Un audit de sécurité WordPress sur un site, c’est une checklist. Sur un parc, c’est la liste des admins que vous n’avez pas créés, des logins ratés, des constantes de durcissement jamais posées. C’est la première passe. « MCP security », tel qu’on le tape, parle souvent du protocole. Ici, ça veut aussi dire : le modèle n’écrit pas.
Le compte admin inattendu
Vous nommez les comptes que vous reconnaissez. Tout autre administrateur est une sévérité haute. Une liste vide dit seulement « ce site a quatre admins » — ça n’apprend rien. Remplie, elle dit « cmspanel n’est pas à vous ».
Ce que MCP a le droit de voir
L’inventaire et le dernier rapport stocké. Pas un mot de passe. Pas une écriture. S’il faut retirer le compte, vous confirmez dans le dashboard. Le journal garde l’action.
Les constantes qui devraient déjà être là
DISALLOW_FILE_EDIT au minimum. DISALLOW_FILE_MODS si l’hébergeur le permet. Un audit de sécurité WordPress qui ne lit jamais wp-config scanne des symptômes, pas la porte.
