Sécurité WordPress : En-têtes et Maintenance, L'État des Lieux 2024

Bienvenue sur heypulso.com, où notre mission est d’éclairer les professionnels et les propriétaires de sites web sur l’état réel de la sécurité en ligne. Aujourd’hui, nous plongeons au cœur de la sécurité WordPress, la plateforme CMS la plus populaire au monde, en nous basant sur les données brutes et vérifiées de notre dernier scan. Avec 43 960 domaines analysés, dont 10 984 sont des sites WordPress, nous vous offrons une perspective unique sur l’adoption des bonnes pratiques, notamment les en-têtes de sécurité, et l’état général de la maintenance.

Notre Méthodologie : Un Aperçu Transparent

Notre analyse repose sur des données collectées par notre propre scanner, balayant un large éventail de domaines pour identifier les technologies sous-jacentes et évaluer leur configuration de sécurité. Chaque chiffre que vous lirez ici provient directement de cette vaste collecte, garantissant une vision fidèle et actuelle du paysage numérique.

Le Paysage Général : Au-delà de WordPress

Avant de nous concentrer sur WordPress, jetons un œil sur l’écosystème plus large de notre scan :

Total des domaines scannés : 43 960
Sites WordPress identifiés : 10 984
Adoption du SSL : 23 701 domaines (soit 53,9 % de l’ensemble des sites scannés) bénéficient d’un certificat SSL valide. C’est un point positif, mais cela signifie que près de la moitié des sites naviguent encore sans cette protection fondamentale.
Temps de réponse moyen : Nos systèmes ont enregistré un temps de réponse moyen de 1346 ms. Un facteur qui, bien qu’indirectement lié à la sécurité, impacte l’expérience utilisateur et le SEO.
Menaces détectées : Au cours de nos scans, nous avons identifié 238 sites de phishing, soulignant la vigilance constante requise dans l’environnement web actuel.

Nos scans ont également révélé une répartition géographique intéressante des domaines analysés :

Pays	Nombre de domaines scannés
France (FR)	18 709
Chili (CL)	8 743
États-Unis (US)	1 247
Espagne (ES)	618
Allemagne (DE)	281

Le Cœur du Problème : L’Adoption des En-têtes de Sécurité sur WordPress

Les en-têtes de sécurité HTTP sont des mesures préventives essentielles pour protéger les utilisateurs contre diverses attaques web, telles que le cross-site scripting (XSS), le clickjacking, et d’autres vulnérabilités. Pourtant, nos données révèlent une adoption alarmante d’en-têtes de sécurité critiques sur les sites WordPress.

X-Frame-Options : Une Porte Ouverte au Clickjacking

82,9 % des sites WordPress scannés manquent de l’en-tête X-Frame-Options. Cet en-tête est crucial pour prévenir le clickjacking, une attaque où un attaquant intègre votre site dans un <iframe> malveillant pour tromper les utilisateurs et leur faire cliquer sur des éléments invisibles. L’absence de cet en-tête expose une immense majorité de sites WordPress à cette menace insidieuse.

Content Security Policy (CSP) : Le Grand Absent

Le Content Security Policy (CSP) est l’un des en-têtes de sécurité les plus puissants, permettant aux administrateurs de spécifier les sources de contenu que le navigateur est autorisé à charger (scripts, styles, images, etc.). Son rôle est de limiter drastiquement les attaques de type XSS. Malheureusement, nos données sont sans appel :

88,1 % des sites WordPress manquent de Content Security Policy. Ce chiffre est particulièrement préoccupant. Cela signifie que la grande majorité des sites WordPress sont vulnérables aux injections de scripts malveillants, capables de voler des données sensibles ou de défigurer un site.

HSTS (HTTP Strict Transport Security) : La Sécurité Oubliée

L’en-tête HSTS force les navigateurs à interagir avec votre site uniquement via HTTPS, même si l’utilisateur saisit http://. Cela empêche les attaques de type “man-in-the-middle” qui pourraient dégrader une connexion sécurisée vers une connexion non sécurisée. Malgré son importance, 77,9 % des sites WordPress que nous avons analysés ne mettent pas en œuvre HSTS. C’est une opportunité manquée de renforcer la sécurité des connexions.

