Securite WordPress : Guide Complet 2026

WordPress propulse plus de 43 % des sites web dans le monde. Cette popularite en fait la cible numero un des cybercriminels : selon le dernier rapport annuel de Sucuri, plus de 90 % des CMS compromis tournaient sous WordPress. La securite WordPress n'est pas un luxe, c'est un imperatif operationnel pour toute entreprise presente en ligne.

Ce guide est structure comme un plan d'action progressif. Nous commencerons par un diagnostic de votre installation, puis nous appliquerons les mesures de protection fondamentales, le durcissement technique avance et enfin la strategie de reponse aux incidents.

Diagnostic Express : Votre WordPress Est-il Deja Compromis ?

Avant d'appliquer des mesures de protection, la premiere etape de tout audit de securite site web consiste a verifier que votre site n'est pas deja infecte. Un hack de site web peut rester invisible pendant des semaines, voire des mois, en exploitant des failles comme une injection SQL via des formulaires non securises ou une attaque Cross-Site Scripting (XSS) dans un plugin obsolete.

Notre diagnostic se deroule en deux temps : d'abord, la recherche de symptomes d'une infection active, puis l'identification des failles de securite preventives.

Les 7 Signes Revelateurs d'un Site WordPress Pirate

Si votre site est deja compromis, vous observerez un ou plusieurs de ces symptomes :

• Redirections suspectes : vos visiteurs sont envoyes vers des sites tiers (casinos, pharmacies en ligne, pages de phishing). Ces redirections sont souvent obfusquees dans des fichiers .js ou injectees directement dans la base de donnees via la table wp_options.
• Contenu spam injecte : des pages ou articles en langue etrangere apparaissent dans votre indexation Google, notamment du spam en caracteres japonais.
• Ralentissement brutal : une consommation CPU anormale peut indiquer un script de cryptomining ou un bot malveillant injecte via une porte derobee (backdoor).
• Alertes navigateur : Chrome ou Firefox affichent un avertissement "Ce site est dangereux" a vos visiteurs.
• Comptes administrateur inconnus : de nouveaux utilisateurs avec des privileges eleves apparaissent dans wp-admin sans votre autorisation. Verifiez egalement via la base de donnees (table wp_users), car certains comptes peuvent etre masques de l'interface d'administration.
• Chute du trafic organique : Google desindexe progressivement les pages jugees dangereuses ou identifiees comme site malveillant.
• Emails bloques : votre domaine est place en liste noire (blacklist) par les fournisseurs de messagerie.

Si vous observez un ou plusieurs de ces signes, consultez immediatement notre guide de nettoyage WordPress apres piratage.

Comment Detecter une Alerte "Site Malveillant" dans Google Search Console

Google Search Console est votre premier outil de diagnostic gratuit pour verifier si votre domaine a ete signale comme site malveillant. Voici la procedure :

1. Connectez-vous a Google Search Console.
2. Accedez a Securite et actions manuelles > Problemes de securite.
3. Verifiez la section Actions manuelles pour toute penalite liee a un contenu pirate ou dangereux.
4. Consultez le rapport Couverture pour identifier des pages indexees inconnues (signe d'injection de contenu).

Si Google a signale votre site, suivez notre guide pour sortir de la liste noire Google.

Comment Savoir si Mon Site WordPress a une Faille de Securite ?

Un site peut etre vulnerable sans etre encore attaque. Contrairement aux signes de piratage ci-dessus, il s'agit ici de detecter les failles avant qu'elles ne soient exploitees par des attaques par force brute, des tentatives d'injection SQL ou des exploits ciblant vos plugins et themes.

