22 règles de conduite pour sécuriser son site ou son blog wordpress

Intégrer un WordPress c’est facile, le faire bien est un peu plus compliqué et il faut faire attention pour avoir un site un minimum sécurisé. Voilà nos 22 règles de conduite :

1. Passez votre site web full SSL,
2. Bloquez où désactiver l’accès à distance,
3. Ne donnez jamais vos accès à un tiers ou un prestataire, créez-lui un compte utilisateur personnel,
4. N’utilisez pas de plugin (extension) sur le Front Office (problèmes de sécurité et de lourdeur),
5. N’effectuez jamais de mise à jour de plugin en production sans l’avoir testé avant sur votre staging (environnement de test et de validation),
6. N’effectuez jamais de mise à jour du WordPress en production sans l’avoir testé avant sur votre staging (certains plugins pourraient ne plus fonctionner ensuite),
7. Ne conservez pas plusieurs thèmes sur le site si ce n’est pas nécessaire,
8. Supprimez toutes les extensions qui ne sont pas nécessaire et désactivez celle qui ne le sont pas tout le temps, pour ne les activer que lorsque nécessaire),
9. Ne jamais utiliser les comptes par défaut et créer votre propre compte admin,
10. Utilisez un mot de passe avec au moins 3 critères et changez-le régulièrement,
11. Restreindre le nombre de tentative d’essais d’indentification (Plugin « Login Lock Down »),
12. Masquez la version de WordPress (code dans le functions.php),
13. Faites des sauvegardes régulièrement,
14. N’utilisez pas de template tout fait, ou avec une grande prudence,
15. Faites les mises à jour officielle régulièrement (mais pas automatiquement),
16. Ajouter vos propres clefs de sécurité secrètes (SALT),
17. Protégez l’accès aux fichiers via le wp-config,
18. Restreindre les accès aux répertoires de configurations via un mot de passe système (htaccess),
19. Ne pas utiliser les préfixes par défaut (wp),
20. Désactiver l’éditeur de fichiers en ligne (code dans le functions.php),
21. Déplacez le PhpMyAdmin ou ARI Adminer, évitez de le déployer sur le même site / domaine,
22. Déplacez l’Url de login (Plugin « WPS Hide Login »).

Si vous avez besoin d’aide, contactez-nous !