Scanner de sécurité WordPress : votre site est-il à jour ?

Non. Il fait une quinzaine de requêtes, comme un visiteur qui ouvrirait quelques pages publiques : la page d’accueil, le flux d’actualités, les fichiers de présentation des extensions. Il ne tente aucune connexion, n’envoie aucun formulaire et ne cherche pas de fichiers cachés.

Il n’ouvre jamais plus de deux connexions à la fois, et un même site n’est analysé qu’une fois par heure : le résultat est ensuite réutilisé.

Parce qu’analyser la sécurité d’un site sans l’accord de son propriétaire ne se fait pas, même quand on ne lit que des pages publiques. La case à cocher le rappelle, et l’analyse est limitée à quelques sites par jour et par visiteur.

Si c’est le site d’un client, d’une association ou d’un proche, demandez-lui son accord, ou laissez-le faire l’analyse lui-même.

Une liste nominative des extensions en retard, affichée à n’importe qui, serait un mode d’emploi pour un pirate. L’écran donne donc le niveau de risque et le nombre de points à corriger, sans les nommer.

Le rapport détaillé, extension par extension, part par e-mail : directement si votre adresse est sur le domaine du site ([email protected] pour votre-site.fr), sinon après une vérification par Thomas.

C’est bon signe, sans être une garantie. Le scanner ne voit que ce que la page d’accueil montre : une extension utilisée seulement sur la page de contact ou dans l’administration lui échappe. Les mots de passe faibles, les comptes d’anciens prestataires ou l’absence de sauvegarde sont invisibles de l’extérieur.

Pour tout vérifier, il faut un accès administrateur : c’est l’objet de l’audit WordPress.

Pas en soi. Ce sont les extensions payantes (Elementor Pro, WPForms Pro, ACF Pro…) ou développées sur mesure : WordPress.org ne connaît pas leur dernière version, le scanner ne peut donc pas les comparer.

Leur point faible est ailleurs : leurs mises à jour dépendent d’une licence. Quand la licence expire, elles s’arrêtent sans prévenir. C’est l’une des causes de piratage les plus fréquentes sur les sites que nous reprenons.

WordPress.org ferme une extension quand une faille est signalée et que son auteur ne la corrige pas. Elle reste installée sur les sites qui l’utilisent, mais elle ne recevra plus aucune mise à jour.

C’est le constat le plus urgent du rapport : il faut la désactiver et la remplacer par une extension maintenue, après une sauvegarde.

Dans l’ordre : une sauvegarde complète, hors du serveur ; puis les mises à jour, en commençant par ce qui est signalé comme une alerte ; enfin une vérification des pages importantes (formulaires, paiement). Une version majeure d’extension se teste de préférence sur une copie du site.

Vous pouvez le faire vous-même avec le rapport détaillé. Si vous préférez déléguer, c’est le travail de la maintenance WordPress : les mises à jour sont testées avant d’être appliquées, et le site est surveillé.

Le rapport est conservé sept jours sur notre serveur, le temps de pouvoir vous l’envoyer, puis il est effacé. Aucune liste de sites vulnérables n’est constituée, publiée ou transmise à qui que ce soit.

Les versions des extensions sont comparées aux services publics de WordPress.org, qui ne reçoivent que le nom des extensions, jamais l’adresse de votre site. Le détail figure dans la politique de confidentialité.