CMS le plus utilisé dans le monde, WordPress est une excellente solution pour créer un site internet de qualité professionnelle, plus ou moins facile à gérer. En constante évolution et très apprécié de Google, ce système de gestion de contenu de l’entreprise Automattic vous propose de nombreuses fonctionnalités natives, permettant de personnaliser votre site web et d’améliorer son référencement naturel. Hormis les fonctionnalités natives, WordPress vous offre la possibilité d’installer des thèmes et des plugins afin de vous aider à réaliser des travaux de personnalisation plus poussés et à booster davantage votre visibilité. Toutefois, je vous déconseille de télécharger et d’installer un quelconque thème ou plugin, dans la mesure où certains de ces outils sont conçus par des personnes malintentionnées et peuvent avoir des impacts négatifs sur les performances ainsi que sur la sécurité de votre site web. Pour identifier les extensions et les thèmes douteux, je vous propose quelques conseils à mettre en pratique.

Le piratage informatique en pleine recrudescence

Que ce soit en Europe ou dans d’autres régions du monde, le piratage informatique est en pleine recrudescence et je vous conseille fortement de redoubler de vigilance, afin d’éviter d’intégrer la longue liste des victimes des hackers.

Dans la majorité des cas, les personnes malintentionnées utilisent les réseaux sociaux pour repérer leurs cibles. Néanmoins, nombreuses d’entre-elles n’hésitent pas à exploiter les problèmes de sécurité des sites web pour mettre leurs plans à exécution.

Malgré les améliorations apportées par l’équipe d’Automattic à WordPress, notamment au niveau de la sécurité, ce CMS comporte des failles qui peuvent faciliter l’accès des pirates à des données sensibles. Pour tirer profit de ces problèmes de sécurité et atteindre leurs objectifs, les hackers utilisent généralement des plugins ou des thèmes WordPress comportant des programmes malveillants.

Dans le cas où vous optez pour un thème ou un plugin conçu par un pirate informatique, sachez que vous vous exposez à des risques de vol de données sensibles, d’espionnage ou de dysfonctionnement au niveau de votre site web : inaccessibilité d’un service, inaccessibilité de certaines pages, etc. C’est pourquoi je vous invite à prendre des précautions dans le choix des extensions et de tous les programmes additionnels que vous souhaitez installer sur votre site ou blog WordPress.

À titre d’information, selon le Figaro, la pandémie liée au Covid-19 a participé activement à l’augmentation des tentatives de piratage. Il est donc indispensable de redoubler de vigilance pour éviter les pertes de données, les dysfonctionnements ainsi que les répercussions que ceux-ci peuvent entraîner sur votre réputation.

Les outils qui permettent de détecter un thème ou un plugin WordPress douteux

L’annuaire de WordPress propose plus de 56 000 plugins et thèmes, gratuits et payants. Il est donc extrêmement difficile, voire impossible, de dresser une liste des extensions et des programmes additionnels fiables.

Cependant, sachez qu’il est relativement aisé de détecter un plugin ou un thème conçu par des pirates informatiques ou mal codé, à condition d’utiliser les outils adéquats.

Theme Authenticity Checker : un plugin populaire dédié à l’analyse des thèmes WordPress

Après de nombreuses heures de recherche, vous avez trouvé le thème WordPress le mieux adapté à votre site web ? Pour vérifier s’il ne comporte aucun programme malveillant, je vous conseille de l’analyser avec Theme Authenticity Checker.

Facile d’utilisation, ce plugin populaire scanne votre thème WordPress et peut détecter rapidement les éventuelles lignes de code qui peuvent avoir de mauvaises répercussions sur la sécurité de votre site web. En fonction de la fiabilité du thème, le programme peut fournir deux résultats : « Theme OK ! » ou « Encrypted Code Found ».

À noter que Theme Authenticity Checker n’a bénéficié d’aucune mise à jour depuis de nombreuses années. En d’autres termes, il peut présenter des failles de sécurité.

Pour éviter que les problèmes de sécurité de ce plugin ne soient exploités par les pirates informatiques pour s’introduire sur votre site web, je vous recommande de l’installer uniquement pour l’analyse de votre thème. Une fois le scan terminé, désinstallez rapidement le programme pour protéger votre site et vos données.

