Checklist sécurité WordPress en 20 points

Mises à jour

WordPress est à jourAppliquez les mises à jour de sécurité dès leur sortie.
Toutes les extensions sont à jourLa moitié des attaques passent par une extension non mise à jour.
Le thème est à jourY compris le thème parent si vous utilisez un thème enfant.
Les extensions inutilisées sont suppriméesUne extension désactivée reste une porte d'entrée possible.
La version de PHP est maintenueUne version de PHP qui ne reçoit plus de correctifs expose tout le site.

Chaque administrateur a un compte nominatifPas de compte « admin » partagé ; supprimez les comptes des anciens prestataires.
Les mots de passe sont longs et uniquesUtilisez un gestionnaire de mots de passe pour toute l'équipe.
La double authentification est activéeAu minimum pour les comptes administrateurs et éditeurs.
Les tentatives de connexion sont limitéesBloquez les attaques par force brute sur la page de connexion.
L'éditeur de fichiers est désactivéAjoutez DISALLOW_FILE_EDIT dans wp-config.php.

HTTPS est actif sur tout le siteAvec redirection automatique depuis HTTP.
Les en-têtes de sécurité sont en placeHSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy.
Les droits des fichiers sont correctsGénéralement 644 pour les fichiers et 755 pour les dossiers.
wp-config.php est protégéIl ne doit pas être accessible depuis le navigateur.
XML-RPC est désactivé s'il ne sert pasIl est souvent utilisé pour des attaques automatisées.

Une sauvegarde est faite chaque jourFichiers et base de données, stockés en dehors du serveur.
La restauration a été testéeUne sauvegarde jamais restaurée n'est pas une garantie.
La disponibilité du site est surveilléePour être alerté avant vos clients.
Un scan de code malveillant est régulierPour détecter une infection discrète.
Un journal d'activité est tenuPour savoir qui a fait quoi, et quand.