WooCommerce est sécurisé par défaut, mais cela ne signifie pas que votre boutique est entièrement protégée. Sans quelques mesures supplémentaires, votre site peut encore être vulnérable à des choses comme de faux enregistrements, des bots indésirables, ou même des verrouillages.
Lorsque j'ai remarqué ces problèmes pour la première fois, je n'étais pas sûr de ce que j'avais manqué. Je pensais que tout était correctement configuré. Mais il ne suffit pas d'avoir l'air bien en surface si le backend de votre site n'est pas protégé.
La plupart des débutants ne réalisent pas à quel point les attaques automatisées peuvent facilement détecter les points faibles. Des plugins obsolètes, des formulaires de connexion déficients ou des certificats SSL manquants sont autant d'indices de problèmes.
Dans ce guide, je vous expliquerai comment protéger votre boutique WooCommerce à l'aide d'étapes pratiques et conviviales pour les débutants, qui fonctionnent réellement.
Table des matières
- 1. Utiliser un fournisseur d'hébergement solide
- 2. Toujours utiliser SSL (HTTPS)
- 3. Maintenir WordPress, les plugins et les thèmes à jour
- 4. Utiliser des mots de passe forts et une authentification à deux facteurs
- 5. Limiter les tentatives de connexion + Ajouter un CAPTCHA
- 6. Installer un plugin de sécurité
- 7. Utiliser une URL de connexion WooCommerce personnalisée
- 8. Sécuriser votre caisse WooCommerce
- 9. Sauvegardez régulièrement votre site
- 10. Définir les bons rôles d'utilisateur
- 11. Cacher wp-admin + Désactiver XML-RPC
- 12. Surveiller l'activité suspecte de votre site
- 13. Comprendre la conformité PCI
Pourquoi sécuriser votre site WooCommerce ?
WooCommerce alimente plus de 4,6 millions de boutiques en ligne. Cette popularité en fait une cible fréquente pour les pirates et les robots à la recherche de points faibles.
Si votre boutique n'est pas correctement sécurisée, vous risquez bien plus que des maux de tête techniques. Vous risquez de perdre la confiance de vos clients, de rater des ventes, voire de voir votre site signalé comme dangereux par les moteurs de recherche et les navigateurs.
Les problèmes de sécurité peuvent entraîner de fausses commandes, des comptes bloqués et des temps d'arrêt, autant d'éléments qui nuisent à votre réputation et à vos résultats.
La bonne nouvelle, c'est que vous n'avez pas besoin d'être un expert en sécurité pour protéger votre magasin. Quelques mesures simples vous permettront de combler les failles les plus courantes et d'assurer le bon fonctionnement de votre entreprise.
Etapes pour sécuriser votre site WooCommerce
Il n'existe pas de solution miracle pour assurer la sécurité des magasins, mais quelques mesures simples peuvent s'avérer très utiles. Commencez par le haut et descendez progressivement. Chacune d'entre elles ajoute une couche de protection qui contribue à la sécurité et à la fiabilité de votre magasin.
1. Utiliser un fournisseur d'hébergement solide
Un bon hébergement n'est pas seulement une question de vitesse ou de stockage. C'est votre première couche de sécurité.
Si votre hébergeur n'offre pas de protections de base, tout ce que vous mettez en place est menacé. J'ai vu des sites s'effondrer à cause de logiciels malveillants qui auraient dû être bloqués au niveau du serveur, ou de sauvegardes qui n'étaient pas disponibles au moment où elles étaient le plus nécessaires.
Voici ce que je recherche toujours maintenant :
- SSL gratuit
- Sauvegardes quotidiennes hors site
- Analyse des logiciels malveillants
- Pare-feu actifs
J'ai obtenu des résultats fiables avec SiteGround et Bluehost. Ils s'occupent de l'essentiel en coulisses pour que vous puissiez vous concentrer sur votre boutique.
Je passe en revue les avantages et les inconvénients ici : comment choisir un hébergement WordPress
2. Toujours utiliser SSL (HTTPS)
Le protocole SSL protège les données que vos clients partagent avec votre site, comme les mots de passe, les informations de paiement et les coordonnées. Il crypte toutes les données afin que personne ne puisse les intercepter.
La plupart des bons hébergeurs incluent le SSL gratuit via Let's Encrypt, mais il faut parfois l'activer manuellement dans le tableau de bord de l'hébergeur. Si cela ne fonctionne pas, le plugin gratuit Really Simple SSL peut s'en charger pour vous.
