Sécurité WooCommerce : 13 étapes pour protéger votre boutique 

WooCommerce est sécurisé par défaut, mais cela ne signifie pas que votre boutique l'est. Sans quelques étapes supplémentaires, vous pouvez toujours vous retrouver avec de fausses inscriptions, des bots harcelant votre page de connexion, ou vous-même bloqué hors de votre propre tableau de bord.

Lorsque cela a commencé à se produire sur une boutique que je gérais, je ne parvenais pas à comprendre ce que j'avais manqué, car tout semblait configuré correctement. C'est là le point délicat : une boutique peut sembler parfaitement normale en surface, tandis que son back-end reste grand ouvert.

La sécurité de WooCommerce n'est pas un réglage que l'on active. C'est une poignée de petites tâches, la plupart prenant environ cinq minutes chacune.

La question la plus difficile est de savoir lesquelles comptent réellement, car quelques-uns des conseils les plus répétés vous protègent bien moins qu'ils ne le laissent penser. J'ai été direct à ce sujet pour chaque étape ci-dessous, et il y a un tableau récapitulatif plus bas si vous voulez la version courte.

Table des matières

• 1. Utiliser un fournisseur d'hébergement solide
• 2. Toujours utiliser le SSL (HTTPS)
• 3. Garder WordPress, les plugins et les thèmes à jour
• 4. Utiliser des mots de passe forts + authentification à deux facteurs
• 5. Limiter les tentatives de connexion + ajouter un CAPTCHA
• 6. Installer un plugin de sécurité
• 7. Utiliser une URL de connexion WooCommerce personnalisée
• 8. Sécuriser votre paiement WooCommerce
• 9. Sauvegarder votre site régulièrement
• 10. Définir les bons rôles utilisateurs
• 11. Cacher wp-admin + désactiver XML-RPC
• 12. Surveiller votre site pour une activité suspecte
• 13. Comprendre la conformité PCI
• Ce contre quoi chaque étape vous protège réellement
• FAQ sur la sécurité de WooCommerce

Pourquoi sécuriser votre site WooCommerce ?

WooCommerce alimente plus de 4 millions de boutiques en ligne. Une telle popularité en fait une cible courante pour les pirates et les bots à la recherche de points faibles.

Si votre boutique n'est pas correctement sécurisée, vous risquez plus que de simples maux de tête techniques. Vous pourriez perdre la confiance de vos clients, manquer des ventes, voire voir votre site signalé comme dangereux par les moteurs de recherche et les navigateurs.

Les problèmes de sécurité peuvent entraîner de fausses commandes, des comptes bloqués et des temps d'arrêt, ce qui nuit à votre réputation et à vos bénéfices.

Vous n'avez pas besoin d'être un expert en sécurité pour protéger votre boutique. Quelques étapes simples comblent les failles les plus courantes, et aucune d'entre elles ne nécessite de code.

Étapes pour sécuriser votre site WooCommerce

Il n'y a pas de solution miracle en un clic, mais il y a un ordre logique. Suivez la liste, et si vous vous arrêtez à mi-chemin, vous aurez quand même fermé les failles qui sont réellement utilisées.

1. Utiliser un fournisseur d'hébergement solide

Un bon hébergement n'est pas seulement une question de vitesse ou de stockage. C'est votre première couche de sécurité.

Si votre hébergeur n'offre pas de protections de base, tout ce que vous mettez en place est menacé. J'ai vu des sites tomber à cause de logiciels malveillants qui auraient dû être bloqués au niveau du serveur, ou de sauvegardes qui n'étaient pas là quand on en avait le plus besoin.

Voici ce que je recherche toujours maintenant :

• SSL gratuit
• Sauvegardes externes quotidiennes
• Analyse des logiciels malveillants
• Pare-feux actifs

J'ai obtenu des résultats fiables avec SiteGround et Bluehost. Ils gèrent l'essentiel en coulisses pour que vous puissiez vous concentrer sur votre boutique.

