Sécuriser un site Joomla : bonnes pratiques, checklist et extensions à connaître

Sécuriser un site Joomla, ce n’est pas transformer votre site en bunker militaire avec trois sas biométriques et un vigile à l’entrée. C’est plus simple que ça. C’est surtout une question d’hygiène, de méthode et de bon sens.

En revanche, laisser un site Joomla sans mise à jour, avec un mot de passe tiède, trois extensions oubliées depuis 2019 et une sauvegarde “quelque part, normalement”, c’est une autre histoire. Là, on ne parle plus de négligence. On parle presque d’invitation polie envoyée aux robots malveillants.

Bonne nouvelle : Joomla est un CMS solide, mature et bien équipé. Mais comme tout outil puissant, il demande un minimum d’entretien. Ce guide vous donne les bonnes pratiques, les extensions utiles et la checklist à suivre pour sécuriser votre site Joomla sans vous perdre dans le jargon technique.

Par Laurent Lacoste – ancien d’Airbus Defence & Space, architecte Web Factory, compagnon de route de Joomla depuis ses débuts, et accessoirement allergique aux sites laissés ouverts aux quatre vents.

Pourquoi sécuriser un site Joomla ?

Parce qu’un site web public est exposé en permanence. Même un petit site vitrine local peut être scanné automatiquement par des robots qui cherchent des failles connues, des extensions obsolètes, des formulaires mal protégés ou des accès administrateur trop faciles à deviner.

Et non, le pirate ne vous connaît pas forcément. Il ne s’est pas levé un matin en se disant : “Tiens, aujourd’hui, je vais ruiner le site de cette PME toulousaine.” Dans la majorité des cas, il automatise. Il scanne. Il teste. Et si la porte est ouverte, il entre. Simple, froid, efficace. Charmant programme.

Sécuriser Joomla permet notamment de :

• protéger les accès administrateur ;
• éviter les injections de code ou les modifications malveillantes ;
• réduire le spam dans les formulaires ;
• préserver les données utilisateurs ;
• éviter les redirections frauduleuses ;
• protéger votre référencement naturel ;
• restaurer rapidement le site en cas d’incident ;
• conserver la confiance de vos visiteurs et de vos clients.

Un site piraté, ce n’est pas seulement un problème technique. C’est aussi un problème commercial, juridique, SEO et réputationnel. Google peut afficher des alertes de sécurité, les visiteurs peuvent fuir, les formulaires peuvent être détournés, et votre image peut prendre un petit coup dans l’aile. Voire un grand.

Joomla est-il sécurisé nativement ?

Oui, Joomla est un CMS sérieux. Il dispose de plusieurs protections natives intéressantes, notamment :

• un système avancé de gestion des droits utilisateurs ;
• une gestion fine des groupes et niveaux d’accès ;
• des mécanismes de filtrage des entrées ;
• la possibilité d’activer l’authentification à deux facteurs ou multifactorielle ;
• la gestion du HTTPS ;
• des journaux d’activité selon la configuration ;
• une architecture robuste lorsqu’elle est correctement maintenue.

Mais attention : un CMS sécurisé ne signifie pas un site sécurisé. La nuance est importante. Joomla peut très bien faire son travail, mais si vous installez une extension douteuse, que vous ne mettez jamais rien à jour et que votre mot de passe administrateur est “admin123”, Joomla ne pourra pas faire de miracles. Même avec beaucoup de bonne volonté.

Les bonnes pratiques indispensables pour sécuriser Joomla

1. Maintenir Joomla à jour

La première règle est simple : Joomla doit être à jour. Les versions récentes corrigent des bugs, améliorent la compatibilité et peuvent intégrer des correctifs de sécurité importants.

Ce n’est pas la partie la plus glamour du métier, je vous l’accorde. Mais entre une mise à jour propre et un site compromis un vendredi soir à 18h42, mon cœur balance assez peu.

Avant chaque mise à jour importante :

• réalisez une sauvegarde complète du site et de la base de données ;
• vérifiez la compatibilité du template ;
• vérifiez la compatibilité des extensions ;
• testez si possible sur un environnement de préproduction ;
• contrôlez le site après mise à jour.

