Selon une étude de Patchstack sur l’état de la sécurité WordPress, environ 91 % des vulnérabilités recensées proviennent des plugins, contre à peine 9 % pour les thèmes et 6 vulnérabilités pour le cœur de WordPress lui-même.

Il existe aujoud’hui des dizaines de milliers de plugins qui sont développés par des équipes de tailles très variables, avec des niveaux de rigueur et de suivi qui n’ont rien à voir les uns avec les autres. Certains sont maintenus par de grosses équipes qui publient des correctifs en quelques heures. D’autres sont écrits par un développeur seul, puis laissés à l’abandon au bout de quelques mois.

Pour un pirate, s’attaquer à un plugin populaire revient à trouver une clé qui ouvre des milliers de portes à la fois, plutôt que de crocheter chaque serrure une par une.

Que faire si l’un de vos plugins est compromis

Voici la démarche à suivre si vous apprenez qu’un de vos plugins présente une faille active ou a été piraté:

1. Comprendre la nature exacte de la faille

Avant d’agir, il vaut mieux savoir précisément à quoi vous avez affaire. L’éditeur du plugin envoie parfois un mail d’alerte, comme l’a fait Really Simple Security. Sinon, des bases de données comme celles de Wordfence, Patchstack ou WPScan référencent en continu les vulnérabilités connues, plugin par plugin, avec le niveau de gravité et les versions concernées. Prendre 5 minutes pour lire ces informations aide ensuite à savoir quoi chercher précisément lors du nettoyage.

Lire Aussi : 12 fonctionnalités WordPress que vous n’avez peut-être jamais utilisées

2. Mettre à jour le plugin sans attendre

Dans la majorité des cas, un correctif arrive assez vite après la découverte de la faille, sauf si le plugin est abandonné. WordPress dispose depuis 2015 d’un mécanisme de mise à jour forcée pour les failles critiques, mais il n’est pas infaillible. Il est donc préférable de se connecter à son back-office pour vérifier manuellement que la mise à jour a bien été appliquée, plutôt que de faire confiance uniquement à l’automatisation.

3. Remplacer le plugin si nécessaire

Si le plugin concerné n’est plus maintenu, ou si l’incident vous a fait perdre confiance, le plus sûr reste de le désinstaller et d’en chercher un autre. Quelques points valent la peine d’être vérifiés avant d’installer un remplaçant, que ce soit sur le répertoire officiel WordPress.org ou sur une place de marché comme CodeCanyon :

  • La date de dernière mise à jour, idéalement inférieure à trois mois, six au grand maximum
  • La version de WordPress avec laquelle le plugin a été testé
  • Les avis et commentaires, en particulier ceux qui mentionnent des problèmes de sécurité
  • Le nombre d’installations actives et la réputation de l’auteur
  • Pour les plugins premium, la mention « quality checked » et le profil du développeur sur la marketplace

Un plugin qui n’a pas été mis à jour depuis plusieurs années, même s’il fonctionne encore techniquement, reste un pari très risqué.

4. Nettoyer et vérifier le site en profondeur

Même une fois le plugin corrigé ou remplacé, le travail n’est pas terminé. Une intrusion laisse souvent des traces qu’il faut chercher activement, elles ne sautent pas toujours aux yeux.

Commencez par parcourir le site page par page, y compris le code source quand c’est possible, à la recherche d’éléments suspects : redirections inattendues, liens ou textes ajoutés sans raison, comportements anormaux. Lancez ensuite un scan de sécurité complet via une extension dédiée, la plupart proposent un historique des fichiers modifiés récemment, très utile pour repérer une intrusion. Vérifiez aussi la liste des comptes administrateurs : tout compte que vous ne reconnaissez pas doit être supprimé sans attendre.

Si le nettoyage manuel semble trop compliqué ou incertain, la restauration d’une sauvegarde antérieure à l’incident reste souvent la solution la plus fiable, à condition d’avoir des sauvegardes régulières.

Lire Aussi : WordPress : Les failles de sécurité les plus courantes (et comment les éviter)

5. Mettre en place une vraie routine de suivi

Une fois l’incident réglé, l’objectif est d’éviter que ça se reproduise. Quelques habitudes simples réduisent nettement le risque sur la durée :

  • Activer les mises à jour automatiques pour les plugins que vous jugez fiables
  • Se connecter régulièrement au back-office pour vérifier les mises à jour disponibles
  • Sauvegarder le site avant chaque mise à jour importante
  • Passer en revue la liste complète des plugins installés tous les trois à six mois
  • Désinstaller les plugins inutilisés, avec leurs données associées
  • Surveiller les alertes concernant les plugins abandonnés ou signalés
  • Installer une extension de sécurité dédiée et exploiter les outils proposés par l’hébergeur

S’abonner à une ou deux sources spécialisées comme Wordfence ou Sucuri permet aussi de rester informé des nouvelles failles au fur et à mesure qu’elles sont découvertes, plutôt que de les apprendre après coup.

Les plugins WordPress ne sont pas dangereux en soi, ils sont simplement le point d’entrée le plus exploité parce que le CMS lui-même est extrêmement répandu. Un site bien géré, avec des mises à jour suivies, un nombre limité de plugins actifs et une vraie routine de vérification, réduit très largement les risques.