J'examine les avantages et les inconvénients ici : comment choisir un hébergement WordPress

2. Toujours utiliser le SSL (HTTPS)

Le SSL protège les données que vos clients partagent avec votre site, telles que les mots de passe, les informations de paiement et les coordonnées. Il maintient tout chiffré afin que personne ne puisse l'intercepter.

La plupart des bons hébergeurs incluent le SSL gratuit via Let's Encrypt, mais parfois vous devez l'activer manuellement dans votre tableau de bord d'hébergement. Si cela ne fonctionne pas, le plugin gratuit Really Simple SSL peut s'en charger pour vous.

Si vous ne voyez pas d'icône de cadenas dans la barre d'adresse de votre navigateur, quelque chose n'est pas configuré correctement, et vos visiteurs le remarqueront.

Une chose à savoir : le SSL protège les données en transit, donc il ne fait rien pour ce qui est déjà sur votre serveur. C'est nécessaire, mais pas suffisant.

3. Garder WordPress, les plugins et les thèmes à jour

La plupart des piratages se produisent parce que quelque chose est obsolète. Il peut s'agir d'un plugin, de votre thème, ou même de WordPress lui-même.

Les mises à jour incluent souvent des correctifs de sécurité, donc les ignorer signifie laisser des problèmes connus ouverts aux attaquants.

Sur les boutiques que j'ai gérées, je garde les mises à jour automatiques activées pour WooCommerce, le thème, et les plugins WordPress dont le site dépend réellement. Une fois par semaine, je vérifie que rien n'a été manqué.

Si je n'utilise plus un plugin ou un thème, je le supprime complètement. Même ceux qui sont désactivés peuvent présenter un risque.

Cela ne prend que quelques minutes, mais cela fait une grande différence pour la sécurité de votre site.

4. Utiliser des mots de passe forts + authentification à deux facteurs

Les mots de passe faibles sont l'un des moyens les plus faciles pour les bots de s'introduire sur votre site. Si vous utilisez quelque chose de simple ou vous connectez toujours en tant qu'« admin », il est temps de changer.

L'authentification à deux facteurs, ou 2FA, ajoute une couche de sécurité supplémentaire à votre connexion. Après avoir entré votre mot de passe, vous devrez fournir un deuxième code, généralement envoyé sur votre téléphone ou par e-mail.

De cette façon, même si un pirate informatique vole votre mot de passe, il ne pourra pas accéder à votre site sans cette deuxième étape de vérification. C'est l'un des meilleurs moyens d'arrêter les accès non autorisés et les attaques par force brute.

Des plugins comme WP 2FA, Duo et Wordfence Login Security mettent tout cela en place en quelques minutes.

Si vous ne faites qu'une seule chose de toute cette liste, je ferais celle-ci. L'authentification à deux facteurs est la seule étape ici qui vous protège encore après que votre mot de passe a déjà fuité, et les mots de passe fuient par les brèches d'autres personnes, pas les vôtres.

5. Limiter les tentatives de connexion + ajouter un CAPTCHA

Les attaques par force brute se produisent lorsque des bots tentent de s'introduire sur votre site en devinant votre nom d'utilisateur et votre mot de passe des milliers de fois. Ces tentatives automatisées peuvent submerger votre page de connexion et réussir si vos mots de passe sont faibles.

Un limiteur de connexion est la solution, et c'est la chose la plus efficace de cette liste contre la devinette de mot de passe, car elle retire au pirate son seul véritable avantage : pouvoir réessayer. Limit Login Attempts Reloaded est celui que je vois le plus souvent recommandé, et il bloque une adresse après une poignée d'échecs.

J'ajoute également un CAPTCHA aux pages de connexion, aux formulaires de paiement et aux formulaires de contact pour empêcher les bots de créer de faux comptes ou de soumettre du spam.

Cloudflare Turnstile fonctionne bien car il s'exécute en arrière-plan et ne ralentit pas les vrais utilisateurs. WPForms propose également un CAPTCHA intégré si vous l'utilisez pour vos formulaires.

