Sécurité WordPress et conformité LPD à Delémont pour un cabinet indépendant

Contexte

Un cabinet indépendant basé à Delémont utilisait un site WordPress simple (présentation + formulaire). Le site remplissait son rôle, mais plusieurs signaux étaient préoccupants: tentatives de connexion suspectes, extensions pas toujours à jour, sauvegardes non vérifiées et gestion du consentement cookies trop approximative. L’objectif n’était pas de tout reconstruire, mais de sécuriser et d’opérer le site proprement.

Objectifs

• Réduire le risque d’intrusion (accès admin, durcissement, pare-feu).
• Mettre en place une exploitation fiable: mises à jour, sauvegardes et monitoring.
• Clarifier la conformité: pages légales, consentement cookies et traçabilité.
• Conserver une mesure utile, compatible avec le consentement (GA4 + Search Console).

Diagnostic initial

• Accès : identifiants trop simples, absence de protection contre le brute force.
• Mises à jour : décalage entre versions, extensions redondantes ou peu maintenues.
• Sauvegardes : présence d’une sauvegarde, mais restauration jamais testée.
• Cookies : bannière active, mais scripts analytiques pas clairement conditionnés au consentement.
• Visibilité locale : informations pratiques dispersées (horaires, adresse, accès).

Approche mise en place

L’intervention a été menée par étapes, avec un principe simple: améliorer la sécurité sans nuire à l’usage. Chaque modification a été testée sur les fonctions critiques (accueil, contact, appels, affichage mobile).

1) Durcissement WordPress

• Nettoyage des comptes et mise en place de mots de passe forts.
• Activation de protections de connexion (limitation des tentatives, alertes).
• Révision des extensions: suppression des doublons, mise à jour, remplacement si nécessaire.
• Mise en place d’un pare-feu applicatif (ex. Wordfence) avec réglages sobres.

2) Sauvegardes et monitoring

• Sauvegardes automatiques (fichiers + base) avec rétention et contrôles.
• Test de restauration sur une copie, pour valider que la sauvegarde est exploitable.
• Monitoring de disponibilité (uptime) et alertes en cas d’erreur.

3) Conformité et consentement cookies

• Revue des pages légales (politique de confidentialité, mentions, cookies) et cohérence des formulaires.
• Configuration du consentement via CMP (ex. Cookiebot, Axeptio ou CookieYes selon contexte).
• Conditionnement des tags analytiques, afin d’éviter la mesure avant consentement lorsque requis.

4) Mesure et pilotage

• Connexion et vérification GA4 et Google Search Console.
• Suivi d’actions utiles: clic téléphone, clic e-mail, envoi formulaire.
• Contrôle mensuel simple: visites utiles, pages clés, erreurs, signaux sécurité.

Exemple technique : bloquer XML-RPC (durcissement simple)

À utiliser si aucune intégration ne dépend de XML-RPC. Code propre, courant, sans effet sur l’éditeur WordPress moderne.

<?php
/**
 * Désactive XML-RPC.
 */
add_filter('xmlrpc_enabled', '__return_false');

Exemple technique : renforcer quelques en-têtes de sécurité (WordPress)

Exemple minimal, généralement compatible. À tester si des services externes (chat, iframes) sont utilisés.

<?php
/**
 * Ajoute des en-têtes de sécurité de base.
 */
add_action('send_headers', function () {
  header('X-Content-Type-Options: nosniff');
  header('X-Frame-Options: SAMEORIGIN');
  header('Referrer-Policy: strict-origin-when-cross-origin');
  header('Permissions-Policy: geolocation=(), microphone=(), camera=()');
});

Exemple technique : empêcher l’édition de fichiers depuis l’admin

Mesure simple, utile sur beaucoup de sites. À placer dans wp-config.php.

define('DISALLOW_FILE_EDIT', true);

Résultats observés

• Tentatives de connexion mieux filtrées et alertes plus lisibles.
• Mises à jour redevenues régulières, avec moins de risques de régression.
• Sauvegardes vérifiées et monitoring actif, ce qui réduit l’incertitude en cas d’incident.
• Gestion des cookies plus cohérente, avec une mesure mieux alignée sur le consentement.
• Informations locales mieux mises en avant (adresse, accès, contact), ce qui aide la clientèle de proximité.

Points clés à retenir

• La sécurité WordPress efficace repose surtout sur des bases: comptes propres, mises à jour, sauvegardes testées.
• Le consentement cookies doit être opérationnel, pas seulement affiché.
• Une mesure simple (GA4 + actions utiles) suffit souvent pour piloter un site vitrine.