Pour un premier audit de securite site web gratuit, utilisez ces outils :

• Sucuri SiteCheck : scan externe rapide detectant malwares, listes noires et erreurs de configuration. Attention : un scan externe ne detecte que les menaces en surface. Une infection bien cachee dans la base de donnees ou via une backdoor modifiee passera souvent inapercue.
• WP-CLI (l'interface en ligne de commande officielle de WordPress) : la commande verify-checksums compare les fichiers core de votre installation avec les originaux du repertoire WordPress.org. Elle ne detecte cependant pas les malwares injectes dans /wp-content/uploads/.
• WPScan : identifie les vulnerabilites connues dans vos plugins, themes et version WordPress. Ces failles sont precisement celles qu'un plugin securite WordPress comme Wordfence, Sucuri ou SecuPress peut corriger ou bloquer.

WP-CLI necessite un acces SSH a votre serveur. Si vous n'avez pas cet acces, un plugin securite WordPress offre des fonctions de scan equivalentes depuis l'interface d'administration.

# Verification de l'integrite du core WordPress
wp core verify-checksums
 
# Verification de l'integrite des plugins
wp plugin verify-checksums --all
 
# Lister les plugins avec des mises a jour de securite disponibles
wp plugin list --update=available

Un audit manuel plus approfondi inclut l'inspection des fichiers critiques souvent cibles par les pirates (wp-config.php, .htaccess), l'analyse des journaux d'activite du serveur, la verification des permissions de fichiers et l'examen de la base de donnees. Pour un diagnostic complet realise par un specialiste, decouvrez notre service d'audit de securite WordPress.

Les Fondations : 9 Mesures de Securite Essentielles

Ces mesures constituent le socle de toute strategie de securite WordPress. Elles s'appliquent a tous les sites, du blog personnel au site e-commerce.

1. Choisir un Hebergement WordPress Securise

L'hebergement web est le rempart numero un. Un serveur mal configure rend toutes les autres mesures inutiles.

Criteres d'un hebergeur securise :

• Isolation des comptes (chaque site dans son propre environnement).
• Pare-feu reseau et pare-feu applicatif (WAF) au niveau serveur.
• Mises a jour automatiques de PHP, MySQL et du systeme d'exploitation.
• Certificat SSL/TLS gratuit (Let's Encrypt) avec renouvellement automatique.
• Sauvegardes quotidiennes avec retention de 30 jours minimum.
• Support des versions PHP recentes (8.2+ recommande).

Les hebergeurs specialises WordPress comme Kinsta, WP Engine ou Cloudways integrent ces protections nativement. Un hebergement mutualise a bas cout partage les ressources et les risques avec des centaines d'autres sites.

2. Mettre en Place des Mots de Passe Robustes

Les attaques par force brute representent 16 % des compromissions WordPress. Un mot de passe faible est une invitation ouverte.

Criteres d'un mot de passe solide :

• Minimum 16 caracteres melangeant majuscules, minuscules, chiffres et symboles.
• Unique pour chaque service (ne jamais reutiliser un mot de passe).
• Genere par un gestionnaire de mots de passe (1Password, Bitwarden, KeePass).

Appliquez cette politique a tous les points d'acces : compte wp-admin, FTP/SFTP, base de donnees MySQL et panneau d'hebergement.

3. Activer l'Authentification a Deux Facteurs (2FA)

L'authentification a deux facteurs (2FA) ajoute une couche de protection meme si le mot de passe est compromis. C'est la mesure la plus efficace contre le brute force.

Le plugin Two-Factor officiel supporte les methodes TOTP (Google Authenticator, Authy), les cles de securite U2F/FIDO2 et les codes de secours. Activez-le pour tous les comptes administrateur et editeur.

# Installer le plugin Two-Factor
wp plugin install two-factor --activate

4. Configurer des Sauvegardes Automatiques

Les sauvegardes sont votre derniere ligne de defense. Sans sauvegarde fonctionnelle, un piratage ou une erreur peut signifier la perte totale de votre site.

La regle du 3-2-1 :

• 3 copies de vos donnees.
• 2 supports differents (serveur + cloud).
• 1 copie hors site (offsite).