Vous ne le remarquerez pas beaucoup, mais il filtre discrètement le contenu indésirable avant qu'il ne vous atteigne.

6. Installer un plugin de sécurité

Un bon plugin de sécurité fonctionne en arrière-plan pour empêcher les menaces, même lorsque vous n'êtes pas connecté. Il peut bloquer le trafic suspect, analyser les logiciels malveillants et vous alerter si quelque chose semble suspect.

Wordfence, Sucuri et Kadence Security sont les trois avec lesquels j'ai passé le plus de temps. Tous ont des versions gratuites qui couvrent la numérisation et un pare-feu, et vous pouvez mettre à niveau plus tard si vous avez besoin de plus.

Kadence Security mérite une note si vous avez lu d'anciens guides, car vous le connaissez peut-être sous le nom d'iThemes Security. Il a été renommé Solid Security, puis déplacé à nouveau, donc le nom dans un tutoriel de 2023 n'est pas le nom dans le répertoire des plugins aujourd'hui.

Vous n'avez pas besoin de tous, choisissez-en un et mettez-le en marche. La plupart des plugins vous guident dans la configuration avec un assistant simple, et une fois qu'il est actif, vous commencerez à voir des rapports de connexion, des résultats d'analyse et d'autres mises à jour utiles.

Pour la liste de contrôle complète, consultez comment sécuriser un site WordPress contre les pirates.

7. Utiliser une URL de connexion WooCommerce personnalisée

La plupart des sites WordPress gardent leur connexion à /wp-login.php ou /wp-admin, et chaque bot sur Internet connaît ces deux adresses. Déplacer la vôtre quelque part de moins évident réduit une grande partie du trafic indésirable qui la frappe.

SeedProd est un constructeur de sites Web par glisser-déposer pour WordPress, et son mode Page de connexion vous permet de concevoir un écran de connexion à une adresse de votre choix sans toucher au code. Sur les boutiques que j'ai gérées, la vraie valeur résidait dans son apparence : les clients obtenaient une page correspondant à leur marque au lieu du gris par défaut de WordPress.

Déplacer votre page de connexion ne désactive pas l'ancienne, cependant, et cela a de l'importance.

Une page de connexion personnalisée vaut donc la peine d'être ajoutée. Elle n'est simplement pas ce qui empêche qui que ce soit d'entrer, et les deux étapes qui remplissent cette fonction sont le limiteur de connexion à l'étape 5 et l'authentification à deux facteurs à l'étape 4.

Si vous souhaitez que le formulaire de connexion disparaisse réellement de l'ancienne adresse, mon guide sur comment changer l'URL de connexion de votre administrateur WordPress couvre une méthode manuelle qui le fait, en plus de la méthode SeedProd.

Mettez votre nouveau lien de connexion en favori pour ne pas perdre l'accès.

8. Sécuriser votre paiement WooCommerce

La page de paiement est l'endroit où les clients partagent leurs informations les plus sensibles. Si elle semble suspecte ou ne semble pas sécurisée, les gens partiront avant de finaliser leur achat.

Restez avec un fournisseur de paiement établi comme Stripe ou PayPal. Ils gèrent le cryptage et les vérifications de fraude sur leurs propres systèmes, ce qui signifie que les numéros de carte ne touchent jamais votre serveur et que vous n'avez jamais à les sécuriser.

Vous pouvez même créer une page de paiement personnalisée avec des fonctionnalités supplémentaires.

Mais, assurez-vous que votre page de paiement :

• Utilise HTTPS
• Comprend des badges de confiance de votre fournisseur de paiement
• Correspond au reste du design de votre site

Évitez tout renvoi ou modification de mise en page qui pourrait amener les visiteurs à douter de la page.

Si vous mettez en place les paiements à partir de zéro, ceci explique comment connecter une passerelle de paiement à une page WordPress.

9. Sauvegarder votre site régulièrement

Même avec une sécurité renforcée, des problèmes peuvent survenir. Une mauvaise mise à jour de plugin, une simple erreur ou une attaque de logiciels malveillants peut mettre votre boutique hors ligne sans avertissement.

