Sécurité Joomla : MFA, sauvegardes testées et permissions 644/755 avant le WAF

La sécurité Joomla ne repose pas sur une seule extension magique. Un site bien protégé combine un CMS maintenu, des accès maîtrisés, des sauvegardes restaurables et une surveillance régulière. Le but n’est pas de rendre le piratage impossible, mais de réduire fortement la surface d’attaque et de réagir vite si un incident survient.

Joomla est-il sécurisé par défaut ? Oui, si l’écosystème suit

Joomla dispose de bases solides : gestion fine des utilisateurs, niveaux d’accès, mises à jour du cœur, authentification multifacteur, séparation des rôles et configuration avancée. Mais un site Joomla n’est jamais isolé. Sa sécurité dépend aussi de l’hébergement, de la version PHP, du template, des composants, modules et plugins installés, ainsi que des habitudes de l’administrateur.

Dans la majorité des cas, les failles exploitées ne viennent pas d’un Joomla correctement maintenu, mais d’un élément oublié : une extension vulnérable, un compte administrateur partagé, un mot de passe réutilisé, des permissions trop larges ou une sauvegarde jamais testée. La sécurité doit donc être pensée comme une maintenance continue, pas comme une opération faite une fois à la mise en ligne.

Les risques concrets d’un site Joomla mal protégé

Un piratage peut provoquer bien plus qu’une page d’accueil modifiée. Les attaques courantes entraînent des redirections frauduleuses, l’envoi de spam depuis le serveur, l’ajout de pages parasites indexées par Google, le vol d’identifiants, l’altération de contenus ou l’installation de portes dérobées. Pour un site vitrine, cela nuit à l’image et au référencement. Pour un site collectant des données personnelles, le risque devient aussi juridique et opérationnel.

Les priorités à traiter avant d’ajouter des outils

Avant de chercher une solution avancée, commencez par les fondations. Elles bloquent déjà une grande partie des scénarios simples : exploitation d’une faille connue, brute force sur l’administration, écriture non autorisée dans les fichiers ou restauration impossible après incident.

Mises à jour : cœur, extensions, template et serveur

Le premier réflexe consiste à maintenir Joomla sur une version encore suivie et compatible avec vos extensions. Cela vaut aussi pour le template, les composants, les modules et les plugins. Une extension abandonnée devient un risque même si elle semble fonctionner correctement en façade.

Travaillez si possible avec un environnement de préproduction. Vous testez la mise à jour, vérifiez les formulaires, le panier, la connexion utilisateur et les pages critiques, puis vous appliquez en production. Ce détour évite de choisir entre sécurité et continuité de service.

Mots de passe uniques et authentification multifacteur

Chaque compte sensible doit utiliser un mot de passe unique, long et stocké dans un gestionnaire de mots de passe. Évitez les comptes génériques comme “admin”, “webmaster” ou “agence” utilisés par plusieurs personnes. Un compte nominatif permet de retirer un accès proprement et de comprendre qui a effectué une action.

Activez l’authentification multifacteur pour les super administrateurs et, idéalement, pour tous les profils ayant accès à la configuration, aux extensions ou aux commandes. La MFA ne remplace pas un bon mot de passe, mais elle limite fortement les dégâts si un identifiant est volé.

Permissions fichiers : 644, 755, jamais 777 par confort

Les permissions doivent empêcher l’écriture non autorisée. Une base saine consiste à utiliser 644 pour les fichiers et 755 pour les répertoires, sauf besoin très spécifique. Le 777 est à éviter : il ouvre trop largement les droits et transforme une petite faille applicative en prise de contrôle potentielle.

Vérifiez également le fichier de configuration, les répertoires temporaires et les dossiers d’upload. Pour les transferts, privilégiez SSH ou SFTP plutôt que FTP, car FTP expose davantage les identifiants et les échanges.

Protéger l’administration Joomla sans bloquer le travail quotidien

Le backoffice Joomla, notamment l’accès à /administrator, attire naturellement les tentatives automatisées. Le but n’est pas de rendre l’administration pénible, mais d’ajouter des obstacles utiles : moins de comptes puissants, moins d’accès publics, plus de traçabilité.

Appliquer le principe du moindre privilège

Un rédacteur n’a pas besoin d’installer une extension. Un prestataire ponctuel n’a pas forcément besoin d’un accès super administrateur permanent. Le principe du moindre privilège consiste à donner uniquement les droits nécessaires, pendant la durée nécessaire.

Révisez régulièrement la liste des comptes : anciens salariés, agences précédentes, comptes de test, accès créés pour une urgence. Désactivez ce qui n’est plus utile. Un compte oublié avec un mot de passe faible reste une porte d’entrée, même si personne ne l’utilise.

