Comment protéger WordPress contre les attaques par force brute ?
Une attaque par force brute consiste à tester automatiquement de nombreuses combinaisons de noms d’utilisateur et de mots de passe pour tenter d’accéder à un site WordPress. Pour s’en protéger, il est recommandé de limiter les tentatives de connexion, d’activer l’authentification multifacteur, d’utiliser un pare-feu et de maintenir WordPress, les thèmes et les extensions à jour.
Les attaques par force brute font partie des menaces les plus courantes auxquelles sont exposés les sites WordPress. Leur principe est simple : des robots automatisés tentent un grand nombre de combinaisons de noms d’utilisateur et de mots de passe jusqu’à trouver des identifiants valides.
Un compte administrateur compromis peut avoir des conséquences importantes : modification du site, installation de logiciels malveillants, création de nouveaux comptes administrateurs, vol de données ou encore défiguration du site.
Heureusement, plusieurs mesures permettent de réduire considérablement les risques. La sécurité d’un site WordPress ne repose cependant pas sur une seule extension ou une seule technique. C’est la combinaison de plusieurs protections qui offre les meilleurs résultats.
Voici 7 mesures à mettre en place pour protéger un site WordPress contre les attaques par force brute.
1. Limiter les tentatives de connexion
L’une des premières protections à mettre en place consiste à limiter le nombre de tentatives de connexion échouées.
Sans mécanisme de limitation, des robots peuvent envoyer de très nombreuses requêtes vers votre page de connexion et tester continuellement de nouveaux mots de passe. Une extension de sécurité peut bloquer temporairement une adresse IP, un compte ou une combinaison des deux après plusieurs échecs.
Des extensions comme Limit Login Attempts Security proposent notamment la limitation des tentatives, le verrouillage automatique et différents mécanismes de protection contre les connexions automatisées.
Cette protection est particulièrement utile sur les sites publics, les boutiques WooCommerce et les sites comportant plusieurs comptes utilisateurs.
Attention au paramétrage
Une limitation trop agressive peut aussi bloquer de vrais utilisateurs. Il faut donc prévoir des paramètres adaptés et, lorsque c’est pertinent, une liste d’autorisation pour certaines adresses IP ou certains comptes.
2. Activer l’authentification multifacteur
Le mot de passe ne devrait plus être considéré comme l’unique barrière entre un attaquant et votre administration WordPress.
L’authentification à deux facteurs (2FA) ou, plus largement, l’authentification multifacteur ajoute une étape supplémentaire lors de la connexion. Même si un mot de passe est compromis, l’attaquant doit encore disposer du second facteur pour accéder au compte.
WordPress recommande lui-même l’utilisation du 2FA et indique actuellement que cette fonctionnalité passe par une extension tierce.
Pour les comptes administrateurs, cette mesure devrait faire partie des protections prioritaires.
Selon la solution choisie, le second facteur peut prendre la forme d’une application d’authentification, d’un code temporaire ou d’une autre méthode de validation.
3. Utiliser un pare-feu applicatif (WAF)
Un pare-feu applicatif Web, souvent appelé WAF (Web Application Firewall), ajoute une couche de protection avant que les requêtes malveillantes n’atteignent votre site.
Un WAF peut notamment aider à détecter et bloquer certains comportements suspects, limiter les requêtes abusives et filtrer différentes formes de trafic malveillant.
Pour un site WordPress, cette protection peut être fournie par une extension de sécurité ou directement par l’infrastructure d’hébergement ou un service intermédiaire.
Le WAF est particulièrement intéressant lorsque le site reçoit un volume important de trafic automatisé ou lorsqu’il est régulièrement ciblé par des bots.
Le WAF ne remplace pas les autres protections
Un pare-feu mal configuré peut être peu efficace, tandis qu’une bonne configuration doit tenir compte du site, de son hébergement, de WooCommerce, des formulaires de connexion et des besoins des utilisateurs.
4. Protéger la page de connexion
La page de connexion WordPress est très connue des robots. Les URLs traditionnelles comme /wp-login.php ou /wp-admin/ sont faciles à identifier.
Il est possible de modifier l’URL d’accès à la connexion à l’aide d’une extension spécialisée. Cette technique peut réduire le nombre de robots qui ciblent directement l’URL standard.
Cependant, il est important de comprendre que cacher l’URL de connexion n’est pas une protection suffisante à lui seul. Il s’agit plutôt d’une mesure complémentaire destinée à réduire une partie du trafic automatisé.