C'est pourquoi les sauvegardes font partie de ma configuration de sécurité de base. Je n'attends pas que quelque chose casse pour commencer à sauvegarder.

J'utilise Duplicator pour cela, sur un calendrier pour ne jamais avoir à m'en souvenir. Il regroupe les fichiers, la base de données et les paramètres en un seul fichier téléchargeable.

Je stocke toujours les sauvegardes hors site, comme sur Google Drive ou Dropbox, afin qu'elles soient en sécurité même si mon serveur d'hébergement rencontre des problèmes.

Pour les boutiques très fréquentées, les sauvegardes quotidiennes sont idéales. Les sites plus petits ou plus récents peuvent généralement s'en sortir avec des sauvegardes hebdomadaires, tant qu'elles sont effectuées régulièrement.

Avoir une bonne sauvegarde signifie que vous pouvez récupérer rapidement sans recommencer.

Pour les étapes complètes, consultez mon guide sur comment sauvegarder votre site WordPress.

10. Définir les bons rôles utilisateurs

Tout le monde n'a pas besoin d'un accès complet à votre tableau de bord WordPress. Accorder des droits d'administrateur à la mauvaise personne, même par accident, peut entraîner de graves problèmes tels que la suppression de contenu ou des problèmes de sécurité.

Sur les boutiques que j'ai gérées, Administrateur était réservé aux personnes ayant la confiance pour gérer tout le site, et tous ceux qui traitaient les commandes recevaient Gérant de boutique à la place.

Cela leur donne le contrôle des commandes et des produits sans leur permettre de modifier les plugins ou les paramètres du site. Si quelqu'un aide uniquement à la création de contenu, le rôle d'Éditeur est plus approprié.

WordPress inclut plusieurs rôles d'utilisateur par défaut, chacun avec son propre ensemble de permissions. Choisir le bon dès le départ permet de garder votre site plus sûr et plus facile à gérer.

Examinez la liste des utilisateurs tous les quelques mois et supprimez les comptes auxquels personne ne s'est connecté. Un compte administrateur dormant appartenant à un développeur qui a terminé le travail il y a deux ans est l'une des voies d'accès les plus faciles à une boutique, et personne ne le remarque car rien ne fonctionne mal.

Si vous souhaitez aller plus loin, vous pouvez protéger par mot de passe certaines parties de votre site WordPress pour limiter encore plus l'accès.

11. Cacher wp-admin + désactiver XML-RPC

Deux des cibles les plus courantes des attaques automatisées sont la page de connexion et une fonctionnalité WordPress appelée XML-RPC.

XML-RPC est un système que WordPress utilise pour permettre aux applications et aux services de communiquer à distance avec votre site, comme l'application mobile WordPress ou le plugin Jetpack. Malheureusement, les pirates l'exploitent souvent pour surcharger votre site de requêtes malveillantes ou tenter de s'y introduire.

Ces deux-là valent la peine d'être séparés, car ils ne représentent pas la même ampleur de gain. Désactiver XML-RPC ferme une véritable voie d'attaque, car cela permet à un attaquant d'essayer de nombreux mots de passe en une seule requête et peut être utilisé pour inonder votre site.

Cacher la zone de connexion est le moindre des deux. Cela calme le trafic automatisé, mais comme à l'étape 7, un bot essayant toujours des mots de passe à votre ancienne adresse de connexion continue sans être affecté.

Si vous utilisez l'application mobile WordPress ou Jetpack, vérifiez avant de désactiver XML-RPC, car les deux en dépendent. N'importe lequel des plugins de sécurité à l'étape 6 gérera les deux paramètres avec un interrupteur, vous n'avez donc pas besoin de modifier les fichiers.

12. Surveiller votre site pour une activité suspecte

La sécurité ne consiste pas seulement à configurer les choses une fois. Vous devez surveiller ce qui se passe en coulisses.