Frequence recommandee :

• Sites e-commerce : sauvegarde quotidienne (base de donnees) + hebdomadaire (fichiers).
• Blogs et sites vitrine : sauvegarde hebdomadaire complete.
• Testez la restauration au moins une fois par trimestre.

# Sauvegarde complete via WP-CLI
wp db export /backups/db-$(date +%Y%m%d).sql
tar -czf /backups/files-$(date +%Y%m%d).tar.gz /var/www/html/wp-content/

5. Mettre a Jour le Core WordPress, les Themes et les Plugins

Chaque mise a jour corrige des vulnerabilites connues et documentees dans les bases CVE. Un site non mis a jour est un site dont les failles sont publiquement accessibles.

• Activez les mises a jour automatiques du core pour les versions mineures (activees par defaut).
• Testez les mises a jour majeures sur un environnement de staging avant deploiement.
• Supprimez les plugins et themes inactifs : meme desactives, ils restent exploitables.
• Maintenez votre version PHP a jour (8.2+ recommande).

97 % des vulnerabilites WordPress proviennent des plugins et themes tiers (WPScan). La mise a jour est votre premiere ligne de defense. Pour une approche structuree, consultez notre guide de maintenance WordPress.

# Verifier et appliquer les mises a jour
wp core check-update
wp plugin update --all
wp theme update --all

6. Limiter les Roles et Permissions Utilisateur

Appliquez le principe du moindre privilege : chaque utilisateur ne doit avoir acces qu'aux fonctionnalites strictement necessaires a son role.

• Administrateur : reserve au proprietaire du site et au webmaster.
• Editeur : pour la gestion de contenu sans acces aux reglages.
• Auteur : pour les contributeurs reguliers, limite a leurs propres articles.
• Contributeur : pour les redacteurs ponctuels, sans droit de publication.

Auditez regulierement la liste des utilisateurs et supprimez les comptes inactifs. Chaque compte dormant est une surface d'attaque potentielle.

7. Installer un Certificat SSL/TLS

Le HTTPS n'est plus optionnel. Google le considere comme un signal de ranking et les navigateurs affichent un avertissement pour les sites non securises. Le certificat SSL/TLS chiffre toutes les communications entre le serveur et le navigateur.

# Forcer HTTPS dans WordPress
wp option update siteurl 'https://votre-site.com'
wp option update home 'https://votre-site.com'
 
# Rechercher et remplacer les URLs HTTP
wp search-replace 'http://votre-site.com' 'https://votre-site.com'

# Redirection HTTP vers HTTPS via .htaccess
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

8. Quel Est le Meilleur Plugin de Securite WordPress Gratuit en 2026 ?

Le choix d'un plugin securite WordPress depend de votre budget et de vos besoins techniques. Voici les trois solutions les plus fiables :

Wordfence en version gratuite offre le meilleur rapport fonctionnalites/cout. Il inclut un pare-feu applicatif (WAF), un scanner de malware et la protection contre le brute force. Les regles du pare-feu sont retardees de 30 jours par rapport a la version premium, mais la protection reste solide pour la majorite des sites.

Sucuri est recommande pour les sites e-commerce ou a fort trafic grace a son WAF cloud qui ne charge pas votre serveur et inclut un CDN.

9. Supprimer les Themes et Plugins Inutilises

Chaque plugin ou theme installe, meme desactive, reste un point d'entree potentiel. Les extensions abandonnees par leurs developpeurs ne recoivent plus de correctifs de securite et deviennent des cibles privilegiees.

• Supprimez (pas seulement desactivez) tout plugin et theme non utilise.
• Conservez un seul theme par defaut en plus de votre theme actif.
• Avant d'installer un nouveau plugin, verifiez sa derniere date de mise a jour, le nombre d'installations actives et les avis.

Durcissement Technique : Verrouiller les Points d'Entree

Ces mesures s'adressent aux administrateurs souhaitant renforcer la configuration technique de leur installation WordPress. Elles interviennent au niveau des fichiers de configuration, du serveur et de la base de donnees.