Si vous ne voyez pas d'icône de cadenas dans la barre d'adresse de votre navigateur, c'est que quelque chose n'est pas réglé correctement, et vos visiteurs le remarqueront.
Pour une démonstration complète, consultez mon guide sur l'ajout du SSL à votre site WordPress.
3. Maintenir WordPress, les plugins et les thèmes à jour
La plupart des piratages se produisent parce que quelque chose n'est plus à jour. Il peut s'agir d'un plugin, de votre thème ou même de WordPress lui-même.
Les mises à jour comprennent souvent des correctifs de sécurité ; les ignorer revient donc à laisser des problèmes connus à la disposition des attaquants.
Je garde les mises à jour automatiques activées pour WooCommerce, mon thème et les plugins WordPress dont je me sers le plus. Une fois par semaine, je fais une vérification rapide pour m'assurer que rien n'a été oublié.
Si je n'utilise plus un plugin ou un thème, je le supprime complètement. Même les plugins désactivés peuvent présenter un risque.
Cela ne prend que quelques minutes, mais cela fait une grande différence dans la sécurité de votre site.
4. Utiliser des mots de passe forts et une authentification à deux facteurs
Les mots de passe faibles sont l'un des moyens les plus faciles pour les robots de s'introduire sur votre site. Si vous utilisez un mot de passe simple ou si vous vous connectez toujours en tant qu'"administrateur", il est temps de changer.
L'authentification à deux facteurs, ou 2FA, ajoute un niveau de sécurité supplémentaire à votre connexion. Après avoir saisi votre mot de passe, vous devrez fournir un second code, généralement envoyé sur votre téléphone ou par courrier électronique.
Ainsi, même si un pirate informatique vole votre mot de passe, il ne pourra pas accéder à votre site sans cette deuxième étape de vérification. C'est l'un des meilleurs moyens d'empêcher les accès non autorisés et les attaques par force brute.
Des plugins tels que WP 2FA, Duo et Wordfence Login Security facilitent la mise en place du 2FA, même si vous n'êtes pas un expert en technologie.
5. Limiter les tentatives de connexion + Ajouter un CAPTCHA
Les attaques par force brute se produisent lorsque des robots tentent de pénétrer sur votre site en devinant votre nom d'utilisateur et votre mot de passe des milliers de fois. Ces tentatives automatisées peuvent submerger votre page de connexion et réussir si vos mots de passe sont faibles.
J'utilise le plugin Limit Login Attempts Reloaded pour bloquer les tentatives de connexion répétées après quelques échecs. C'est rapide à mettre en place et cela fait une grande différence.
J'ajoute également des CAPTCHA aux pages de connexion, aux formulaires de paiement et aux formulaires de contact pour empêcher les robots de créer de faux comptes ou d'envoyer des spams.
Cloudflare Turnstile fonctionne bien car il tourne en arrière-plan et ne ralentit pas les utilisateurs réels. WPForms offre également un CAPTCHA intégré si vous l'utilisez pour vos formulaires.
Vous ne le remarquerez pas beaucoup, mais il filtre discrètement les déchets avant qu'ils ne vous parviennent.
6. Installer un plugin de sécurité
Un bon plugin de sécurité fonctionne en arrière-plan pour empêcher les menaces, même lorsque vous n'êtes pas connecté. Il peut bloquer le trafic suspect, rechercher les logiciels malveillants et vous alerter si quelque chose semble anormal.
J'ai utilisé Wordfence, Sucuri et iThemes Security sur différents sites. Ils proposent tous des versions gratuites qui offrent une protection solide, et vous pouvez toujours effectuer une mise à niveau ultérieurement si vous avez besoin de plus de fonctionnalités.
Vous n'avez pas besoin de tous les plugins, choisissez-en un et lancez-le. La plupart des plugins vous guident tout au long de la configuration à l'aide d'un assistant simple. Une fois qu'ils sont actifs, vous commencez à voir des rapports de connexion, des résultats d'analyse et d'autres mises à jour utiles.
Pour une comparaison côte à côte, consultez ma liste des meilleurs plugins de sécurité WordPress.
7. Utiliser une URL de connexion WooCommerce personnalisée
La plupart des sites WordPress utilisent la page de connexion par défaut /wp-login.php ou /wp-admin, et les robots savent exactement où la trouver. La création d'une page de connexion personnalisée permet de bloquer les attaques automatisées et donne à votre boutique un aspect plus professionnel.