Je reçois des alertes par e-mail pour les événements importants tels que les tentatives de connexion échouées ou les modifications de fichiers. Wordfence et Sucuri proposent tous deux cela et vous avertissent immédiatement si quelque chose d'inhabituel se produit.

Il est également utile de surveiller votre trafic. MonsterInsights est un populaire plugin Google Analytics pour WordPress qui facilite le suivi des visiteurs. Il aide à repérer les pics soudains ou les sources de référence étranges qui pourraient signaler des attaques de bots ou du spam.

En guise de sauvegarde, j'analyse mon site avec Google Safe Browsing et VirusTotal environ une fois par mois. Ces outils recherchent les logiciels malveillants ou les mises sur liste noire afin que vous puissiez agir rapidement si nécessaire.

13. Comprendre la conformité PCI

Si vous acceptez les paiements par carte de crédit, votre boutique doit respecter les règles de conformité PCI. Ces normes protègent les données de paiement et assurent la sécurité des clients.

Les fournisseurs de paiement comme Stripe et PayPal sont conformes à la norme PCI Niveau 1, ce qui signifie qu'ils assument la plupart des exigences à votre place.

Cela signifie que vous n'avez pas à stocker d'informations de paiement sensibles sur votre site, ce qui réduit votre risque.

Je ne me ferais pas trop de souci pour le PCI en tant que petite boutique, tant que vous ne manipulez jamais vous-même les numéros de carte. C'est au moment où vous installez quelque chose qui capture les détails de la carte sur votre propre site que cela devient un vrai casse-tête, et c'est la ligne que j'éviterais de franchir.

Bonus : Ajoutez une page de politique de confidentialité + conditions d'utilisation

Avoir une politique de confidentialité et une page de conditions d'utilisation sur votre boutique renforce la confiance avec vos clients. Cela montre que vous prenez leurs données au sérieux et que vous respectez les règles.

La plupart des pays exigent ces pages par la loi si vous collectez des informations personnelles ou traitez des paiements. Même si vous débutez, leur ajout vous protège, vous et votre entreprise.

Vous pouvez créer ces pages facilement à l'aide de modèles ou de plugins WordPress, ou les générer avec des outils en ligne.

Pour un guide adapté aux débutants, consultez mon article sur comment créer une politique de confidentialité WordPress.

Ce contre quoi chaque étape vous protège réellement

Les listes de sécurité ont tendance à présenter chaque élément comme étant également urgent, ce qui explique pourquoi les gens finissent par faire les corrections cosmétiques faciles et sautent les deux qui comptent. Voici la version honnête, y compris les étapes qui ne vous protègent de rien du tout.

Étape	Ce qu'il arrête	Ce qu'il ne fait pas
1. Hébergement solide	Malware au niveau du serveur, et beaucoup de mauvais trafic avant qu'il n'atteigne WordPress	Tout ce qui arrive via une connexion valide
2. SSL (HTTPS)	Quiconque lit les données client pendant leur transit	Tout ce qui se trouve déjà sur votre serveur
3. Mises à jour	Attaques sur des failles connues du public et déjà corrigées	Mots de passe faibles, et tout ce qui n'est pas encore corrigé
4. Mots de passe + 2FA	Connexions utilisant un mot de passe deviné ou volé	Code de plugin vulnérable
5. Limiteur de connexion + CAPTCHA	Devinettes de mots de passe en masse, fausses inscriptions, spam de formulaires	Quelqu'un qui a déjà le bon mot de passe
6. Plugin de sécurité	Trafic connu comme malveillant, et il vous indique quand les fichiers changent	Ce n'est pas une sauvegarde
7. Page de connexion personnalisée	Beaucoup de trafic de bots, et cela ressemble à votre marque	Devinettes de mots de passe à votre ancienne adresse de connexion
8. Stripe ou PayPal à la caisse	Vous détenant des numéros de carte	Quelqu'un prenant le contrôle du compte d'un client
9. Sauvegardes	Rien. C'est ainsi que vous récupérez après coup	Toute attaque, jamais
10. Rôles utilisateur	Dommages accidentels et accès plus large que nécessaire pour le poste	Attaques externes
11. Désactiver XML-RPC	Tentatives de mots de passe multiples par requête et une route de déversement	Devinettes de mot de passe ordinaires sur le formulaire de connexion
12. Surveillance	Aucun. Cela réduit le temps pendant lequel un problème passe inaperçu	Toute attaque
13. Conformité PCI	Responsabilité de détenir vous-même les données de carte	C'est un ensemble de règles, pas un contrôle technique