2. Mettre à jour les extensions et les templates

Un site Joomla n’est pas seulement composé du cœur du CMS. Il repose aussi sur des extensions, des modules, des plugins et un template. Chaque élément ajouté est une brique fonctionnelle, mais aussi une surface d’attaque potentielle.

Une extension abandonnée, non maintenue ou téléchargée depuis une source peu fiable peut devenir le maillon faible du site. C’est souvent là que les ennuis commencent, discrètement, pendant que tout le monde regarde ailleurs.

À faire régulièrement :

• mettre à jour les extensions installées ;
• supprimer les extensions inutilisées ;
• désinstaller les anciens templates non utilisés ;
• éviter les extensions inconnues ou mal maintenues ;
• vérifier la réputation de l’éditeur avant installation.

3. Activer l’authentification à deux facteurs

L’authentification à deux facteurs, ou 2FA, ajoute une couche de protection au moment de la connexion. Même si un mot de passe est compromis, l’accès administrateur reste protégé par un second facteur.

C’est une mesure simple, efficace, et franchement peu négociable pour les comptes sensibles. Un compte super administrateur sans 2FA aujourd’hui, c’est un peu comme une porte blindée avec la clé sous le paillasson.

À activer en priorité pour :

• les super administrateurs ;
• les administrateurs ;
• les comptes ayant accès aux extensions sensibles ;
• les comptes utilisés par plusieurs intervenants, même si idéalement chaque personne doit avoir son propre compte.

4. Utiliser des mots de passe solides

Un bon mot de passe doit être long, unique et impossible à deviner. Il ne doit pas reprendre le nom de l’entreprise, le prénom du dirigeant, le nom du chien, l’année de création ou le fameux “Azerty2025!”. Oui, celui-là aussi, on l’a vu.

Utilisez plutôt :

• un gestionnaire de mots de passe ;
• des mots de passe longs et uniques ;
• des accès individuels pour chaque utilisateur ;
• une suppression rapide des comptes obsolètes ;
• une revue régulière des droits.

5. Limiter les droits utilisateurs

Tout le monde n’a pas besoin d’être super administrateur. Vraiment. Même la personne “qui publie juste un article de temps en temps”.

Joomla permet une gestion fine des droits. Utilisez-la. Donnez à chaque utilisateur uniquement les permissions nécessaires à sa mission. Moins il y a de comptes puissants, moins il y a de risques.

Les bonnes pratiques :

• réserver le rôle super administrateur à un nombre très limité de personnes ;
• créer des comptes nominatifs ;
• éviter les comptes partagés ;
• supprimer les accès des anciens prestataires ;
• contrôler régulièrement les groupes utilisateurs.

6. Protéger l’accès à l’administration

L’URL /administrator est connue de tout le monde. Des utilisateurs, des développeurs, des robots, et bien sûr des scripts qui testent automatiquement les accès Joomla.

Vous pouvez renforcer cet accès avec plusieurs mesures :

• restriction par adresse IP lorsque c’est possible ;
• protection supplémentaire par mot de passe serveur ;
• limitation des tentatives de connexion ;
• activation de la 2FA ;
• surveillance des connexions suspectes ;
• utilisation d’une extension de sécurité fiable pour renforcer l’accès backend.

Le but n’est pas de rendre l’administration invisible par magie. Le but est de compliquer suffisamment la tâche pour que les robots passent leur chemin. Ils sont nombreux, mais rarement très patients. Une qualité qu’on peut enfin leur reconnaître.

7. Vérifier les permissions fichiers et dossiers

Les permissions serveur définissent qui peut lire, écrire ou exécuter les fichiers du site. Une mauvaise configuration peut permettre à un attaquant de modifier des fichiers sensibles.

Les configurations peuvent varier selon l’hébergement, mais on retrouve généralement ces principes :

• permissions restrictives pour les fichiers ;
• permissions maîtrisées pour les dossiers ;
• protection particulière du fichier configuration.php ;
• aucun droit d’écriture inutile sur les fichiers sensibles ;
• pas de permissions trop ouvertes du type 777.

La règle est simple : si tout le monde peut tout modifier, quelqu’un finira par le faire. Et ce quelqu’un ne sera pas toujours très sympathique.

