Sécurité WordPress et nettoyage malware
Sécurité de site web : protéger, surveiller, réparer
DevoraTech prend en charge la sécurité de site web depuis Tanger, pour les entreprises du Maroc, de France et d'ailleurs. Nous renforçons votre site, le gardons à jour et sauvegardé, le surveillons, et le nettoyons puis le remettons en ligne s'il est piraté. Le travail suit les recommandations de sécurité que WordPress.org et Google publient pour les propriétaires de sites.
Lire la suiteRéduire
La sécurité réduit le risque de piratage et raccourcit la remise en état quand il arrive. Le guide de sécurisation de WordPress le dit lui-même : la prévention ne suffit pas toujours, et un site peut quand même être piraté. C'est pourquoi nous prévoyons, avant tout incident, des sauvegardes que l'on sait restaurer et une marche à suivre.
La sécurité fait partie de notre maintenance de site internet, avec l'optimisation de la vitesse de site web, sur les sites WordPress, WooCommerce, Shopify, PrestaShop et développés sur mesure. Ce travail se fait en intervention ponctuelle ou dans le cadre d'une formule de maintenance.
Rattaché au serviceMaintenance de site web
- Protection, mises à jour et sauvegardes
- Nettoyage et remise en ligne
- Comptes gardés à votre nom
Pour qui
Pour qui
- Une entreprise dont le site n'a pas été mis à jour depuis des mois
- Un site qui affiche des pages de spam, des redirections étranges ou une alerte dans le navigateur
- Une boutique en ligne qui garde des comptes clients et des commandes
- Une société qui ne sait plus qui a accès à son site
Ce que nous réglons
Ce qui expose un site aux attaques
Des logiciels laissés en retard
La plateforme, le thème et les extensions publient tous des correctifs de sécurité. Depuis la version 3.7, WordPress applique seul ses mises à jour mineures et de sécurité sur la plupart des sites, mais les versions majeures, les thèmes et les extensions demandent encore quelqu'un pour les installer et vérifier le site ensuite. La documentation de WordPress le rappelle : les anciennes versions sont plus exposées au piratage que les récentes.
Des mots de passe faibles et partagés
Un seul mot de passe pour toute l'équipe, un ancien salarié encore administrateur, un compte FTP que personne n'utilise. Les conseils de Google aux propriétaires de sites commencent par de bons mots de passe et par SSH et SFTP pour les transferts de fichiers, et WordPress demande une double authentification sur chaque compte administrateur.
Des extensions et des thèmes d'origine inconnue
Une copie gratuite d'un thème payant, ou une extension téléchargée sur un site au hasard, peut contenir du code que vous n'avez jamais demandé. WordPress conseille de prendre extensions et thèmes uniquement dans le répertoire de WordPress.org ou chez des éditeurs connus.
Aucune sauvegarde que l'on sait restaurer
Une sauvegarde rangée sur le même serveur que le site, ou que personne n'a jamais restaurée, peut faire défaut le jour où l'on en a besoin. WordPress recommande de sauvegarder la base de données et les fichiers, chaque semaine pour un petit site et chaque jour pour un site actif, avec des copies conservées à plusieurs endroits.
Ce que vous obtenez
Ce que comprend la sécurité de votre site web
Bilan de sécurité
Versions, extensions et thèmes, comptes utilisateurs et leurs rôles, droits des fichiers, réglages de l'hébergement, sauvegardes et HTTPS vérifiés, avec une liste écrite des risques classés par urgence.
Renforcement
Les mesures du guide de sécurisation de WordPress qui conviennent à votre site : mots de passe forts et uniques, double authentification pour les administrateurs, aucun compte nommé « admin », modification des fichiers désactivée dans le tableau de bord, droits des fichiers resserrés, administration en HTTPS et limites aux tentatives de connexion répétées. Des réglages équivalents sur les autres plateformes.
Mises à jour
Les mises à jour du cœur, du thème et des extensions appliquées après une sauvegarde, puis un test des pages principales. Une extension qui ne reçoit plus de mises à jour est signalée, avec une remplaçante proposée.
Sauvegardes
La base de données et les fichiers sauvegardés à un rythme qui suit celui de vos modifications, avec des copies conservées hors du serveur et une restauration essayée, pour savoir qu'elle fonctionne.
Certificat SSL et HTTPS
Un certificat valide sur chaque adresse du site, renouvelé avant son expiration, et toutes les pages servies en HTTPS. Comme le note WordPress, le HTTPS est gratuit dans bien des cas.
Contrôle des accès
Chaque personne avec son propre compte et le rôle WordPress dont son travail a besoin, d'Administrateur à Abonné. Anciens salariés et anciennes agences retirés, accès à l'hébergement et aux fichiers revus, et notre propre accès gardé en utilisateur séparé, que vous pouvez supprimer.
Surveillance
Le site surveillé en cas de panne, de fichiers modifiés sans raison et de logiciels malveillants, et le rapport « Problèmes de sécurité » de la Search Console de Google consulté, pour repérer un problème tôt.
Nettoyage malware et réparation de site piraté
Fichiers infectés, pages de spam et redirections malveillantes nettoyés, porte d'entrée refermée, et demande d'examen envoyée à Google une fois le site propre, selon les étapes ci-dessous. Ce travail se fait en intervention ponctuelle ou dans le cadre d'une formule de maintenance.
Plateformes
La sécurité selon votre plateforme
Chaque plateforme vous laisse une part différente de la sécurité. Nous écrivons dans le plan ce que nous suivons et ce qui reste à la plateforme ou à l'hébergeur.
