Protéger un site WordPress avec un pare-feu applicatif

WordPress fait tourner une grande partie du web, et c'est exactement pour cela qu'il est la cible favorite des robots : une seule faille dans une extension populaire ouvre des centaines de milliers de sites. Les attaques sont rarement dirigées contre votre site ; elles essaient la même liste d'adresses sur tous les WordPress qu'elles trouvent.

Ce que les règles WordPress de Zyre bloquent

• `xmlrpc.php`, y compris les appels system.multicall, qui permettent d'essayer des centaines de mots de passe en une seule requête.
• L'énumération des comptes par l'API REST (/wp-json/wp/v2/users), qui livre les identifiants de connexion à qui les demande.
• L'accès direct aux fichiers du cœur qui n'ont pas à être appelés depuis l'extérieur : wp-config.php, wp-load.php, wp-settings.php, les scripts PHP de wp-includes.
• L'exécution de PHP dans `wp-content/uploads` : c'est là qu'un formulaire d'envoi vulnérable dépose un script malveillant.
• Les noms de webshells connus dans les dossiers d'extensions et de thèmes, et les chemins d'extensions historiquement exploitées.
• Et tout ce que couvrent les règles communes : injections dans les formulaires et les paramètres, XSS, fichiers .env, .git et sauvegardes oubliées.

Ce qui passe, exprès

wp-admin et wp-login.php restent accessibles : vous devez pouvoir vous connecter, et l'éditeur de blocs appelle l'API REST en permanence. Ces adresses ne sont pas fermées, mais leur contenu reste inspecté — une injection envoyée à la page de connexion est bloquée comme ailleurs.

Un réglage à vérifier avant de basculer

Les tâches planifiées de WordPress (publications programmées, sauvegardes, envois) continuent de fonctionner : WordPress les déclenche en appelant sa propre adresse wp-cron.php, et cet appel passe le pare-feu normalement.

Ce que le pare-feu ne remplace pas

• Les mises à jour. Le pare-feu filtre une faille publiée en attendant que vous mettiez à jour ; il ne vous dispense pas de le faire. La veille de Zyre signale les failles connues des versions détectées sur votre site.
• Des mots de passe solides et la double authentification sur les comptes administrateurs.
• Des sauvegardes stockées ailleurs que sur le serveur du site.