WebMail 
Comment les plugins peuvent-ils compromettre la sécurité de WordPress ?
Les plugins WordPress sont un type de logiciel qui vous permet d’ajouter diverses fonctionnalités à votre site Web WordPress. Ce qu’il y a de bien avec les plugins WordPress, c’est que vous pouvez ajouter diverses fonctionnalités à votre site sans avoir besoin d’apprendre le moindre code. Il existe des milliers d’options, que vous ayez besoin de plugins pour des formulaires de contact ou pour des analyses. Les plugins peuvent vous aider à améliorer votre site Web de nombreuses façons, mais ils peuvent également présenter un risque pour la sécurité.
Comment les plugins peuvent-ils compromettre la sécurité de WordPress ?
Les cybercriminels et les pirates disposent de nombreuses astuces pour exploiter les plugins WordPress. Les pirates recherchent les vulnérabilités des plugins WordPress et les utilisent pour attaquer votre site. Les cybercriminels utilisent les plugins pour afficher de fausses publicités, en tentant d’infecter votre site Web avec des logiciels malveillants et des virus (autrement appelé malvertising). Les pirates utilisent également les plugins pour détourner complètement des sites web.
Les piratages de plugins WordPress sont en augmentation
Les piratages de plugins WordPress sont de plus en plus fréquents, et les utilisateurs de WordPress doivent donc renforcer leurs défenses de sécurité. Les données montrent que « 90 % des vulnérabilités de WordPress sont liées aux plugins ou aux thèmes » (Patchstack, 2021).
Selon Portswigger, de multiples vulnérabilités ont été découvertes dans le plugin populaire « ProfilePress », qui permet aux utilisateurs de télécharger des images de profil sur leurs sites WordPress. Les failles du plugin ont permis aux pirates de télécharger des codes malveillants, pour finalement détourner le site affecté.
En juin 2021, Wordfence a découvert que le plugin « Fancy Product Designer » présentait une faille similaire. Le Hacker News a rapporté que le plugin était exploité pour télécharger des logiciels malveillants. On estime que 17 000 sites Web étaient potentiellement affectés (Hacker News, 2021). Chaque jour, de nouvelles vulnérabilités de plugins sont exposées, impactant les utilisateurs de WordPress à travers le monde.
Comment sécuriser vos plugins WordPress ?
Pour protéger l’intégrité de votre site Web, vous devez vous assurer que tous vos plugins WordPress sont sécurisés.
1 . Vérifier les vulnérabilités des plugins WordPress
Pour que vos plugins WordPress soient sécurisés, vous devez vérifier qu’ils ne présentent pas de failles de sécurité. Vous pouvez le faire en utilisant la « base de données des vulnérabilités WPScan ». En utilisant la base de données, vous pouvez rechercher des plugins, et accéder à des informations sur les vulnérabilités. Si vous trouvez qu’un de vos plugins est vulnérable, vous pouvez le mettre à jour. Parfois, il n’y aura pas de mise à jour disponible. Dans ce cas, il est préférable de supprimer temporairement le plugin.
Une autre façon de vérifier les menaces liées aux plugins WordPress est d’analyser votre site Web. Une analyse complète peut vous informer des problèmes de sécurité en général, ainsi que des vulnérabilités des plugins.
2. Ne choisissez que des plugins approuvés
Il existe plus de 58 000 plugins WordPress parmi lesquels vous pouvez choisir, mais ils ne sont pas tous vérifiés pour des raisons de sécurité. Pour vous assurer que vos plugins sont sécurisés, accédez uniquement au répertoire de plugins de WordPress. Tous ces plugins ont été vérifiés, ce sont les plugins WordPress les plus sûrs disponibles. Utiliser uniquement des plugins approuvés est le moyen le plus simple d’éviter les problèmes de sécurité des plugins.
Mais comment déterminer si un plugin WordPress est fiable ?
Vous avez peut-être trouvé un plugin que vous voulez installer, mais il n’est pas dans le répertoire ? Lorsque vous installez ces plugins, vous devez être plus prudent, et faire vos recherches. Jetez un coup d’œil au site Web de l’entreprise, aux évaluations des utilisateurs et aux critiques. Trouvez des informations sur les installations actives, la documentation et les mises à jour.
Le répertoire de plugins de WordPress est considéré comme le site le plus réputé pour trouver des plugins sûrs. Lorsque vous recherchez un plugin provenant d’un autre site, tenez compte des points suivants :
Localisez le développeur : Effectuez une recherche sur Internet pour trouver le développeur du plugin. Si vous ne pouvez pas trouver un site Web légitime, il est préférable de rester à l’écart de ce plugin.
Vérifiez CodeCanyon : Il s’agit de l’une des principales places de marché pour les plugins WordPress. CodeCanyon vérifie également ses plugins, afin de garantir la sécurité des utilisateurs.
Vérifiez la popularité : Lorsque vous recherchez un plugin tiers, tenez compte de sa popularité. Si un plugin n’a pas beaucoup de téléchargements, et qu’il existe depuis un certain temps, cela pourrait être un drapeau rouge.
Compatibilité : Assurez-vous que le plugin est compatible avec la dernière mise à jour de WordPress. Si le plugin n’est compatible qu’avec des versions plus anciennes, il est préférable de s’en écarter.
Mettez toujours à jour vos plugins
Pour vous protéger des pirates, vous devez mettre à jour vos plugins régulièrement. Les cybercriminels peuvent facilement exploiter les plugins qui ne sont pas à jour. La chose la plus simple à faire est d’activer les mises à jour automatiques. Pour ce faire, vous pouvez vous rendre dans la zone d’administration et accéder à la section nommée « Plugins-Installed Plugins ». Dans cette section, vous trouverez une liste complète de vos plugins, cliquez sur ‘Enable auto-updates’.
