Un scanner de vulnérabilités WordPress examine automatiquement un site pour identifier les risques de sécurité présents : plugins et thèmes vulnérables recensés par des CVE connus, mauvaises configurations serveur, absence d’en-têtes de sécurité, ou signes de compromission déjà en place.
Ce qu’un scanner examine concrètement
- Version et vulnérabilités connues de WordPress core, des plugins et du thème actif, comparés aux bases de données publiques (CVE, WPScan)
- Configuration serveur : certificat SSL/TLS, en-têtes de sécurité HTTP, exposition de fichiers sensibles
- Signes de compromission existants : fichiers suspects, redirections, inscription sur une liste noire
- Surface d’attaque exposée : points d’entrée publiquement accessibles (formulaires, API, page de connexion)
Quelles solutions existent
On distingue globalement deux approches. Le scan externe (comme un audit ponctuel) analyse le site depuis l’extérieur, sans accès au serveur, en observant ce qu’un attaquant verrait réellement. Le scan interne via plugin installé dans WordPress a accès aux fichiers et à la base de données, ce qui permet une détection plus fine du malware déjà présent, au prix de ressources consommées en continu sur le serveur. Les deux approches sont complémentaires plutôt que concurrentes : le scan externe donne une photographie de l’exposition réelle, le scan interne surveille en continu.
Ce qu’un scan ne remplace pas
Un scan de vulnérabilités identifie les risques, il ne les corrige pas automatiquement. La correction (mise à jour, durcissement, nettoyage) reste une action humaine ou automatisée séparée. Un scan régulier, plutôt que ponctuel, reste la seule façon de suivre l’évolution du risque : un site sain aujourd’hui peut être exposé demain par un nouveau CVE publié sur l’un de ses composants.