J'utilise SeedProd pour créer une page de connexion personnalisée qui s'harmonise avec le reste de mon site. Elle est facile à concevoir et fonctionne comme l'écran de connexion habituel, sans être placée à un endroit aussi évident.
Si vous souhaitez en mettre un en place, ce guide explique comment modifier l'URL de connexion à l'administration de WordPress.
Veillez à marquer votre nouveau lien de connexion d'un signet afin de ne pas en perdre l'accès.
8. Sécuriser votre caisse WooCommerce
C'est sur la page de paiement que les clients communiquent leurs informations les plus sensibles. Si elle n'a pas l'air en ordre ou si elle n'est pas sécurisée, les clients la quitteront avant d'avoir terminé leur achat.
Je m'en tiens toujours à des fournisseurs de paiement de confiance comme Stripe ou PayPal. Ils s'occupent de la conformité, y compris du cryptage et de la prévention des fraudes, et je n'ai donc pas à me soucier de stocker des données de paiement sur mon site.
Vous pouvez même créer une page de paiement personnalisée avec des fonctionnalités supplémentaires.
Mais veillez à ce que votre page de paiement soit correcte :
- Utilise HTTPS
- Inclut les badges de confiance de votre fournisseur de paiement
- S'harmonise avec le reste de la conception de votre site
Évitez les redirections ou les changements de présentation qui pourraient faire douter les visiteurs de la page.
Vous pouvez trouver des conseils d'installation ici : comment accepter les paiements Stripe dans WordPress
9. Sauvegardez régulièrement votre site
Même avec une sécurité renforcée, les choses peuvent toujours mal tourner. Une mauvaise mise à jour d'un plugin, une simple erreur ou une attaque de logiciels malveillants peuvent mettre votre boutique hors ligne sans avertissement.
C'est pourquoi les sauvegardes font partie de mon dispositif de sécurité de base. Je n'attends pas que quelque chose se casse pour commencer à sauvegarder.
J'utilise Duplicator, un plugin de sauvegarde WordPress populaire, pour créer des sauvegardes complètes. Il regroupe tout, les fichiers, la base de données et les paramètres, dans un fichier téléchargeable.
Je stocke toujours les sauvegardes hors site, par exemple dans Google Drive ou Dropbox, afin qu'elles soient en sécurité même si mon serveur d'hébergement a des problèmes.
Pour les magasins très fréquentés, il est préférable d'effectuer des sauvegardes quotidiennes. Les sites plus petits ou plus récents peuvent généralement se contenter de sauvegardes hebdomadaires, à condition qu'elles soient effectuées régulièrement.
Le fait de disposer d'une bonne sauvegarde vous permet de récupérer rapidement sans avoir à recommencer.
Pour connaître toutes les étapes, consultez mon guide sur la sauvegarde de votre site WordPress.
10. Définir les bons rôles d'utilisateur
Tout le monde n'a pas besoin d'un accès complet à votre tableau de bord WordPress. Donner des droits d'administrateur à la mauvaise personne, même par accident, peut entraîner de graves problèmes tels que des contenus supprimés ou des problèmes de sécurité.
Je n'attribue le rôle d'administrateur qu'aux personnes en qui j'ai pleinement confiance pour tout gérer. Pour le personnel du magasin, j'utilise le rôle de responsable de magasin.
Il leur permet de contrôler les commandes et les produits sans les laisser modifier les plugins ou les paramètres du site. Si une personne ne fait qu'aider au contenu, le rôle d'éditeur lui convient mieux.
WordPress inclut par défaut plusieurs rôles d'utilisateur, chacun avec son propre ensemble d'autorisations. Choisir le bon rôle dès le départ permet de rendre votre site plus sûr et plus facile à gérer.
Je passe aussi régulièrement en revue ma liste d'utilisateurs. Si je vois des comptes qui n'ont pas été utilisés depuis un certain temps, je les supprime. C'est l'un des moyens les plus simples de restreindre l'accès.
Si vous souhaitez aller plus loin, vous pouvez protéger certaines parties de votre site WordPress par un mot de passe afin d'en limiter encore davantage l'accès.
11. Cacher wp-admin + Désactiver XML-RPC
Deux des cibles les plus courantes des attaques automatisées sont la page de connexion et une fonctionnalité de WordPress appelée XML-RPC.
