Faut-il masquer la version de son CMS et de ses composants pour réduire les risques de piratage ?

Masquer la version de son CMS et de ses extensions est une mesure d'hygiène utile mais secondaire : elle complique le travail des robots qui scannent le web à la recherche de failles connues, sans jamais remplacer les correctifs eux-mêmes. Un site tenu à jour reste protégé même si sa version est visible ; un site obsolète reste vulnérable, masqué ou non.

La version fuite souvent sans qu'on le sache : balise meta generator dans le code source, fichiers readme.html ou de changelog laissés à la racine, numéros ajoutés aux URL des fichiers CSS et JavaScript, ou en-têtes HTTP renvoyés par le serveur. Réduire cette exposition consiste à retirer la balise generator, supprimer les fichiers d'installation et de documentation publics, et neutraliser les en-têtes trop bavards.

Il faut néanmoins garder la mesure à sa juste place : c'est de la sécurité par l'obscurité, un ralentisseur, pas un rempart. La vraie protection repose sur l'application rapide des mises à jour de sécurité, un pare-feu applicatif (WAF) et des comptes robustes. Sur un site professionnel comme sur un parc, ce durcissement se pilote plus sûrement dans le cadre d'un contrat de maintenance qui garantit le suivi continu des correctifs.