Proteger le Fichier wp-config.php

Le fichier wp-config.php contient les informations les plus critiques de votre site : identifiants de base de donnees, cles de securite et constantes de configuration. Sa protection est prioritaire.

<?php
// Forcer HTTPS pour l'administration
define('FORCE_SSL_ADMIN', true);
 
// Desactiver l'editeur de fichiers integre
define('DISALLOW_FILE_EDIT', true);
 
// Empecher l'installation de plugins/themes depuis wp-admin
define('DISALLOW_FILE_MODS', true);
 
// Limiter les revisions des articles
define('WP_POST_REVISIONS', 5);
 
// Desactiver le debug en production
define('WP_DEBUG', false);
define('WP_DEBUG_DISPLAY', false);
define('WP_DEBUG_LOG', false);
 
// Prefixe de table personnalise (a definir a l'installation)
$table_prefix = 'wp_x7k2_';

# Regenerer les cles de securite via WP-CLI
wp config shuffle-salts

Deplacez wp-config.php un niveau au-dessus de la racine web (/var/www/ au lieu de /var/www/html/) si votre hebergeur le permet. WordPress le detecte automatiquement.

Appliquer les Bonnes Permissions de Fichiers (CHMOD)

Des permissions de fichiers incorrectes permettent aux attaquants de modifier des fichiers critiques ou d'injecter du code malveillant.

# Appliquer les permissions recommandees
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;
 
# Fichiers critiques : permissions restrictives
chmod 400 /var/www/html/wp-config.php
chmod 444 /var/www/html/.htaccess

Masquer la Version de WordPress

Par defaut, WordPress expose son numero de version dans le code source HTML, le flux RSS et le fichier readme.html. Cette information facilite les attaques ciblees en permettant aux pirates d'identifier les vulnerabilites specifiques a votre version.

// Supprimer la version WordPress du head et des flux RSS
remove_action('wp_head', 'wp_generator');
 
// Supprimer le fichier readme.html apres chaque mise a jour

# Bloquer l'acces au fichier readme.html via .htaccess
<Files readme.html>
  Order Allow,Deny
  Deny from all
</Files>

Desactiver l'Editeur de Fichiers et XML-RPC

L'editeur de fichiers integre a WordPress permet de modifier le code PHP des themes et plugins directement depuis wp-admin. Si un attaquant accede a un compte administrateur, il peut injecter du code malveillant en quelques secondes.

XML-RPC est un protocole legacy qui permet les publications a distance mais constitue un vecteur d'attaque majeur pour le brute force amplifie et les attaques DDoS par amplification. Desactivez-le sauf si vous utilisez Jetpack ou l'application mobile WordPress.

# Bloquer XML-RPC via .htaccess
<Files xmlrpc.php>
  Order Allow,Deny
  Deny from all
</Files>

Comment Bloquer les Attaques par Force Brute sur WordPress ?

Les attaques par force brute testent des milliers de combinaisons identifiant/mot de passe par minute sur votre page de connexion. Voici les mesures les plus efficaces pour les bloquer :

• Limiter les tentatives de connexion : le plugin Limit Login Attempts Reloaded bloque automatiquement les adresses IP apres un nombre configure d'echecs (recommande : 3 tentatives, blocage de 20 minutes).
• Changer l'URL de connexion : remplacez /wp-login.php par une URL personnalisee avec le plugin WPS Hide Login. Les bots automatises ciblent exclusivement l'URL par defaut.
• Ajouter un CAPTCHA : integrez un CAPTCHA sur la page de connexion pour filtrer les bots.
• Bloquer les adresses IP malveillantes : configurez votre pare-feu applicatif (WAF) pour bloquer automatiquement les IP apres des tentatives repetees.
• Deconnecter les utilisateurs inactifs : forcez la deconnexion automatique apres 15 a 30 minutes d'inactivite pour limiter les risques de session hijacking.

