Exemple de mission

Audit de Vulnérabilités : Site WordPress

TPE, 2 employés, Guadeloupe

2 jours

WordPress + WooCommerce

Audit de Vulnérabilités

Contexte et résultats adaptés à des fins d’illustration et de confidentialité.

Contexte de la mission

Le défi

Contexte

Une petite entreprise souhaitait s'assurer de la sécurité de son site après avoir appris que des entreprises locales avaient été piratées.

Le site gérait une boutique en ligne avec des données clients, sans qu'aucun audit de sécurité ait été réalisé depuis sa mise en ligne.

Objectifs

Obtenir un état des lieux de la sécurité du site
Identifier les failles exploitables par un attaquant externe
Protéger les données clients de la boutique en ligne

Déroulement

Découvertes clés

Périmètre testé

Extensions et plugins installés
Configuration du serveur
Protection de la page de connexion
Exposition des fichiers et données sensibles

Méthodologie

Combinaison de scans automatisés et de vérification manuelle :

Analyse des plugins et de leurs versions
Tests de résistance de la page de connexion aux attaques par mots de passe
Revue de la configuration serveur

Élevé

3 extensions obsolètes avec des failles de sécurité connues

Élevé

Page de connexion non protégée : un attaquant peut tester des milliers de mots de passe

Moyen

Compte administrateur sans double authentification

Élevé

Répertoire de fichiers accessible publiquement, exposant les pièces jointes des réclamations clients

Moyen

Version de PHP obsolète avec des failles de sécurité connues

Résultats

Bilan et recommandations

Bilan

11 vulnérabilités : 0 critique, 3 élevées, 4 moyennes, 4 faibles

L’audit a identifié 11 vulnérabilités dont 3 élevées, avec des pièces jointes de réclamations clients accessibles publiquement et plusieurs extensions présentant des failles connues.

Le dirigeant a mobilisé son prestataire web, qui a restreint l’accès aux documents et mis à jour les extensions concernées sous 48 h.

L’activation de la double authentification et la migration vers une version maintenue de PHP ont été ajoutées au plan de correction, avec un contrôle de suivi prévu après leur mise en place.

Recommandations

Mettre à jour immédiatement toutes les extensions et WordPress
Bloquer l'accès public aux répertoires de fichiers
Installer une protection contre les tentatives de connexion répétées
Activer la double authentification sur le compte administrateur
Mettre en place des sauvegardes automatiques quotidiennes

Enseignements

Leçons apprises

Les réclamations clients étaient stockées dans un répertoire public, ce qui a nécessité une correction des règles d’accès aux fichiers en complément de la protection de la page de connexion.
Plusieurs extensions vulnérables étaient restées en production faute de mises à jour régulières, ce qui a conduit le prestataire web à reprendre leur maintenance.
Pour renforcer la protection de l’administration en complément des mises à jour, la double authentification et la limitation des tentatives ont été intégrées au plan d’action.