Exploit Scanner : un plugin d’analyse d’extensions

Si Theme Authenticity Checker est destiné aux scans de thèmes, Exploit Scanner, quant à lui, est uniquement dédié à l’analyse d’extensions.

Ce plugin WordPress vous permet de détecter en quelques clics les programmes malicieux présents dans les extensions de votre site web WordPress.

À l’instar de Theme Authenticity Checker, Exploit Scanner ne présente aucune mise à jour disponible depuis plusieurs années. Ce plugin doit donc être désinstallé rapidement, une fois que vous aurez terminé les scans de vos extensions.

Sucuri Security : un antivirus pour les sites web WordPress

Contrairement à Theme Authenticity Checker et Exploit Scanner, Sucuri Security n’est pas un plugin destiné essentiellement à une analyse ponctuelle d’un thème ou d’une extension. Ce programme fonctionne de la même manière qu’une application antivirus qui protège en permanence votre site web WordPress contre les tentatives d’intrusion.

Pour que le plugin Sucuri Security puisse bloquer efficacement les menaces et offrir une sécurité optimale à votre site, je vous conseille de le mettre à jour régulièrement.

Anti-Malware : un plugin traquant les données indésirables

Si vous soupçonnez la présence d’un logiciel malveillant dans votre thème ou dans un plugin, Anti-Malware se présente comme la solution idéale à votre problème.

Comme son nom l’indique, ce plugin WordPress a pour principale fonction de détecter et de supprimer les malwares. Il a été conçu pour le grand public et ne nécessite donc aucune connaissance approfondie en informatique.

Pour analyser votre site web WordPress et détecter des données indésirables à partir du programme Anti-Malware, il vous suffit de l’installer et de le lancer.

Le VPN : un indispensable pour sécuriser un site web WordPress

Les VPN ne sont pas des plugins conçus essentiellement pour des sites web WordPress tels que Theme Authenticity Checker, Exploit Scanner, Anti-Malware ou Sucuri Security. Ces programmes peuvent être utilisés aussi bien par les particuliers que les professionnels, et permettent de se connecter à internet à partir d’un réseau privé virtuel et de différentes adresses IP.

Il faut savoir que, dans la majorité des cas, les pirates informatiques doivent être en possession des adresses IP de leurs potentielles victimes pour s’introduire sur leur site web et procéder à des vols de données ou autres actions illégales. Si vous utilisez un VPN lors de votre connexion à la console d’administration de votre site web WordPress, et si vous changez régulièrement d’adresse IP, vous êtes donc à l’abri des tentatives d’intrusion.

Bien que votre site web WordPress soit protégé par un plugin comme Sucuri Security ou Anti-Malware, je vous conseille vivement d’utiliser un VPN pour renforcer davantage sa sécurité.

Pour bénéficier d’une protection optimale, je vous recommande de bien choisir votre VPN. Tournez-vous vers des programmes développés par des entreprises possédant une excellente notoriété, plutôt que vers des produits inconnus qui font l’objet de campagnes marketing agressives sur des sites web peu recommandables.

Une fois que vous aurez choisi le VPN le mieux adapté à vos besoins, il vous suffit de l’installer, de vous identifier et de choisir le serveur sur lequel vous souhaitez vous connecter.

Il est important de noter que les VPN, notamment ceux réservés aux professionnels, sont rarement gratuits. Lors du choix du programme, je vous recommande donc de prendre en compte le coût de l’abonnement pour éviter les impacts négatifs sur votre budget.

Les signes qui indiquent la présence d’un plugin ou d’un thème WordPress douteux

Bien que vous ayez pris toutes les précautions nécessaires avant d’installer un plugin ou votre thème WordPress, sachez que vous pouvez toujours tomber sur une extension comportant des lignes de code douteuses.

Pour détecter la présence d’un programme malveillant qui peut avoir de mauvaises répercussions sur la sécurité de votre site web WordPress, vous devez rester attentif à certains signes.