XML-RPC : Une Surface d’Attaque Exposée

XML-RPC est une fonctionnalité de WordPress qui permet la communication à distance. Bien qu’utile pour certaines applications (comme l’édition de posts via des clients de bureau), elle est souvent ciblée par les attaquants pour des attaques par force brute ou des attaques DDoS. Nos données montrent que :

49,9 % des sites WordPress ont XML-RPC exposé. Pour de nombreux sites, cette fonctionnalité n’est pas nécessaire et devrait être désactivée pour réduire la surface d’attaque. Qu’un site sur deux laisse cette porte ouverte est un risque significatif.

Les Scores de Maintenance : Un Reflet de la Sécurité Générale

Au-delà des en-têtes spécifiques, nous avons attribué des scores de maintenance aux 10 984 sites WordPress, évaluant divers aspects de leur configuration et de leurs mises à jour. Les résultats sont révélateurs :

Score (sur 100)	Description	Nombre de sites	Pourcentage
A (80-100)	Excellent	57	0,5 %
B (60-79)	Bon	4 096	37,3 %
C (40-59)	Moyen	5 561	50,6 %
D (20-39)	Faible	1 169	10,6 %
F (0-19)	Critique	101	0,9 %

Plus de 60 % des sites WordPress (catégories C, D et F combinées) affichent un score de maintenance moyen, faible ou critique. Le fait que seulement 0,5 % atteignent un niveau d’excellence (Grade A) est un indicateur fort du manque général de proactivité en matière de maintenance et de sécurité. Une maintenance régulière est le fondement d’un site sécurisé, incluant les mises à jour des thèmes, des plugins et du cœur de WordPress.

Plugins et Thèmes Populaires : Un Point de Vulnérabilité Potentiel

La popularité des plugins et des thèmes WordPress est une épée à double tranchant. D’un côté, ils offrent des fonctionnalités puissantes et une grande flexibilité. De l’autre, ils représentent une surface d’attaque privilégiée pour les cybercriminels, surtout s’ils ne sont pas maintenus à jour.

Voici les 10 plugins les plus fréquemment détectés sur les sites WordPress scannés :

Plugin	Nombre de sites
Contact Form 7	3 152
Elementor	3 070
Elementor Pro	1 783
Revslider	1 055
Complianz Gdpr	1 033
Cookie Notice	852
Woocommerce	837
Wp Rocket	748
Js_composer	726
Pojo Accessibility	661

Et les 5 thèmes les plus populaires :

Thème	Nombre de sites
hello-elementor	1 059
Divi	951
astra	611
twentyseventeen	287
oceanwp	201

La présence massive de ces outils souligne l’importance cruciale de les maintenir à jour et de ne pas installer de plugins ou thèmes non nécessaires. Une vulnérabilité découverte dans un plugin ou un thème populaire peut potentiellement affecter des milliers, voire des millions de sites.

Conclusion : L’Urgence d’une Prise de Conscience

Les données de notre scan brossent un tableau clair : la sécurité des sites WordPress, en particulier en ce qui concerne l’adoption des en-têtes de sécurité, est en souffrance. Les taux d’absence de CSP (88,1 %), X-Frame-Options (82,9 %) et HSTS (77,9 %) sont inacceptables dans le paysage actuel des menaces cybernétiques. Le score de maintenance général, avec plus de 60 % des sites classés C, D ou F, confirme ce constat.

Il est impératif pour les propriétaires et les administrateurs de sites WordPress de prendre des mesures proactives. L’implémentation des en-têtes de sécurité n’est pas une option, mais une nécessité absolue pour protéger votre site et vos utilisateurs. La maintenance régulière, la désactivation des fonctionnalités inutiles comme XML-RPC (exposé sur 49,9 % des sites), et la mise à jour constante des plugins et des thèmes sont les piliers d’une stratégie de sécurité robuste.

Ne laissez pas votre site faire partie de ces statistiques alarmantes. Il est temps d’agir.

Vous souhaitez savoir où se situe votre site dans ce panorama de la sécurité ?

Effectuez un scan gratuit et instantané de votre site dès aujourd’hui sur https://heypulso.com et recevez un rapport détaillé sur sa posture de sécurité. Prenez le contrôle de votre sécurité en ligne avec Heypulso !