Sécurité WordPress et WooCommerce
L'essentiel du travail se trouve ici : le cœur, le thème, les extensions, les utilisateurs et les réglages du serveur. Notre travail de sécurité WordPress suit le guide de sécurisation publié sur WordPress.org, et sur les boutiques WooCommerce nous testons la commande après chaque changement.
Shopify
Shopify gère l'hébergement et le logiciel. La sécurité porte sur les comptes du personnel et leurs autorisations, les applications installées et le code ajouté au thème.
PrestaShop
Mises à jour de PrestaShop et de ses modules, comptes du back-office, réglages du serveur et sauvegardes.
Développement spécifique
Mises à jour du framework et des bibliothèques, réglages du serveur, et accès au code et à la base de données, pour les sites et applications web développés avec Laravel ou un autre code sur mesure.
Méthode
Site piraté : les étapes de la réparation
1. Isoler le site
Le site mis hors ligne, ou remplacé par une page de maintenance servie depuis un autre serveur que le serveur infecté, et votre hébergeur prévenu. L'aide de Google pour les sites piratés et la documentation de WordPress demandent toutes deux ces premiers gestes.
2. Fermer tous les accès
Comptes inconnus supprimés, chaque mot de passe changé (espace d'hébergement, FTP ou SFTP, base de données, administrateurs du site), et tout le monde déconnecté de WordPress par le renouvellement de ses clés secrètes.
3. Copier, puis nettoyer
Une copie du site infecté gardée pour l'analyse, puis le site restauré depuis une sauvegarde saine quand elle existe. Sinon, les fichiers du cœur remplacés par des fichiers neufs de la même version, extensions et thèmes réinstallés depuis des sources sûres, et les fichiers modifiés, comme le .htaccess, nettoyés.
4. Trouver la porte d'entrée
La faiblesse utilisée par l'attaquant, par exemple une extension ancienne, un mot de passe volé ou un réglage du serveur, identifiée et corrigée.
5. Mettre à jour, puis changer les mots de passe encore
Tout mis à jour vers la dernière version, et les mots de passe changés une seconde fois une fois le site propre, comme le conseille WordPress.
6. Demander un examen à Google
Quand Google affiche un avertissement, un examen est demandé depuis le rapport « Problèmes de sécurité » de la Search Console, avec le détail de ce qui a été nettoyé et corrigé.
Services
Nos autres services
Vitesse du site
Temps de chargement et Core Web Vitals mesurés et travaillés, pour un site qui existe déjà.
Maintenance de site web
Mises à jour, sauvegardes, sécurité et corrections pour les sites existants.
Sous-traitance de développement web
Développement web réalisé depuis Tanger pour les entreprises et les équipes à l’étranger.
Questions
Sécurité de site web : vos questions
Pouvez-vous garantir que mon site ne sera jamais piraté ?
Personne ne le peut. La sécurité réduit le risque et aide à repérer un problème tôt, et votre plan liste ce qui est fait : mises à jour, renforcement, sauvegardes et surveillance. Si un piratage arrive malgré tout, une sauvegarde saine et les étapes de réparation de cette page sont prêtes.
Mon site a été piraté : que faire en premier ?
Notez ce que vous voyez et à quelle heure, prévenez votre hébergeur, et changez les mots de passe de chaque compte lié au site : hébergement, FTP, base de données et administrateurs. Évitez de supprimer des fichiers au hasard, car une copie du site infecté aide à trouver par où l'attaquant est entré. Envoyez-nous ensuite l'adresse du site et ce que vous avez remarqué.
Comment savoir si mon site a été piraté ?
Parmi les signes cités par WordPress : un avertissement de Google ou d'un antivirus, un hébergeur qui suspend le site, de nouveaux utilisateurs que vous n'avez pas créés, et des pages qui s'affichent mal quand vous les ouvrez. Google ajoute les pages de spam que vous n'avez pas écrites, les textes ou liens cachés, et les redirections qui envoient certains visiteurs vers des pages malveillantes. Le rapport « Problèmes de sécurité » de la Search Console montre ce que Google a trouvé sur votre site.
Combien coûte le nettoyage d'un malware ?
Cela dépend de la plateforme, de la taille du site, du type de piratage et de l'existence d'une sauvegarde saine. Nous regardons d'abord le site, puis nous envoyons un devis écrit. Le nettoyage se fait en intervention ponctuelle ou dans le cadre d'une formule de maintenance. Demandez un devis avec l'adresse de votre site et ce que vous constatez.
Assurez-vous la sécurité WordPress d'un site que vous n'avez pas créé ?
Oui, nous reprenons des sites créés par d'autres agences ou développeurs. Nous commençons par un bilan de sécurité du thème, des extensions, des utilisateurs et de l'hébergement, puis nous proposons par écrit un renforcement, un nettoyage ou une formule de maintenance. Les comptes restent au nom de votre entreprise.
Google retirera-t-il l'avertissement une fois le site nettoyé ?
Un examen peut être demandé dans la Search Console une fois le site nettoyé, la faille corrigée et le site remis en ligne. Selon Google, l'examen prend quelques jours pour un logiciel malveillant et jusqu'à plusieurs semaines pour un piratage par spam ; une fois l'examen accepté, les avertissements des navigateurs et des résultats de recherche disparaissent sous 72 heures. Nous envoyons la demande avec le détail de ce qui a été fait, grâce à votre accès à la Search Console.
Dites-nous ce qui vous inquiète sur votre site
Indiquez-nous l'adresse de votre site et ce qui vous inquiète : un bilan de sécurité, un renforcement, des sauvegardes ou de l'aide pour un site piraté. Nous vous répondons avec des questions, puis un plan écrit et un devis.