L’écran blanc ou white screen

L’écran blanc ou white screen est un des principaux signes de la présence d’un plugin ou d’un thème infecté par un programme malveillant.

L’écran blanc peut avoir des impacts aussi bien sur le bon fonctionnement de votre site web WordPress que sur votre réputation, dans la mesure où il peut s’afficher à de nombreuses reprises lors de la navigation des internautes sur vos pages.

Pour remédier à ce problème, vous devez tout d’abord déterminer s’il provient d’un plugin ou du thème de votre site ou de votre blog. Ensuite, il est nécessaire de prendre les mesures nécessaires : désinstallation du plugin infecté, changement de thème, etc.

Pour information, les white screens ne sont pas toujours causés par des extensions ou des thèmes malveillants. Dans certains cas, ils sont entraînés par un dysfonctionnement du système de gestion de contenu. Quoi qu’il en soit, je vous recommande fortement de mettre en œuvre les solutions les mieux adaptées à la situation pour éviter les impacts négatifs sur vos données, votre image et votre activité sur internet.

L’apparition automatique de liens

Le vol de données sensibles et la détérioration des sites web ne sont pas les seuls objectifs des pirates informatiques. Certains hackers conçoivent des plugins et des thèmes comportant des programmes malveillants, dans le but de créer des liens publicitaires pointant vers des landing pages ou des pages de vente classiques de produits tels que du viagra ou des sex-toys.

Mis à part l’écran blanc, l’apparition automatique de liens sur votre site web WordPress est donc un signe de la présence d’un programme malicieux. Ce dernier peut être installé dans un de vos plugins ou tout simplement dans votre thème.

Pour repérer la source du problème, vous pouvez utiliser les outils que j’ai mentionnés précédemment : Exploit Scanner et Theme Authenticity Checker.

Après avoir supprimé le thème ou le plugin malveillant, je vous recommande d’installer rapidement un anti-malware et, dans la mesure du possible, d’utiliser un VPN pour garantir la sécurité de votre site internet.

L’apparition de multiples redirections dans le fichier .htaccess

Le fichier .htaccess compte parmi les nombreuses cibles des plugins et des thèmes WordPress infectés par des programmes malveillants.

Pour éviter les problèmes liés à ce fichier, je vous conseille de vérifier régulièrement si celui-ci ne comporte pas de nombreuses redirections douteuses. Dans le cas où vous apercevez un comportement inhabituel, identifiez le plugin en cause ou analysez votre thème.

Dès que vous aurez détecté la source de l’ajout des nombreuses redirections dans le fichier .htaccess de votre site web WordPress, prenez les mesures adéquates : suppression du plugin, changement de thème, etc.

Sachez que l’apparition de liens publicitaires, de redirections dans .htaccess et d’écran blanc ne sont que quelques-uns des nombreux dysfonctionnements que votre site web peut subir en cas d’installation de plugin ou de thème malveillant. Si vous rencontrez d’autres comportements inhabituels, je vous recommande fortement de toujours procéder à une analyse de vos extensions et de votre thème.

Conclusion

WordPress reste aujourd’hui le système de gestion de contenu idéal pour la création de site web et de blog. Toutefois, malgré les efforts d’Automattic visant à renforcer la protection du célèbre CMS, les pirates informatiques parviennent toujours à trouver différents moyens pour atteindre leurs objectifs : vol de données, création automatique de backlinks, de liens publicitaires, de bannières, etc.

Dans la majorité des cas, les hackers utilisent des extensions et des thèmes comportant des programmes malveillants pour s’introduire sur les sites web WordPress. Pour vous protéger des attaques de ces personnes malintentionnées, je vous recommande de bien choisir votre thème, vos plugins, mais également de toujours les scanner.

De manière générale, je déconseille d’utiliser des thèmes et des extensions proposés gratuitement sur des sites peu connus et peu fiables. Certes, tous les produits gratuits n’ont pas été conçus par des pirates informatiques. Toutefois, pour limiter les risques d’installer des programmes malveillants sur votre site, optez pour des offres premium proposées sur l’annuaire de WordPress ou sur un site possédant une bonne notoriété.