Comment les sites web se font pirater

Module 7: Sécurité · Temps de lecture : 8 minutes

Objectif pédagogique : après cette leçon, vous pourrez expliquer de façon réaliste comment les sites WordPress se font généralement pirater, pourquoi les petits sites sont eux aussi des cibles et ce que les pirates cherchent à en faire.

Notions clés : vulnérabilité, faille dans une extension ou un thème, scans automatiques, credential stuffing, brute force, logiciel nullé, ordinateur infecté, conséquences (spam, redirection, phishing, malware), surface d'attaque

« Mon site est trop petit pour intéresser qui que ce soit »

C'est l'idée reçue la plus répandue. Presque aucun piratage de WordPress ne vise un site en particulier. Les pirates utilisent des programmes qui parcourent automatiquement des milliers de sites par heure à la recherche d'une seule chose : une faille connue. Si le programme la trouve, il s'introduit, peu importe que le site appartienne à une multinationale ou au club de football local.

Ce qu'ils veulent, ce n'est pas votre site, mais ce que votre site permet de faire :

• Spam et abus de référencement : des milliers de pages ou de liens cachés pour des médicaments, des jeux d'argent ou de fausses boutiques, qui profitent de la bonne réputation de votre domaine auprès de Google.
• Redirection : les visiteurs (souvent uniquement ceux venant de Google ou sur un téléphone) sont renvoyés vers un faux site ou une page d'arnaque. Vous, vous ne voyez rien, car vous arrivez via un favori.
• Phishing : une fausse page de connexion d'une banque ou d'un service de livraison, dissimulée dans votre dossier uploads, avec le nom de votre domaine dans le lien.
• Diffusion de malwares auprès des visiteurs.
• Envoi de courriers : votre serveur envoie du spam, et ensuite vos propres e-mails n'arrivent plus.
• Puissance de calcul : votre hébergement est utilisé pour attaquer d'autres sites ou pour miner des cryptomonnaies.
• Données : sur une boutique en ligne ou un site d'adhérents, les données de vos clients.

Porte d'entrée 1 : une faille dans une extension ou un thème

C'est de loin la plus importante. Selon le rapport annuel de Patchstack, une entreprise qui recense les failles de WordPress, 7 966 nouvelles vulnérabilités ont été découvertes en 2024 dans l'écosystème WordPress. 96 % se trouvaient dans des extensions, 4 % dans des thèmes, et seulement sept dans WordPress lui-même. La plupart des failles ne sont pas exploitables facilement, mais une partie l'est, et celles-ci sont massivement scannées dans les heures ou les jours qui suivent leur publication.

Le schéma est presque toujours le même :

1. Une faille est découverte dans la version 3.2 d'une extension populaire.
2. L'auteur publie la version 3.2.1 avec un correctif. La faille devient publique.
3. En peu de temps, des programmes scannent internet à la recherche de sites utilisant la version 3.2 ou une version antérieure.
4. Ceux qui n'ont pas encore mis à jour se font pirater.

Le danger ne réside donc pas dans une faille secrète que personne ne connaît, mais dans une faille connue pour laquelle une mise à jour existe déjà et qui n'a pas été installée. C'est pourquoi les mises à jour (leçon 7.2) constituent la mesure la plus importante, et vous devez supprimer ce que vous n'utilisez pas (leçon 5.4) : chaque extension présente, même désactivée, augmente votre surface d'attaque.

Un cas particulier concerne les extensions abandonnées : leur auteur a cessé son activité, aucun correctif n'est plus publié. Et les logiciels nullés (leçon 5.3) : une copie piratée d'une extension payante, souvent avec une porte dérobée intégrée.

Porte d'entrée 2 : les mots de passe

La deuxième grande porte d'entrée est la connexion avec un mot de passe valide :

• Credential stuffing : lors d'une fuite de données d'un autre service, des millions de combinaisons d'adresse e-mail et de mot de passe ont été divulguées. Des programmes essaient ces combinaisons sur toutes sortes de sites, y compris les pages de connexion de WordPress. Si vous utilisez le même mot de passe que celui de ce service compromis, ils entrent.
• Brute force : un programme essaie simplement un très grand nombre de mots de passe, souvent avec des noms d'utilisateur courants comme admin. Avec un mot de passe long et unique, cela n'a aucune chance, mais cela consomme tout de même de la puissance de calcul sur votre serveur.
• Phishing : un faux e-mail « votre WordPress doit être mis à jour, connectez vous ici » avec un lien vers une fausse page de connexion.

La leçon 7.3 traite de la défense : gestionnaire de mots de passe, authentification à deux facteurs (2FA) et limitation des tentatives de connexion.