XML-RPC est un système utilisé par WordPress pour permettre aux applications et aux services de communiquer avec votre site à distance, comme l'application mobile WordPress ou le plugin Jetpack. Malheureusement, les pirates l'exploitent souvent pour surcharger votre site de requêtes malveillantes ou pour tenter de s'y introduire.
En masquant votre page de connexion et en désactivant XML-RPC si vous ne l'utilisez pas, vous rendez votre site beaucoup plus difficile à attaquer.
J'utilise iThemes Security pour cacher la zone de connexion et désactiver XML-RPC sans toucher au code.
12. Surveiller l'activité suspecte de votre site
La sécurité ne se résume pas à une simple mise en place. Vous devez garder un œil sur ce qui se passe en coulisses.
Je reçois des alertes par courriel pour des événements importants tels que des tentatives de connexion échouées ou des modifications de fichiers. Wordfence et Sucuri offrent tous deux cette possibilité et vous avertissent immédiatement si quelque chose d'inhabituel se produit.
Il est également utile de surveiller votre trafic. MonsterInsights est un plugin Google Analytics populaire pour WordPress qui facilite le suivi des visiteurs. Il permet de repérer les pics soudains ou les sources de référence étranges qui pourraient signaler des attaques de robots ou du spam.
En guise de sauvegarde, je soumets mon site à Google Safe Browsing et à VirusTotal environ une fois par mois. Ces outils recherchent les logiciels malveillants et les listes noires, ce qui vous permet d'agir rapidement en cas de besoin.
13. Comprendre la conformité PCI
Si vous acceptez les paiements par carte de crédit, votre magasin doit respecter les règles de conformité PCI. Ces normes protègent les données de paiement et assurent la sécurité des clients.
La bonne nouvelle, c'est que les fournisseurs de services de paiement tels que Stripe et PayPal sont conformes au niveau 1 de la norme PCI. Ils gèrent la plupart des exigences de sécurité pour vous.
Cela signifie que vous n'avez pas à stocker d'informations de paiement sensibles sur votre site, ce qui réduit les risques.
Néanmoins, il est important de maintenir votre WooCommerce, vos plugins et votre site à jour et sécurisés pour rester en conformité.
Bonus : Ajouter une page sur la politique de confidentialité et les conditions d'utilisation
La présence d'une politique de confidentialité et d'une page de conditions générales dans votre boutique permet d'instaurer un climat de confiance avec vos clients. Cela montre que vous prenez leurs données au sérieux et que vous respectez les règles.
La plupart des pays exigent légalement ces pages si vous recueillez des informations personnelles ou si vous traitez des paiements. Même si vous débutez, l'ajout de ces pages vous protège, vous et votre entreprise.
Vous pouvez créer ces pages facilement à l'aide de modèles ou de plugins WordPress, ou les générer à l'aide d'outils en ligne.
Pour un guide destiné aux débutants, consultez mon article sur la création d'une politique de confidentialité WordPress.
FAQ sur la sécurité de WooCommerce
Derniers conseils pour assurer la sécurité de votre magasin
La sécurisation de votre boutique WooCommerce ne nécessite pas de diplôme technique ni des heures de travail. En vous concentrant sur quelques points clés tels que le choix d'un hébergement fiable, l'utilisation du SSL, la mise à jour des logiciels et la gestion de l'accès des utilisateurs, vous bloquerez les menaces les plus courantes.
J'aime utiliser SeedProd parce qu'il m'aide à créer des pages WooCommerce professionnelles rapidement et sans problème. Lorsque vous combinez cela avec un plugin de sécurité solide et des sauvegardes régulières, votre boutique sera dans un endroit beaucoup plus sûr.
Pendant que vous êtes ici, vous pouvez également trouver les guides WooCommerce suivants utiles :
- Principales erreurs commises par les débutants lors de la création de sites WordPress
- Les meilleurs plugins SEO pour WooCommerce pour un meilleur classement
- Comment personnaliser la page de votre boutique WooCommerce (sans code)
Merci de votre lecture ! Nous aimerions connaître votre avis, alors n'hésitez pas à laisser un commentaire pour nous faire part de vos questions et de vos réactions.
Vous pouvez également nous suivre sur YouTube, X (anciennement Twitter) et Facebook pour obtenir d'autres contenus utiles au développement de votre entreprise.
