Votre WordPress est sondé par des robots chaque nuit. Pas parce qu'on vous en veut : parce que WordPress propulse plus de 40 % du web, et qu'un même exploit automatisé fonctionne sur des millions de sites. La bonne question n'est pas « qui voudrait m'attaquer » mais « que voit-on de mon site quand on regarde ».
Voici trois vérifications que ces robots font sur votre site en ce moment, et que vous pouvez rejouer vous-même.
1. Les en-têtes HTTP en disent long
curl -sI https://votre-site.fr
Une ligne X-Powered-By: PHP/8.1.12 donne gratuitement la version exacte de votre interpréteur. L'absence de X-Frame-Options ou de Content-Security-Policy facilite le clickjacking et l'injection de script.
2. L'énumération des utilisateurs via l'API REST
curl -s "https://votre-site.fr/wp-json/wp/v2/users"
Si cette requête renvoie les noms publics de vos comptes, un attaquant possède déjà la moitié du couple identifiant + mot de passe. Il ne reste que le mot de passe à tester. La fermeture propre de cette porte est détaillée dans notre guide pour sécuriser l'API REST WordPress.
3. La redirection d'auteur
curl -s "https://votre-site.fr/?author=1" -o /dev/null -w "%{redirect_url}"
Si l'URL redirige vers /author/votre-identifiant, elle confirme un identifiant de connexion valide.
Le point complet en 15 secondes
Ces trois tests ne couvrent que le début de la surface exposée. Nous avons construit un scanner WordPress gratuit qui contrôle 38 points en une quinzaine de secondes : SSL et TLS, en-têtes, fichiers sensibles, API REST, xmlrpc, puis la performance, le SEO technique et même les enregistrements SPF/DMARC de votre domaine. Pas de compte, pas d'installation, et chaque point échoué renvoie vers le guide de correction.
La méthode de lecture du score, les cinq problèmes les plus fréquents et leurs remèdes sont dans l'article complet : Scanner WordPress : testez la sécurité de votre site en 15 secondes.
Publié par WP Admin Lab, média technique WordPress francophone : tutoriels de dépannage testés et reproductibles.
Top comments (0)