8. Forcer le HTTPS

Le HTTPS protège les échanges entre le navigateur de l’utilisateur et votre site. Il est indispensable pour les formulaires, les espaces membres, les sites e-commerce, mais aussi pour les sites vitrines.

Un certificat SSL actif ne suffit pas toujours. Il faut aussi vérifier :

• la redirection automatique HTTP vers HTTPS ;
• l’absence de contenus mixtes ;
• les liens internes en HTTPS ;
• la bonne configuration dans Joomla ;
• la cohérence avec la Search Console et les outils de suivi.

9. Désactiver l’affichage des erreurs en production

Les messages d’erreur techniques peuvent révéler des informations sensibles : chemins serveur, noms de fichiers, extensions utilisées, détails de configuration ou erreurs SQL.

En environnement de production, l’affichage des erreurs doit être limité. Les erreurs doivent être journalisées pour les administrateurs, pas offertes généreusement aux visiteurs et aux robots mal intentionnés. Ce n’est pas un buffet.

10. Protéger les formulaires contre le spam

Les formulaires sont souvent les premières cibles des robots : contact, inscription, commentaire, demande de devis, newsletter.

Pour limiter les abus, vous pouvez mettre en place :

• un captcha discret ;
• un honeypot ;
• une limitation du nombre d’envois ;
• un filtrage anti-spam ;
• une vérification serveur des champs ;
• une surveillance des envois anormaux.

L’objectif est de bloquer les robots sans transformer le formulaire en parcours du combattant pour les vrais utilisateurs. La sécurité, oui. Le sadisme UX, non.

Extensions de sécurité Joomla à connaître

Les extensions de sécurité ne remplacent pas les bonnes pratiques. Elles les complètent. Elles ajoutent des couches de protection, facilitent la surveillance et permettent parfois de réagir plus vite en cas de problème.

Voici une sélection d’extensions connues dans l’écosystème Joomla. Comme toujours, vérifiez leur compatibilité avec votre version, leur fréquence de mise à jour, leur documentation et leur réputation avant installation.

Checklist de sécurité Joomla

Voici une checklist simple pour faire un premier contrôle de votre site Joomla.

Que faire si votre site Joomla est déjà piraté ?

Première chose : ne paniquez pas. Deuxième chose : ne cliquez pas partout dans l’administration en espérant que “ça va revenir”. L’instinct est humain, mais rarement optimal en cybersécurité.

Si votre site Joomla affiche des contenus étranges, redirige vers des pages douteuses, envoie du spam ou semble modifié sans raison, il faut agir méthodiquement.

1. Mettre le site en sécurité : limiter temporairement les accès si nécessaire.
2. Faire une copie de l’existant : conserver des traces pour comprendre l’origine du problème.
3. Changer les mots de passe : Joomla, FTP/SFTP, base de données, hébergement, comptes administrateurs.
4. Analyser les fichiers modifiés : repérer les scripts ajoutés, fichiers suspects ou modifications récentes.
5. Vérifier les extensions : supprimer les extensions inconnues, obsolètes ou compromises.
6. Restaurer depuis une sauvegarde saine : si une sauvegarde fiable existe.
7. Mettre à jour Joomla et les extensions : une restauration sans correction revient à remettre la clé sous le paillasson.
8. Contrôler Google Search Console : vérifier les alertes de sécurité, les pages indexées et les éventuelles URL frauduleuses.
9. Demander un réexamen si nécessaire : si Google a signalé le site comme dangereux.

Le plus important est de comprendre comment l’intrusion a eu lieu. Restaurer le site sans corriger la faille revient à nettoyer une fuite d’eau sans fermer le robinet. C’est sportif, mais peu durable.

