qui réutilise des paires identifiant/mot de passe issues de fuites sur d'autres sites, en pariant que certains propriétaires ont réutilisé le même mot de passe. Contrairement à la force brute, elle ne devine pas. Elle rejoue des identifiants dont on sait qu'ils sont réels quelque part.

Élévation de privilèges

Une vulnérabilité qui permet à un compte à faibles droits, ou à un attaquant sans aucun compte, d'obtenir un accès administrateur. Souvent, le vrai dégât d'un piratage WordPress n'est pas le point d'entrée mais ce à quoi l'attaquant parvient à s'élever ensuite.

Détection et réponse

Malware

Un logiciel conçu pour nuire à un site ou à ses visiteurs : injection de spam, redirections, vol d'identifiants, portes dérobées et mineurs de cryptomonnaie sont des types courants sur les sites WordPress.

Intégrité des fichiers du cœur

Une vérification qui compare les fichiers propres à WordPress, l'installation du cœur et non les thèmes ou les plugins, avec les sommes de contrôle officielles publiées par WordPress.org. Une différence signifie généralement qu'un fichier a été modifié ou remplacé, ce qui est l'un des signes de compromission les plus clairs. En savoir plus : vérification de l'intégrité des fichiers du cœur.

Quarantaine de malware

Déplacer un fichier signalé hors de son emplacement normal au lieu de le supprimer, pour que le site continue de fonctionner pendant l'examen du constat et que l'original puisse être restauré si le signalement était un faux positif. SiftWP met les fichiers en quarantaine plutôt que de les supprimer.

Porte dérobée

Du code qu'un attaquant installe pour retrouver l'accès même après la correction de la vulnérabilité d'origine, souvent un petit fichier obfusqué qui accepte des commandes à distance. Les portes dérobées expliquent pourquoi supprimer seulement le malware visible ne répare souvent pas un piratage. En savoir plus : comment trouver une porte dérobée.

Webshell

Un type de porte dérobée : un script, souvent déguisé en image ou en fichier de plugin, qui donne à un attaquant une interface de type ligne de commande sur le serveur via des requêtes web.

Obfuscation

Du code volontairement brouillé pour être difficile à lire, souvent avec des fonctions comme base64_decode ou gzinflate. Des logiciels légitimes utilisent certaines de ces mêmes fonctions, donc l'obfuscation seule ne prouve pas la présence d'un malware. Lisez le fichier avant de juger. En savoir plus : comment supprimer un malware.

Faux positif

Un fichier ou un comportement légitime signalé comme malveillant, par exemple le JavaScript minifié d'un thème qui correspond par hasard à un motif utilisé par de vrais malwares. Mettre en quarantaine plutôt que supprimer rend les faux positifs peu coûteux à annuler.

Spam SEO (piratage pharma)

Des pages injectées ou des liens cachés qui font la promotion de sites de pharmacie, de jeux d'argent ou similaires, souvent montrés uniquement aux robots des moteurs de recherche (cloaking) pour que le propriétaire ne les voie pas. Le premier signe est souvent l'apparition de pages de spam dans les recherches site:votredomaine.com. En savoir plus : comment savoir si votre site est piraté.

Types d'attaques

Injection SQL

Une attaque qui insère des commandes de base de données malveillantes via une entrée mal nettoyée, comme un champ de commentaire, un champ de recherche ou un paramètre d'URL, pour lire, modifier ou supprimer des données.

Cross-site scripting (XSS)

Une attaque qui injecte du JavaScript malveillant dans une page consultée par d'autres utilisateurs. Le script s'exécute dans le navigateur de la victime avec sa session, ce qui peut servir à voler des cookies ou à agir à sa place.

Vulnérabilité zero-day

Une faille de sécurité exploitée ou divulguée avant que l'éditeur n'ait publié un correctif. Les zero-days dans les plugins populaires sont dangereux, car une seule faille peut toucher des centaines de milliers de sites à la fois.

CVE (Common Vulnerabilities and Exposures)

Un identifiant standard, par exemple CVE-2026-XXXXX, attribué à une vulnérabilité divulguée publiquement afin qu'elle puisse être suivie de façon cohérente entre les outils et les avis.