Réduire l’exposition du backoffice

Selon le contexte, vous pouvez limiter l’accès à l’administration par adresse IP, passer par un VPN, ajouter une protection serveur ou renforcer les règles côté hébergeur. Ces mesures sont particulièrement pertinentes pour les sites e-commerce, les intranets, les sites institutionnels ou les plateformes avec plusieurs contributeurs.

Surveillez aussi les logs : tentatives de connexion répétées, erreurs inhabituelles, appels vers des fichiers inconnus, pics de requêtes sur les formulaires. La journalisation n’empêche pas l’attaque, mais elle permet de détecter plus tôt un comportement anormal.

Une attaque ressemble souvent à une vague : elle ne frappe pas toujours au même endroit, mais cherche la zone la plus basse de la digue. Si vous renforcez uniquement la page de connexion tout en laissant un vieux plugin de formulaire exposé, le flux contournera l’obstacle. Penser en couches de défense aide à mieux arbitrer : chaque couche ralentit, filtre ou révèle l’attaque, depuis le DNS jusqu’aux logs applicatifs.

Extensions, WAF et HTTPS : choisir la bonne couche de protection

Les outils de sécurité sont utiles, à condition de comprendre leur rôle. Une extension Joomla peut faciliter les contrôles internes, un WAF filtre les attaques en amont, HTTPS protège les échanges, mais aucun de ces éléments ne compense durablement un site non maintenu.

Choisir des extensions fiables

Installez uniquement les extensions réellement nécessaires. Vérifiez leur présence sur le Joomla Extensions Directory, la fréquence des mises à jour, la compatibilité avec votre version de Joomla et la réputation de l’éditeur. Une extension gratuite peut être fiable, tout comme une extension payante peut devenir risquée si elle n’est plus maintenue.

Supprimez les extensions inutilisées au lieu de simplement les désactiver lorsque c’est possible. Moins il y a de code exposé, moins il y a de failles potentielles. C’est l’un des moyens les plus simples de réduire la surface d’attaque.

Forcer HTTPS et soigner les en-têtes

HTTPS est indispensable pour protéger les connexions, les formulaires et la confiance utilisateur. Vérifiez qu’il n’existe pas de contenu mixte, que les redirections HTTP vers HTTPS sont cohérentes et que le certificat est correctement renouvelé.

Selon votre niveau technique, ajoutez aussi des en-têtes de sécurité comme HSTS ou CSP. Ils ne remplacent pas les mises à jour, mais réduisent certains risques côté navigateur, notamment les injections ou comportements inattendus de scripts.

Sauvegarder, tester, restaurer : la vraie assurance sécurité

Une sauvegarde n’est utile que si elle peut être restaurée. Beaucoup de sites disposent d’archives automatiques, mais découvrent trop tard qu’elles sont incomplètes, stockées au mauvais endroit ou inutilisables. Pour Joomla, il faut sauvegarder à la fois les fichiers et la base de données.

Mettre en place une routine simple

Utilisez un outil reconnu comme Akeeba Backup, complété si besoin par un export de base via phpMyAdmin. Stockez les sauvegardes hors du serveur principal : espace cloud sécurisé, stockage distant ou coffre fourni par l’hébergeur. Si le serveur est compromis, une sauvegarde laissée au même endroit peut l’être aussi.

Avant toute mise à jour importante, réalisez une sauvegarde complète. Après une modification majeure, vérifiez que le site fonctionne et conservez temporairement un point de retour. Pour un site à forte activité, adaptez la fréquence afin de ne pas perdre commandes, formulaires ou inscriptions récentes.

Préparer un plan de réaction

En cas de suspicion de piratage, évitez de supprimer au hasard les fichiers suspects. Notez les symptômes, isolez si nécessaire, changez les mots de passe, vérifiez les comptes administrateurs, analysez les fichiers modifiés et restaurez depuis une version saine. Ensuite seulement, corrigez la cause probable : extension vulnérable, mot de passe compromis, permission trop large ou faille serveur.

En 5 minutes : vérifiez la version Joomla, les comptes super administrateurs et l’état des sauvegardes.

En 30 minutes : activez la MFA, supprimez les extensions inutiles, contrôlez les permissions 644 et 755.

En 1 heure : testez une restauration, lisez les logs récents, renforcez HTTPS et planifiez les mises à jour.

La meilleure stratégie de sécurité Joomla reste progressive : corriger les bases, limiter les accès, surveiller les signaux faibles, puis ajouter des protections comme un WAF si le niveau de risque le justifie. Un site sécurisé est surtout un site que l’on sait maintenir, auditer et restaurer.