Assurez-vous que vous utilisez la dernière version de WordPress et que tous vos thèmes sont également à jour. L’utilisation de logiciels obsolètes constitue une menace pour la sécurité de vos données et de vos appareils.
Supprimez les plugins que vous n’utilisez pas
Si vous avez des plugins que vous n’utilisez pas, il est préférable de les supprimer. Ces plugins inactifs présentent un risque pour la sécurité et sont facilement repris par les cybercriminels. Si vous avez un grand nombre de plugins inutilisés, vous pouvez constater que cela ralentit votre site WordPress. Les sites à chargement lent sont synonymes de taux de rebond plus élevés et de moins de conversions. Pour vérifier la vitesse de votre site, vous pouvez utiliser Google PageSpeed Insights.
Il est facile de supprimer les plugins inutilisés, il suffit de naviguer dans la section » Plugins » de votre tableau de bord. Trouvez le plugin que vous souhaitez supprimer et cliquez sur « Deactivate ». Une fois que vous avez cliqué, vous verrez l’icône « Supprimer », cliquez sur « Supprimer » pour désinstaller le plugin.
Utilisez un pare-feu d’application Web
Un pare-feu pour applications Web est un type de logiciel utilisé pour assurer la sécurité de vos applications Web. Le logiciel suit et filtre le trafic entre l’Internet et vos applications Web. Un WAF protège vos applications contre toutes sortes d’attaques Web, telles que l’inclusion de fichiers et la falsification de sites. L’utilisation d’un pare-feu d’application web est un excellent moyen d’éviter les problèmes de sécurité des plugins. Vous pouvez mettre en œuvre un WAF en utilisant un fournisseur basé sur le cloud ou un fournisseur hébergé.
Évitez de télécharger un grand nombre de plugins
Certains utilisateurs de WordPress se retrouvent avec un grand nombre de plugins dont ils n’ont pas besoin. Pour assurer la sécurité de votre site WordPress, pensez à mettre une limite au nombre de plugins que vous utilisez. Si vous avez un grand nombre de plugins, il y a de fortes chances que vous rencontriez des problèmes de sécurité avec au moins l’un d’entre eux !
Supprimez les plugins abandonnés
Les plugins abandonnés peuvent constituer un risque pour la sécurité, mais qu’est-ce qu’un plugin abandonné ? Les plugins abandonnés sont ceux qui n’ont pas été mis à jour depuis 2 ans ou plus. Cela signifie qu’il n’y a pas eu de modifications récentes du code, de corrections de bugs ou d’améliorations. Cela peut également signifier que des vulnérabilités potentielles n’ont pas été corrigées.
Les plugins abandonnés sont incroyablement faciles à exploiter par les pirates. Pour trouver les plugins abandonnés, consultez la page des plugins WordPress. Vous devriez pouvoir y trouver les plugins qui sont classés comme abandonnés. Il est important de noter que le fait qu’un plugin soit abandonné ne signifie pas nécessairement que le code est défectueux. Cependant, même s’il n’y a pas de problème aujourd’hui, il est possible que vous rencontriez des difficultés plus tard.
Les plugins ne sont pas les seuls problèmes de sécurité dont il faut se préoccuper sur WordPress. Les utilisateurs du site doivent également prêter attention aux points suivants :
1 . Problèmes de connexion
Les sites WordPress sont vulnérables aux connexions non autorisées. Ces cyberattaques sont menées par force brute. Lorsqu’un criminel utilise la force brute, il vérifie des milliards de combinaisons de mots de passe et de noms d’utilisateur (en utilisant un robot pirate). Finalement, le pirate peut se connecter et accéder à des informations privées.
Pour protéger votre site, vous avez besoin d’un mot de passe complexe. Pour vous aider à protéger les mots de passe multiples, essayez un système de gestion des mots de passe. L’avantage des logiciels de gestion des mots de passe est que vous n’avez à retenir qu’un seul mot de passe.
2. Injections SQL
Le langage de requête structuré fait référence à un langage de programmation, utilisé pour accéder aux données stockées sur un site Web donné. WordPress utilise SQL pour effectuer la gestion des bases de données. Le problème est que les pirates peuvent également utiliser SQL pour compromettre votre site. Lorsqu’un cybercriminel effectue une injection SQL, il peut visualiser et modifier la base de données de votre site. Il peut effacer des données, modifier le contenu et insérer des liens malveillants.
Pour vous protéger contre une injection SQL, vous devez définir des règles concernant la soumission des formulaires. Lorsque les visiteurs du site soumettent des formulaires, vous devez limiter le nombre de caractères spéciaux. Vous empêcherez ainsi les utilisateurs malveillants de soumettre des codes malveillants.
3. Attaques par déni de service
Les attaques par déni de service sont utilisées pour empêcher les visiteurs et les administrateurs d’accéder à un site. Les cybercriminels y parviennent en envoyant une énorme quantité de trafic vers un serveur jusqu’à ce que ce dernier tombe en panne. Pour vous défendre contre une attaque DoS, assurez-vous d’investir dans un service d’hébergement WordPress fiable.
À emporter
Les plugins peuvent ajouter une série de fonctionnalités pratiques à votre site, mais vous devez sécuriser vos plugins WordPress. Concentrez-vous sur les plugins approuvés par WordPress, et abordez les plugins non approuvés avec prudence. Entretenez votre site en supprimant les plugins que vous n’utilisez pas, ou les plugins qui ont été abandonnés par le développeur. Il est préférable de mettre en place des mesures de sécurité solides, non seulement pour vos plugins, mais aussi pour l’ensemble de votre site Web.
