Sécurité WooCommerce : la checklist pour les agences

Une boutique WooCommerce repose sur WordPress, son thème et ses extensions : chacun peut ouvrir une faille. Voici les points à contrôler sur les boutiques de vos clients, de la configuration du serveur au suivi dans le temps.

1. Mises à jour et extensions

Sur WordPress, une grande partie des failles passe par des extensions ou des thèmes qui ne sont pas à jour.

WordPress, WooCommerce, le thème et chaque extension sont à jour.
Les extensions et thèmes inutilisés sont supprimés, pas seulement désactivés.
Chaque extension provient d'une source fiable et est encore maintenue par son éditeur.
La version de PHP du serveur est encore prise en charge.
Les bibliothèques JavaScript chargées par le thème ne sont pas obsolètes.

2. Accès administrateur

Le compte administrateur donne accès aux commandes et aux données des clients.

Mots de passe uniques et robustes pour chaque compte, sans compte « admin » générique partagé.
Double authentification activée pour les administrateurs et gestionnaires de boutique.
Tentatives de connexion limitées sur la page de connexion.
Chaque personne n'a que le rôle dont elle a besoin (gestionnaire de boutique, éditeur…).
XML-RPC désactivé s'il n'est pas utilisé.

3. HTTPS et en-têtes de sécurité

Ces réglages se vérifient depuis l'extérieur, sans accès au back-office.

Tout le site redirige de HTTP vers HTTPS, sans contenu mixte chargé en HTTP.
En-tête HSTS présent pour imposer HTTPS au navigateur.
Politique CSP définie et pas trop permissive.
En-têtes X-Content-Type-Options, Referrer-Policy et protection contre l'intégration en iframe présents.
Version du serveur et de WordPress non affichée publiquement.

4. Fichiers et données exposés

Une mauvaise configuration peut rendre accessibles des fichiers qui ne devraient jamais l'être.

Aucun fichier sensible accessible depuis le navigateur (sauvegardes, .env, fichiers de configuration, journaux).
Mode débogage désactivé en production (WP_DEBUG et affichage des erreurs).
Listage des dossiers désactivé sur le serveur.
Aucune clé secrète d'API visible dans le code des pages.
Cookies de session avec les attributs Secure, HttpOnly et SameSite.

5. Sauvegardes et suivi

La sécurité se maintient dans la durée : c'est un bon contenu pour un contrat de maintenance.

Sauvegardes automatiques des fichiers et de la base, stockées hors du serveur.
Restauration testée au moins une fois, pas seulement la sauvegarde.
Contrôle régulier du site pour repérer une régression après une mise à jour.
Liste des actions réalisées tenue à jour pour le client.

Vérifier ces points avec Nova4Guard

Le volet sécurité de Nova4Guard contrôle depuis l'extérieur la redirection HTTPS, le contenu mixte, les en-têtes HSTS, CSP, X-Content-Type-Options et Referrer-Policy, la protection contre l'iframe, la version du serveur exposée, les cookies, les fichiers sensibles accessibles, les clés exposées et les bibliothèques JavaScript obsolètes. Les mises à jour d'extensions, les comptes et les sauvegardes restent à vérifier dans le back-office. Les analyses automatiques aident ensuite à suivre la boutique chaque mois.

Créer un compte gratuit L'audit en marque blanche