Plugin « nulled »

Une copie piratée d'un plugin payant dont la vérification de licence a été retirée, généralement distribuée hors de la place de marché officielle. Les plugins « nulled » sont une source fréquente de malwares, car le crack est souvent le moyen de les livrer.

Infrastructure et durcissement

Pare-feu applicatif web (WAF)

Un filtre qui inspecte et bloque le trafic malveillant avant qu'il n'atteigne votre serveur, généralement au niveau du DNS ou du CDN, ou à l'intérieur de l'application. Un WAF bloque une large classe de motifs d'attaque connus mais ne vous dit pas si quelque chose est déjà passé. En savoir plus : avez-vous besoin d'un pare-feu ?.

Patch virtuel

Une règle de pare-feu qui bloque l'exploitation d'une vulnérabilité connue sans modifier le code vulnérable, utile comme solution provisoire quand une mise à jour de plugin n'est pas encore disponible ou n'a pas été appliquée. En savoir plus : SiftWP contre Patchstack.

Permissions de fichiers

Des règles de type Unix, souvent écrites sous forme de nombres comme 644 ou 755, qui contrôlent qui peut lire, écrire ou exécuter un fichier sur le serveur. Des réglages trop permissifs, comme un wp-config.php modifiable par tous, facilitent la tâche d'un attaquant qui a le moindre point d'appui pour modifier des fichiers. En savoir plus : les permissions de fichiers expliquées.

wp-config.php

Le principal fichier de configuration de WordPress, qui contient les identifiants de la base de données et les clés de sécurité. C'est l'une des cibles de plus grande valeur d'une installation, car y accéder revient généralement à accéder à tout. En savoir plus : comment sécuriser wp-config.php.

Clés de sécurité et salts

Des valeurs aléatoires dans wp-config.php utilisées pour protéger les informations des cookies de connexion. Les renouveler met fin à toutes les sessions existantes, y compris celle d'un attaquant, ce qui est une étape utile après une compromission soupçonnée.

Plugin « must-use » (mu-plugin)

Un plugin placé dans wp-content/mu-plugins qui se charge automatiquement et ne peut pas être désactivé depuis la liste normale des plugins. Il apparaît dans un onglet « Must-Use » séparé, et les attaquants utilisent ce dossier comme cachette. En savoir plus : comment supprimer un malware.

Préfixe de base de données

La chaîne, wp_ par défaut, ajoutée au début de chaque nom de table WordPress. La modifier n'apporte qu'une légère obscurité. Cela n'arrêtera pas une attaque ciblée, mais cela filtre les tentatives automatisées d'injection SQL les moins sophistiquées.

.htaccess

Un fichier de configuration du serveur Apache qui peut restreindre l'accès à des fichiers ou des dossiers, rediriger des requêtes et bloquer des schémas de trafic. Il sert souvent à protéger wp-config.php, à désactiver l'affichage des répertoires ou à bloquer xmlrpc.php, et c'est aussi un endroit courant pour des règles de redirection injectées.

XML-RPC

Une API WordPress (xmlrpc.php) pour la publication à distance et d'autres actions, historiquement détournée pour des connexions par force brute et du trafic DDoS par pingback. Beaucoup de sites la désactivent s'ils n'utilisent pas la publication à distance.

Abus de l'API REST

Un usage abusif de l'API REST intégrée de WordPress, par exemple lister les noms d'utilisateur via le point de terminaison par défaut /wp-json/wp/v2/users, ce qui alimente ensuite une attaque par force brute ou par credential stuffing.

Limitation de débit

Restreindre le nombre de requêtes, comme les tentatives de connexion, qu'une même source peut effectuer dans un laps de temps. C'est l'une des défenses les plus simples contre la force brute, et l'une des plus souvent absentes d'une installation WordPress par défaut.

Surveillance de disponibilité

Une vérification continue que le site est accessible et répond correctement. Ce n'est pas un contrôle de sécurité en soi, mais une panne soudaine est parfois le premier signe d'un piratage, comme une page d'accueil défigurée, une base de données plantée ou une boucle de redirection.