Analyse de risques WordPress : une méthode simple
Une analyse de risques simple pour votre site WordPress : inventaire des actifs, menaces, cotation de 1 à 3, mesures et responsables, avec un registre d'exemple.
Melike Görel
Melike Görel rédige les guides de secaudit.eu sur la sécurité WordPress et la conformité européenne pour AngelForce OÜ, l’éditeur de logiciels basé à Tallinn qui développe secaudit.eu.
Articles de Melike Görel
HTTPS WordPress : corriger contenu mixte et redirections
HTTPS sur WordPress sans erreur : certificat gratuit, remplacement des URL avec WP-CLI, une seule redirection 301, boucles de proxy, contenu mixte et expiration.
WordPress piraté à répétition : trouver la porte dérobée
WordPress piraté à répétition malgré le nettoyage ? Trouvez les portes dérobées qui survivent : auto_prepend_file, mu-plugins, faux plugins, cron, sites voisins.
Énumération des utilisateurs WordPress : API REST et auteurs
Énumération des utilisateurs WordPress : testez quels identifiants votre site révèle (API REST, URL d'auteur, sitemap, erreurs de connexion), puis corrigez-les.
Permissions des fichiers WordPress : 644, 755 et propriétaire
Permissions des fichiers WordPress : sens de 755 et 644, bon propriétaire, commandes de réinitialisation sûres et pourquoi 777 ne règle jamais une erreur d'upload.
Contrat de sous-traitance RGPD pour agences web (art. 28)
Quand une agence web doit-elle signer un contrat de sous-traitance (RGPD, art. 28) ? Annexe sécurité, sous-traitants ultérieurs, incidents et fin de contrat.
Redirection malveillante WordPress : trouver et supprimer
Redirection malveillante WordPress : reproduisez-la avec curl et les outils de dev, repérez-la dans .htaccess, le PHP, la base ou le CDN, et évitez son retour.
Sécuriser wp-config.php : 10 réglages à vérifier
Sécuriser wp-config.php en 10 contrôles : clés uniques, débogage en production, FORCE_SSL_ADMIN, permissions, copies oubliées et méthode d'édition sûre.
Sceau de sécurité de site web : ce qu'un badge prouve (ou non)
Ce qu'un sceau de sécurité de site web prouve ou non : types de sceaux, limites du badge statique, quatre critères d'un sceau honnête et vérification en une minute.
Sécurité des rôles WordPress : nettoyer les comptes admin
Sécurité des rôles WordPress : repérez chaque administrateur, supprimez les anciens accès, révoquez les mots de passe d'application, faites une revue trimestrielle.
Sauvegardes WordPress qui se restaurent vraiment
Un plan de sauvegarde WordPress pensé pour la restauration : fichiers et base de données, règle 3-2-1 avec copie externe immuable, chiffrement, tests et art. 32 du RGPD.
En-têtes de sécurité WordPress : CSP, HSTS et plus
En-têtes de sécurité WordPress : valeurs de départ sûres pour HSTS, CSP, Referrer-Policy et Permissions-Policy, où les configurer et comment éviter les pannes.
Protection brute force WordPress : ce qu'un plugin bloque
Protection force brute WordPress par couches : limitation des connexions, XML-RPC, énumération REST, et pourquoi un plugin ne peut pas arrêter un DDoS.
PHP2Shell : que faire maintenant sur votre site WordPress
PHP2Shell (CVE-2026-109618, CVE-2026-109619) permet d’exécuter du code via un PHP non corrigé. Vérifiez la version, mettez à jour, redémarrez, surveillez.
DISALLOW_FILE_EDIT : désactiver l'éditeur de fichiers WordPress
Ajouter DISALLOW_FILE_EDIT à wp-config.php, ce que la constante n'empêche pas, et quand DISALLOW_FILE_MODS vaut le coup sans bloquer les mises à jour WordPress.
Vérifier les checksums WordPress : fichiers core modifiés
Vérifiez les checksums WordPress avec WP-CLI ou l'API WordPress.org, interprétez les alertes de fichiers modifiés ou en trop, puis réinstallez le core sans risque.
Web shells WordPress dans uploads : les trouver et les bloquer
Repérez un web shell WordPress dans wp-content/uploads, bloquez l'exécution de PHP sur Apache et nginx, vérifiez les droits de fichiers et fermez la porte d'entrée.
Spam SEO WordPress : repérer les liens cachés casino et pharma
Spam SEO WordPress : repérez les liens cachés casino et pharma, voyez ce que voit Googlebot, nettoyez base et fichiers, puis demandez un réexamen à Google.
Rapport d'audit de sécurité WordPress : les preuves à conserver
Constituer un rapport d'audit de sécurité WordPress : les six registres à tenir, des preuves solides, les questions des fournisseurs et assureurs, et un modèle.
Supprimer un malware WordPress : le plan étape par étape
Supprimer un malware WordPress en huit étapes : isoler le site, garder les preuves, trouver la faille, nettoyer depuis des sources sûres, changer les secrets, renforcer.
Site WordPress piraté : 12 signes à vérifier
Douze signes d’un site WordPress piraté, des administrateurs inconnus aux redirections masquées : comment vérifier chacun et que faire dans la première heure.
Article 32 du RGPD et WordPress : une sécurité « appropriée »
L’article 32 du RGPD appliqué à WordPress : chiffrement, mises à jour, contrôle d’accès, sauvegardes testées, analyses régulières, documentation et sous-traitants.
OWASP Top 10:2025 et WordPress : les dix risques expliqués
L’OWASP Top 10:2025 appliqué à WordPress : chaque risque dans les extensions, thèmes et réglages, et les contrôles à mener par propriétaires et développeurs.
Site WordPress piraté ? La notification RGPD sous 72 heures
Site WordPress piraté ? Quand un piratage devient une violation de données au sens du RGPD, quand démarrent les 72 heures, que notifier, que documenter et qui informer.
NIS2 et votre site WordPress : êtes-vous concerné ?
NIS2 et WordPress : votre entreprise, agence ou activité d’hébergement est-elle concernée ? Ce que vos clients exigeront et les mesures de l’article 21 à appliquer.
Google Fonts et RGPD : héberger vos polices en local sur WordPress
Google Fonts et RGPD : ce qu’a jugé le tribunal de Munich, pourquoi le Data Privacy Framework ne règle pas tout, et comment repérer et héberger vos polices sur WordPress.
Extensions WordPress vulnérables : auditer, mettre à jour, remplacer
Failles des extensions WordPress : tenir un inventaire, mettre à jour vite, supprimer les extensions inutiles ou abandonnées, réagir quand aucun correctif n’existe.
Cyber Resilience Act et extensions WordPress : vos obligations
Cyber Resilience Act et vendeurs d’extensions ou de thèmes WordPress : signalement depuis le 11 septembre 2026, obligations de décembre 2027 et liste d’actions.
Checklist sécurité WordPress pour les entreprises de l’UE (2026)
Checklist sécurité WordPress pour les entreprises de l’UE : 25 points (hébergement, mises à jour, 2FA, surveillance, sauvegardes, documentation) reliés au RGPD et à NIS2.
Authentification à deux facteurs pour les admins WordPress
Mettre en place l’authentification à deux facteurs sur WordPress : applications TOTP, passkeys, codes de secours, limites du SMS, comptes concernés, déploiement et NIS 2.