Les erreurs fréquentes à éviter

• Ne jamais mettre à jour Joomla : parce que “tant que ça marche, on ne touche pas”. Très bonne stratégie, jusqu’au jour où ça ne marche plus du tout.
• Installer trop d’extensions : chaque extension ajoute une dépendance, une maintenance et un risque potentiel.
• Donner les droits super administrateur à tout le monde : pratique, rapide, et délicieusement dangereux.
• Ne pas tester les sauvegardes : une sauvegarde jamais testée est une promesse, pas une garantie.
• Utiliser un mot de passe réutilisé ailleurs : si un autre service est compromis, votre site Joomla peut l’être aussi.
• Oublier les anciens comptes : prestataires, stagiaires, anciens collaborateurs… les fantômes numériques adorent les accès oubliés.
• Ignorer les alertes de sécurité : si un outil vous alerte, ce n’est pas pour décorer votre tableau de bord.
• Penser que l’hébergeur gère tout : l’hébergeur sécurise l’infrastructure, pas forcément votre CMS, vos extensions et vos mots de passe.

Joomla 4, Joomla 5, Joomla 6 : faut-il adapter sa stratégie de sécurité ?

Oui, mais les fondamentaux restent les mêmes. Quelle que soit la version récente de Joomla utilisée, vous devez conserver une logique de maintenance active : cœur du CMS à jour, extensions compatibles, sauvegardes fiables, droits utilisateurs maîtrisés et surveillance régulière.

Plus votre version est récente, plus vous bénéficiez des améliorations du CMS et de son écosystème. Mais une version récente mal configurée peut rester vulnérable. À l’inverse, une ancienne version non maintenue devient progressivement un risque difficile à justifier.

Si votre site repose encore sur une version ancienne de Joomla, la vraie question n’est pas seulement “est-ce que ça marche encore ?”. La vraie question est : “combien de temps puis-je raisonnablement prendre ce risque ?”. La réponse est rarement très confortable.

Quelle méthode appliquer pour sécuriser durablement Joomla ?

Je recommande une approche en quatre étapes.

1. Prévenir

Mettre à jour Joomla, limiter les droits, activer la 2FA, choisir des extensions fiables, protéger les formulaires et configurer correctement l’hébergement.

2. Surveiller

Contrôler les logs, les connexions, les modifications suspectes, les alertes de sécurité, les erreurs serveur et les comportements inhabituels.

3. Sauvegarder

Automatiser les sauvegardes, les stocker hors du serveur principal et tester régulièrement la restauration.

4. Réagir

Prévoir une procédure en cas d’incident : qui intervient, avec quels accès, quelles sauvegardes, quels contrôles et quelles actions de remise en ligne.

FAQ – Sécurité Joomla

Joomla est-il un CMS sécurisé ?

Oui, Joomla est un CMS robuste lorsqu’il est correctement maintenu. Sa sécurité dépend toutefois de la configuration, des extensions, de l’hébergement, des mots de passe, des droits utilisateurs et de la régularité des mises à jour.

Quelle est la première action pour sécuriser Joomla ?

La première action consiste à vérifier que Joomla, les extensions et le template sont à jour. Ensuite, il faut contrôler les sauvegardes, les comptes administrateurs et l’authentification à deux facteurs.

Faut-il installer une extension de sécurité Joomla ?

Oui, une extension de sécurité peut être très utile, notamment pour renforcer l’administration, ajouter un pare-feu applicatif, limiter les attaques automatisées ou surveiller certains comportements. Mais elle doit compléter une vraie politique de maintenance.

La 2FA est-elle vraiment nécessaire sur Joomla ?

Oui, surtout pour les comptes administrateurs et super administrateurs. Elle ajoute une couche de protection importante si un mot de passe est compromis.

À quelle fréquence faut-il sauvegarder un site Joomla ?

La fréquence dépend de l’activité du site. Un site souvent modifié ou e-commerce doit être sauvegardé très régulièrement. Un site vitrine peut avoir une fréquence plus espacée, mais les sauvegardes doivent toujours être testées.

Que faire si mon site Joomla est piraté ?

Il faut sécuriser les accès, changer les mots de passe, analyser les fichiers, vérifier les extensions, restaurer une sauvegarde saine si possible, mettre à jour le site et comprendre l’origine de l’intrusion avant de remettre le site en production.

Un hébergeur sécurisé suffit-il à protéger Joomla ?

Non. Un bon hébergeur est indispensable, mais il ne remplace pas la maintenance du CMS, la mise à jour des extensions, la gestion des accès et la surveillance du site.