La priorité doit rester la limitation des tentatives, le multifacteur et le pare-feu.
5. Utiliser des identifiants vraiment robustes
Un système de sécurité performant ne peut pas compenser des identifiants faciles à deviner.
WordPress recommande l’utilisation de mots de passe longs, complexes et uniques. La documentation officielle recommande notamment d’éviter les noms, dates, informations personnelles et termes génériques comme « admin », « password » ou « 123 ».
Le nom d’utilisateur mérite également une attention particulière. Un compte nommé simplement admin constitue une cible évidente pour les attaques automatisées.
Aujourd’hui, le plus simple est généralement d’utiliser un gestionnaire de mots de passe et de générer un mot de passe différent pour chaque compte.
Ne réutilisez jamais un mot de passe
Un mot de passe compromis sur un autre service peut être réutilisé par un attaquant sur votre site WordPress. Chaque compte doit donc disposer de ses propres identifiants.
6. Maintenir WordPress, les thèmes et les extensions à jour
La sécurité d’un site WordPress dépend aussi de l’état de ses composants.
WordPress, les extensions et les thèmes sont régulièrement mis à jour, notamment pour corriger des vulnérabilités de sécurité. Un site qui utilise des versions anciennes peut donc rester exposé à des failles déjà connues.
La sécurité ne consiste pas simplement à installer une extension de protection et à ne plus y toucher.
Il faut également :
- maintenir le cœur de WordPress à jour;
- mettre à jour les extensions;
- mettre à jour les thèmes;
- supprimer les extensions inutilisées;
- surveiller les extensions qui ne sont plus maintenues;
- effectuer des sauvegardes régulières avant les opérations importantes.
WordPress souligne lui-même l’importance de la sécurité du cœur, mais aussi de l’écosystème composé des thèmes et des extensions.
7. Sécuriser également l’hébergement et surveiller les connexions
La protection d’un site ne s’arrête pas à WordPress.
Un hébergement correctement configuré peut contribuer à filtrer le trafic abusif, absorber certaines attaques et limiter les conséquences d’une activité malveillante.
Il est également utile de surveiller les journaux de connexion et les événements de sécurité afin d’identifier des comportements inhabituels : multiplication des tentatives de connexion, connexions provenant de pays inattendus, création de comptes administrateurs ou changements de configuration.
Certaines solutions de sécurité permettent justement de conserver un historique des tentatives de connexion et d’identifier plus facilement les activités suspectes.
Une protection efficace repose sur plusieurs couches
Aucune mesure ne suffit à elle seule à protéger complètement un site WordPress contre les attaques par force brute.
Une stratégie de sécurité efficace combine plutôt plusieurs niveaux de protection :
Limitation des tentatives + MFA + WAF + mots de passe robustes + mises à jour + sauvegardes + surveillance.
Cette approche permet de réduire à la fois le nombre de tentatives automatisées, le risque de compromission d’un compte et les conséquences d’un incident.
Que faire si votre site WordPress reçoit déjà des attaques ?
Si votre site reçoit régulièrement des milliers de tentatives de connexion, il est préférable de ne pas se contenter d’installer une extension et de modifier quelques paramètres.
Il faut commencer par déterminer :
- quelles URLs sont attaquées;
- quels comptes sont ciblés;
- quelles adresses IP ou plages réseau sont impliquées;
- si XML-RPC ou WooCommerce sont également concernés;
- si le serveur montre des signes de surcharge;
- si des comptes suspects ont été créés;
- si des fichiers ont été modifiés.
Le diagnostic permet ensuite de choisir les protections appropriées sans ajouter inutilement plusieurs extensions de sécurité qui pourraient se chevaucher.
Conclusion
Les attaques par force brute sont simples à automatiser, mais elles ne doivent pas être considérées comme une fatalité.
En renforçant les comptes administrateurs, en limitant les tentatives de connexion, en activant le multifacteur, en utilisant un pare-feu et en maintenant WordPress à jour, vous réduisez fortement les possibilités d’intrusion.
La sécurité WordPress doit toutefois être envisagée comme un processus continu. Un site sécurisé aujourd’hui doit continuer à être surveillé, mis à jour et sauvegardé demain.
Votre site WordPress subit-il des tentatives de connexion répétées ou présente-t-il des signes de compromission? Un audit de sécurité permet d’identifier les failles, de vérifier la configuration actuelle et de mettre en place les protections adaptées à votre environnement. N’hésitez pas à nous contacter pour un audit de sécurité.