Porte d'entrée 3 : tout ce qui entoure WordPress

Tous les piratages ne commencent pas dans WordPress :

• Un ordinateur infecté, le vôtre ou celui de votre créateur de site, avec un programme qui vole les mots de passe, par exemple ceux enregistrés dans un client FTP.
• Du FTP classique sans chiffrement, sur un réseau public.
• Un autre site dans le même hébergement : une ancienne installation de test oubliée, un vieux Joomla dans un sous-dossier. Tous les sites d'un même hébergement partagent généralement le même utilisateur sur le serveur. Si l'ancien site se fait pirater, le pirate peut aussi accéder à votre WordPress.
• Un mot de passe de base de données divulgué, par exemple via une copie de wp-config.php présente dans le répertoire web (leçon 1.3).
• Des formulaires sans contrôle détournés pour envoyer du spam.

Chez un bon hébergeur, votre hébergement est cloisonné de celui des autres clients sur le même serveur (sur les serveurs DirectAdmin avec CloudLinux par exemple, avec CageFS). Ce qui se passe au sein de votre propre hébergement reste toutefois de votre responsabilité.

Ce que vous en remarquez (et ce que vous ne remarquez pas)

Un bon piratage ne se remarque pas dans un premier temps. Les pirates veulent utiliser votre site le plus longtemps possible. Signaux d'alerte (la leçon 7.5 y revient) :

• Google signale « Ce site est peut être piraté », ou vous voyez d'étranges pages de votre domaine dans les résultats de recherche (essayez de chercher site:example.com) ;
• des visiteurs signalent qu'ils arrivent ailleurs ;
• il y a des administrateurs ou des fichiers que vous ne connaissez pas ;
• votre hébergeur ou un scanner de malware signale quelque chose ;
• vos e-mails n'arrivent soudainement plus, ou votre hébergement est saturé ou lent.

Une défense en couches

Aucune mesure n'est infaillible. La sécurité est un empilement de couches, de sorte qu'une faille dans l'une d'elles n'ouvre pas immédiatement tout le reste :

1. Mettre à jour (leçon 7.2) : ferme les failles connues. De loin le plus important.
2. Peu de composants (leçons 5.3 et 5.4) : moins à mettre à jour, moins de failles.
3. Protéger la connexion (leçon 7.3) : mots de passe longs et uniques, authentification à deux facteurs (2FA), principe du moindre privilège (leçon 3.3).
4. Durcir (leçon 7.4) : droits, réglages et en-têtes qui limitent les dégâts.
5. Sauvegardes (leçon 8.1) : si malgré tout cela tourne mal, vous pouvez revenir en arrière.
6. Savoir quoi faire en cas de problème (leçon 7.5).

Résumé

• Presque tous les piratages sont automatiques et non ciblés ; les petits sites sont tout autant visés.
• Les pirates veulent ce que votre site permet de faire : spam, redirection, phishing, courrier, puissance de calcul, données.
• La principale porte d'entrée est une faille connue dans une extension ou un thème pour laquelle une mise à jour existait déjà (en 2024, 96 % des nouvelles vulnérabilités se trouvaient dans des extensions).
• La deuxième porte d'entrée, ce sont les mots de passe : réutilisés, devinés ou hameçonnés.
• Un ordinateur infecté, du FTP classique ou un vieux site oublié dans le même hébergement peuvent également être la porte d'entrée. Défendez vous en couches.

Quiz

Exercice

Exercice D7.1 : Votre propre liste de risques. Dressez une liste de tout ce qui, dans votre hébergement, peut constituer une porte d'entrée : chaque installation WordPress (y compris les sites de test et anciens), chaque extension et chaque thème (y compris inactifs), chaque compte disposant de droits d'administration (WordPress, FTP, le panneau d'hébergement), et les ordinateurs depuis lesquels on se connecte. Indiquez pour chaque élément : la date de la dernière mise à jour, s'il est encore nécessaire (oui/non), et qui en est responsable. Cochez les trois éléments que vous allez nettoyer ou mettre à jour cette semaine et notez pourquoi vous avez choisi précisément ceux là.

Pour aller plus loin

Ces articles décrivent les étapes dans les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est similaire.

• Au secours ! Mon site a été piraté. Comment résoudre ou éviter ce problème ?
• Guide DirectAdmin 18.2: Mon site est piraté : plan d'action
• State of WordPress Security in 2025 (Patchstack, en anglais) : https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Sécurité de WordPress (developer.wordpress.org, en anglais) : https://developer.wordpress.org/advanced-administration/security/hardening/