La sécurité des plugins WordPress ne se limite pas à vérifier qu'il est indiqué « à jour » sur le panneau. L’incident de Rank Math PRO en est un exemple récent. Selon la description officielle de l'incident du fabricant, certains des packages PRO 3.0.123 téléchargés entre 20h02 UTC le 15 octobre 2026 et 07h12 UTC le 16 octobre contenaient des logiciels malveillants. Heure turque, cet intervalle correspond entre le 15 octobre 23.02 et le 16 octobre 10.12. Le fabricant déclare avoir supprimé les fichiers concernés et publié la version propre 3.0.124. Le plugin gratuit Rank Math SEO proposé via WordPress.org n'est pas concerné par cet incident.
Il y a ici une distinction importante : Il ne suffit pas de simplement mettre à jour un site qui active un package malveillant. Rank Math demande de considérer ces sites comme compromis et de suivre des étapes de récupération spécifiques. Les contrôles suivants constituent un début pour la maintenance générale ; Cela ne remplace pas le nettoyage des sites concernés.
Enregistrez d'abord la version et mettez à jour l'historique
Ouvrez la section Plugins dans le panneau d'administration WordPress. Notez le nom de chaque plugin, le développeur, la version installée et s'il est actif ou non dans une liste. Lisez ensuite les notes de version officielles du développeur. Vérifiez la version du correctif de sécurité, les anciennes versions qu'il couvre et s'il nécessite une action supplémentaire. Pensez également à un plugin qui n'a pas été mis à jour depuis longtemps ; Ne considérez pas la date de mise à jour comme un seul document de sécurité.
Le numéro de version dans le panneau n'indique pas toujours quand vous avez installé le package. Recherchez l'heure de mise à jour dans les journaux de transactions du fournisseur d'hébergement, les journaux d'activité précédemment conservés, le cas échéant, et les dates de sauvegarde. Surtout dans les cas impliquant une certaine plage de distribution, consultez l'historique avant de dire « Je n'ai pas cette version ». Si vous ne trouvez pas d'enregistrement, ne rejetez pas le résultat comme « non affecté » ; Faites remonter l'incertitude au support du fabricant.
Vérifier la source de téléchargement et le développeur
Obtenez le plugin gratuit depuis sa propre page dans le répertoire WordPress.org et le plugin payant depuis le compte officiel du fabricant. N'installez pas à partir d'une annonce de recherche, d'un fichier ZIP dans un forum ou d'un package dont les contrôles de licence ont été supprimés. Comparez le nom de domaine et le nom du développeur. Au lieu de cliquer sur le lien « mise à jour de sécurité urgente » dans l'e-mail, ouvrez vous-même l'adresse du fabricant. Le guide de sécurité de WordPress s'appuie également sur des sources fiables de plugins et de thèmes.
Le recours à des sources officielles réduit le risque ; ne prouve pas à lui seul que chaque colis est sécurisé. En cas d'annonce d'incident, lisez également le dernier communiqué du constructeur. L'actualité de Teknoblog concernant le transfert de contrôle du plugin ACF est un autre exemple de la raison pour laquelle il est important de suivre le développeur et le canal de distribution autant que le nom du plugin.
Vérifiez qui possède réellement les comptes d'administrateur
Dans la section Utilisateurs, examinez les comptes avec le rôle d'administrateur. Pour chaque compte, vérifiez la personne responsable, l'adresse e-mail et si cette autorisation est toujours nécessaire. Ne prenez pas pour acquis un ancien compte d'agence ou un utilisateur que vous ne connaissez pas sans clarification. Mais ne supprimez pas un compte simplement parce que son nom semble bizarre ; Vérifiez d’abord la propriété auprès de l’équipe qui gère le site.
Utilisez le rôle requis pour le travail éditorial quotidien, en limitant l'autorité d'administration aux personnes chargées de la maintenance. Donnez des comptes séparés à chaque personne ; Utilisez des mots de passe forts et uniques et une vérification en deux étapes. Si vous voyez un compte administrateur inattendu ou des modifications non autorisées, arrêtez la maintenance de routine. Enregistrez les heures et les résultats et lancez une enquête auprès du fournisseur d’hébergement. La suppression du compte ne révèle pas comment l'accès a été obtenu.
Vérifiez que la sauvegarde n'existe pas mais peut être restaurée
Le signe vert sur l’écran de sauvegarde seul ne suffit pas. Choisissez un jeu de sauvegarde qui inclut les fichiers et la base de données ensemble ; Vérifiez sa date, sa taille, son emplacement de stockage et ses informations d'accès. La documentation de sauvegarde de WordPress explique que ces deux parties sont requises pour une restauration complète. Ne limitez pas les répliques au même serveur.
Restaurez la sauvegarde dans un environnement de démonstration distinct à accès restreint sans écraser le site actif. Vérifiez la page d'accueil, la connexion administrative, les images et les formulaires critiques. Essayez les transactions de paiement en mode test sur les sites qui prennent des commandes ; empêcher la copie d'essai d'envoyer des e-mails à de vrais clients. Notez quelle sauvegarde vous avez pu ouvrir et quand. Ne considérez pas qu’une copie postérieure à une date douteuse est propre simplement parce qu’elle est neuve.
Préparez la mise en scène et le flashback avant la mise à jour
La mise en scène est une copie du site en direct sur lequel vous testez les modifications. Appliquez d'abord la mise à jour du plugin ici ; Contrôlez les flux importants pour votre site tels que la recherche, l'adhésion, le panier et les contacts. Enregistrez les versions antérieures à la mise à jour, le jeu de sauvegarde et la personne qui effectuera la restauration. Lorsqu'un problème survient, le simple fait de revenir à l'ancien fichier ZIP peut ne pas suffire ; La mise à jour peut également avoir modifié la base de données. Préparez votre plan de retour en conséquence.
Si vous avez activé le package concerné lors de l'incident Rank Math, suivez les étapes de récupération personnalisées du fabricant dans l'ordre. Le retour d'une sauvegarde propre ou d'un nettoyage sous la supervision d'un expert, le renouvellement des informations d'accès et le contrôle de sécurité font partie de ce processus. Il ne suffit pas de désactiver le plugin. Pour ceux qui ont installé mais jamais activé, le fabricant dit de supprimer les fichiers concernés, d'installer la version propre et d'exécuter une analyse. Si votre propre situation est incertaine, obtenez de l’aide.
La tenue d'un journal d'entretien facilite les inspections ultérieures. Pour chaque transaction, notez la date, la version précédente et suivante, la personne qui a effectué la modification et les pages vérifiées. Si plusieurs personnes gèrent le site, conservez ce dossier dans un endroit accessible au public. De cette façon, au lieu de deviner un changement inattendu, vous pouvez voir quelles mesures vous pouvez prendre pour revenir au dernier état de santé.
À la fin de ces vérifications, vous devriez disposer d'une liste de plugins à jour, d'administrateurs spécifiques au compte, d'une sauvegarde que vous voyez peut être ouverte et d'un plan de secours réalisable. Si l'un des contrôles manque, ne considérez pas le travail de maintenance terminé ; Identifiez l’étape manquante et son coupable.