Lisez la troisième colonne et l'ordre de priorité se règle de lui-même. Les étapes 3, 4 et 5 sont celles qui font le gros du travail, et si vous n'avez que vingt minutes cette semaine, consacrez-les-y.

FAQ sur la sécurité de WooCommerce

WooCommerce est-il sûr à utiliser ?

Oui. WooCommerce est maintenu par Automattic, les correctifs de sécurité sont déployés rapidement, et le plugin principal est rarement la cause d'une compromission de boutique. Les points faibles se situent presque toujours autour : une extension obsolète, un mot de passe administrateur réutilisé, ou un hébergeur sans pare-feu.

Quel est le meilleur plugin de sécurité pour WooCommerce ?

Il n'y a pas une seule réponse, et Wordfence, Sucuri ou Kadence Security couvriront chacun les bases d'une petite boutique. Choisissez en fonction de la quantité de réflexion que vous souhaitez y consacrer, car Wordfence vous donne le plus de détails à lire tandis que Sucuri filtre d'abord le trafic sur son propre réseau. En exécuter deux à la fois cause plus de problèmes qu'il n'en résout.

WooCommerce chiffre-t-il les données des clients ?

Pas par lui-même. WooCommerce stocke les noms, adresses et l'historique des commandes dans votre base de données sous forme de texte ordinaire, donc le SSL protège ces données pendant leur transit et votre hébergement et vos identifiants les protègent au repos. Les numéros de carte sont l'exception, car Stripe et PayPal les détiennent et votre boutique ne les reçoit jamais.

Comment savoir si mon site WooCommerce a été piraté ?

Surveillez les modifications de contenu inopinées, une baisse soudaine du trafic de recherche, des comptes d'utilisateurs que vous n'avez pas créés ou des clients signalant des avertissements du navigateur. Les alertes de modification de fichiers de votre plugin de sécurité les remarquent généralement avant vous, ce qui est la principale raison de les activer.

Puis-je sécuriser ma boutique WooCommerce sans plugins ?

En partie. Des mots de passe forts, des rôles utilisateurs corrects, un hébergement décent et un certificat SSL n'ont pas besoin de plugins et ferment la plupart des failles courantes. La numérisation des malwares, les règles de pare-feu et la limitation des connexions sont les parties qui sont vraiment difficiles à faire manuellement, donc la plupart des boutiques finissent par avoir un plugin couvrant ces trois tâches.

Conseils finaux pour garder votre boutique en sécurité

Rien de tout cela ne nécessite un spécialiste, et vous n'avez pas à faire les treize cet après-midi. Si je devais en choisir trois, ce seraient les mises à jour, un limiteur de connexion et l'authentification à deux facteurs, car entre eux, ils couvrent la plupart des risques qui se matérialisent réellement.

Si vous souhaitez que les pages de connexion et de paiement correspondent au reste de votre boutique, vous pouvez créer les deux dans SeedProd dès aujourd'hui sans modifier un seul fichier.

Pendant que vous êtes ici, vous trouverez peut-être également utiles les guides WooCommerce suivants :

• Erreurs courantes des débutants lors de la création de sites WordPress
• 10 meilleurs outils de référencement sur page pour WordPress
• Comment personnaliser votre page de boutique WooCommerce (sans code)

Merci de votre lecture ! Nous serions ravis d'entendre vos réflexions, alors n'hésitez pas à rejoindre la conversation sur YouTube, X et Facebook pour plus de conseils et de contenu utiles pour développer votre entreprise.