La sécurité des extensions WordPress ne se limite pas à vérifier que le panneau affiche « à jour ». L’affaire Rank Math PRO en est un exemple récent. Selon le communiqué officiel du fabricant, des paquets PRO 3.0.123 téléchargés entre le 15 octobre 2026 à 20 h 02 UTC et le 16 octobre à 07 h 12 UTC contenaient des logiciels malveillants. En heure locale turque, cet intervalle correspondait au 15 octobre à 23 h 02 et au 16 octobre à 10 h 12. Le fabricant indique avoir retiré les fichiers affectés et publié une version propre, le 3.0.124. Le plugin gratuit Rank Math SEO proposé sur WordPress.org n’a pas été touché par cet incident.
Il y a cependant une distinction importante: sur un site où le paquet malveillant a été activé, se contenter de mettre à jour ne suffit pas. Rank Math considère ces sites comme compromis et recommande de suivre des étapes de récupération spécifiques. Les contrôles ci‑dessous offrent un point de départ pour l’entretien courant; ils ne remplacent pas le nettoyage des sites touchés.
D’abord, enregistrez la version et l’historique des mises à jour
Dans le panneau d’administration WordPress, ouvrez la rubrique Extensions. Notez dans une liste le nom de chaque extension, son développeur, la version installée et son état (activée ou non). Ensuite, lisez les notes de version officielles du développeur. Vérifiez dans quelle version la correction de sécurité est arrivée, quelles anciennes versions elle couvre et s’il est nécessaire d’effectuer des étapes supplémentaires. Évaluez également les extensions qui n’ont pas été mises à jour depuis longtemps; la date de mise à jour seule ne suffit pas à constituer une certification de sécurité.
Le numéro de version affiché dans le panneau ne précise pas nécessairement quand vous avez installé le paquet. Vérifiez les journaux d’activités auprès du fournisseur d’hébergement, ainsi que les journaux d’événements préservés et les dates de sauvegarde s’ils existent. Pour les incidents couvrant une plage précise de déploiement, examinez l’historique avant d’affirmer que vous ne disposez pas de cette version. Si vous ne trouvez aucun enregistrement, ne concluez pas « non affecté » sans informer le support du fabricant de l’incertitude.
Vérifiez la source du téléchargement et le développeur
Téléchargez l’extension gratuite depuis sa page officielle du répertoire WordPress.org et, pour l’extension payante, depuis le compte officiel du fabricant. Évitez les installations issues d’annonces dans les résultats de recherche, de ZIP sur des forums ou de paquets dont la licence a été retirée. Comparez le nom de domaine et le nom du développeur. Ne cliquez pas sur un lien « mise à jour de sécurité urgente » dans un e‑mail; ouvrez vous-même l’adresse du fabricant. Le guide de sécurité WordPress privilégie des sources fiables pour les extensions et les thèmes.
Vérifiez à qui appartiennent réellement les comptes administrateurs
Passez en revue les comptes ayant le rôle administrateur dans la section Utilisateurs. Pour chaque compte, vérifiez la personne responsable, l’adresse e-mail et si ce droit est encore nécessaire. N’acceptez pas comme normal un ancien compte d’agence ou un utilisateur que vous ne connaissez pas sans clarifications. Mais ne supprimez pas un compte simplement parce que son nom paraît étrange; confirmez d’abord l’appartenance avec l’équipe qui gère le site.
Utilisez le rôle nécessaire pour les tâches quotidiennes et limitez les privilèges d’administration à ceux qui effectuent la maintenance. Donnez un compte distinct à chaque personne; employez des mots de passe forts et uniques et activez l’authentification à deux facteurs. Si vous observez un compte administrateur inattendu ou des modifications non autorisées, interrompez le flux de maintenance. Enregistrez les heures et les constatations et ouvrez une enquête avec le fournisseur d’hébergement. Supprimer un compte n’explique pas comment l’accès a été obtenu.
Vérifiez non pas l’existence de la sauvegarde mais sa restaurabilité
Le verdissement du bouton vert sur l’écran de sauvegarde ne suffit pas. Choisissez un ensemble de sauvegarde qui comprend à la fois les fichiers et la base de données; vérifiez la date, la taille, l’emplacement de stockage et les informations d’accès. Le guide de sauvegarde WordPress précise que les deux éléments sont nécessaires pour une restauration complète. Ne vous limitez pas à des copies sur le même serveur.
Ne restaurez pas la sauvegarde sur le site live; restaurez-la dans un environnement de test isolé. Vérifiez la page d’accueil, l’accès à l’administration, les images et les formulaires critiques. Pour les sites avec une zone de paiement, testez les transactions en mode test et empêchez qu’une copie de démonstration n’envoie des e-mails à de vrais clients. Notez quelle sauvegarde vous avez restaurée et à quel moment. Ne considérez pas qu’une copie est propre simplement parce qu’elle est plus récente et date d’avant une période suspecte.
Préparez staging et un plan de retour avant la mise à jour
Le staging est la copie du site en production sur laquelle vous testez les changements. Appliquez la mise à jour de l’extension d’abord ici; contrôlez les flux importants tels que la recherche, l’inscription, le panier et les formulaires de contact. Notez les versions avant et après la mise à jour, le jeu de sauvegarde et qui effectuera le retour. Si un problème survient, revenir seulement à l’ancien fichier ZIP peut ne pas suffire : la mise à jour peut aussi modifier la base de données. Préparez le plan de retour en conséquence.
Dans le cadre de l’incident Rank Math, si vous avez activé le paquet affecté, suivez les étapes de récupération spécifiques du fabricant dans l’ordre. Le retour à partir d’une sauvegarde propre ou un nettoyage assisté par un expert, le renouvellement des informations d’accès et le contrôle de la sécurité font partie intégrante de ce processus. Désactiver simplement l’extension ne suffit pas. Pour ceux qui ne l’avaient pas activée, le fabricant recommande de supprimer les fichiers affectés, d’installer la version propre et d’exécuter un balayage. Si votre situation demeure incertaine, sollicitez un soutien.
Tenir un journal de maintenance facilite les contrôles ultérieurs. Pour chaque opération, notez la date, la version précédente et suivante, la personne ayant effectué le changement et les pages contrôlées. Si plusieurs personnes gèrent le site, conservez cet enregistrement dans un espace partagé. Ainsi, en cas de modification inattendue, vous verrez plus clairement quelles étapes mener pour revenir à l’état antérieur et sain.
Au terme de ces contrôles, vous devez disposer d’une liste à jour des extensions, des comptes d’administrateurs clairement identifiés, d’une ou plusieurs sauvegardes restaurables et d’un plan de retour opérationnel. Si l’un des contrôles manque, ne considérez pas l’entretien comme terminé; identifiez l’étape manquante et la personne responsable.
