Sécuriser son hébergement web : la base avant toute maintenance WordPr

Un serveur mal réglé, c’est une porte qu’on a oubliée de verrouiller. Peu importe la qualité de la plateforme installée dessus. Avant de parler de maintenance WordPress au sens strict, il faut d’abord regarder ce qui la rend possible ou inutile : ce qu’une maintenance WordPress doit couvrir dépend directement de la solidité de l’hébergement qui tourne dessous.

Beaucoup de PME pensent maintenance au niveau du site : plugins, thème, mises à jour. C’est une partie du travail. Mais la moitié des incidents que je croise ne viennent pas de WordPress lui-même. Ils viennent du serveur qui l’héberge, mal configuré depuis le jour de la mise en ligne.

Pourquoi l’hébergement est la première ligne de défense

Un hébergement correctement durci bloque une attaque avant qu’elle n’atteigne le CMS. Un pare-feu applicatif, des permissions de fichiers serrées, une version de PHP maintenue : ce sont des réglages serveur, pas des réglages WordPress.

Sans ça, même le meilleur contrat de maintenance arrive trop tard. Le mal est fait côté serveur, et personne ne regardait de ce côté.

Les réglages serveur qu’une PME oublie souvent

Trois points reviennent presque systématiquement quand j’audite un hébergement de PME :

La version de PHP. Beaucoup tournent encore sur une version qui ne reçoit plus de correctif de sécurité. Un hébergeur sérieux force la montée de version, mais pas tous le font automatiquement.

Les permissions de fichiers trop larges. Un dossier en 777 ouvert à tous, c’est une invitation. Le bon réglage, c’est 755 pour les dossiers, 644 pour les fichiers, et rien de plus permissif sans raison précise.

Le certificat SSL non renouvelé automatiquement. Un site qui bascule en HTTP pendant quelques heures perd la confiance du visiteur et le classement qui va avec.

Mettre en maintenance son site WordPress au bon moment

Passer un site en mode maintenance n’est pas une formalité technique qu’on déclenche à la dernière minute. C’est une fenêtre qu’on prépare : sauvegarde fraîche, avertissement si des visiteurs réguliers sont attendus, puis bascule.

Le bon moment, c’est en dehors des pics de trafic du site, et jamais un vendredi après-midi si personne n’est disponible pour surveiller derrière. Une maintenance lancée sans surveillance dans l’heure qui suit, c’est un pari, pas une procédure.

Je le dis net : un plugin de maintenance qui se contente d’afficher une page d’attente ne protège de rien côté serveur. Il masque juste l’écran pendant qu’on travaille.

Sauvegardes : où elles doivent vraiment se trouver

Une sauvegarde stockée sur le même serveur que le site qu’elle protège ne protège de rien en cas de panne serveur complète. C’est pourtant ce que je trouve encore, régulièrement, chez des PME qui pensaient être couvertes.

La règle que je retiens : une copie hors du serveur de production, idéalement sur un espace distinct, avec un historique d’au moins quelques versions. Pas une seule sauvegarde écrasée chaque nuit par la suivante.

Sur ce point précis, j’ai détaillé la méthode ailleurs : comment sécuriser ses sauvegardes cloud. Le principe reste le même pour un site WordPress : la sauvegarde ne vaut que si elle survit à la perte du serveur principal.

Ce qui relève de l’hébergeur, ce qui relève du site

Il y a une frontière nette, et beaucoup de PME la ratent. L’hébergeur gère le serveur : son système, ses correctifs, son réseau, son pare-feu. Le site, lui, dépend de qui l’administre : les mises à jour de WordPress, des plugins, du thème, et les comptes utilisateurs.

Un bon hébergement sans suivi du site reste vulnérable. Un site bien suivi sur un hébergement mal réglé reste exposé. Les deux couches doivent être tenues en même temps, pas l’une après l’autre.

Avant de choisir ou de revoir un hébergement, il vaut mieux poser les bonnes questions dès le départ plutôt que de corriger après coup : comment sécuriser son hébergement web détaille ce qui doit être vérifié avant la signature.

Un contrôle simple à faire chaque trimestre

Pas besoin d’un audit complet tous les mois. Un contrôle tous les trois mois, bien fait, suffit pour une PME sans service informatique dédié.

Trois vérifications tiennent en une matinée : la version de PHP active, la date de la dernière sauvegarde réellement testée (pas juste créée), et la liste des comptes administrateurs encore actifs sur le site.

Si l’une des trois réponses ne vous satisfait pas, c’est le signal à traiter avant tout le reste. Le reste peut attendre une semaine. Pas celui-là.