# Installer Limit Login Attempts Reloaded
wp plugin install limit-login-attempts-reloaded --activate

Changer le Prefixe de la Base de Donnees

Le prefixe par defaut wp_ facilite les injections SQL ciblees. Un attaquant connaissant la structure standard de WordPress peut exploiter une faille pour acceder directement aux tables wp_users ou wp_options.

Modifiez le prefixe lors de l'installation initiale. Pour un site existant, utilisez un plugin dedie ou effectuez la modification manuellement dans wp-config.php et dans la base de donnees (renommez toutes les tables et mettez a jour les references dans wp_options et wp_usermeta).

Protection Avancee et Prevention Active

Ces mesures s'adressent aux administrateurs chevronnes ou aux equipes techniques souhaitant maximiser la surface de protection de leur installation WordPress.

Mettre en Place un Pare-feu Applicatif Web (WAF)

Un pare-feu applicatif (WAF) filtre le trafic HTTP/HTTPS et bloque les requetes malveillantes avant qu'elles n'atteignent votre application WordPress. Il protege contre :

• Les injections SQL (SQLi) via des formulaires ou des parametres d'URL.
• Le Cross-Site Scripting (XSS) reflechi et stocke.
• Les traversees de repertoire (path traversal).
• Les tentatives d'upload de fichiers malveillants.
• Les attaques zero-day grace a des regles comportementales.

Deux approches existent :

• WAF endpoint (Wordfence, SecuPress) : s'execute au niveau PHP, sur votre serveur. Detection precise mais impact sur les performances.
• WAF cloud (Sucuri, Cloudflare) : filtre le trafic avant qu'il n'atteigne votre serveur. Zero charge serveur, protection DDoS incluse, mais necessite une modification DNS.

Pour un site e-commerce ou a fort trafic, un WAF cloud comme Cloudflare (offre gratuite disponible) combine protection et performance grace a son CDN integre.

Deployer les En-tetes de Securite HTTP

Les headers de securite HTTP instruisent le navigateur sur les politiques de securite a appliquer. Ils protegent contre le clickjacking, le MIME sniffing et les injections de contenu.

<IfModule mod_headers.c>
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set X-Content-Type-Options "nosniff"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:;"
</IfModule>

Verifiez vos headers avec securityheaders.com. Visez un score A ou A+.

Mettre en Place un Monitoring de l'Integrite des Fichiers

La surveillance continue des fichiers permet de detecter toute modification non autorisee : injection de backdoor, modification de fichiers core ou ajout de scripts malveillants.

• Wordfence compare automatiquement les fichiers de votre installation avec les versions officielles du repertoire WordPress.org.
• WP Activity Log enregistre toutes les activites : connexions, modifications de contenu, changements de configuration, installations de plugins.
• Les journaux d'activite du serveur (access.log, error.log) revelent les requetes suspectes et les tentatives d'exploitation.

# Installer WP Activity Log pour le suivi des activites
wp plugin install wp-security-audit-log --activate

Metriques a surveiller :

• Tentatives de connexion echouees (seuil d'alerte : plus de 50/heure).
• Modifications de fichiers inattendues dans /wp-includes/ ou /wp-admin/.
• Nouveaux comptes utilisateur crees sans autorisation.
• Requetes HTTP suspectes dans les logs serveur (tentatives de path traversal, d'injection SQL).
• Consommation CPU/memoire anormale (signe de cryptomining).

Plan d'Action : De la Crise a la Serenite

Malgre toutes les precautions, un incident de securite peut survenir. La rapidite de reaction est determinante pour limiter les degats.

J'ai Ete Pirate : Que Faire ?

Voici le protocole de reponse en 6 etapes, dans l'ordre :

1. Isoler : mettez le site en mode maintenance immediatement pour proteger vos visiteurs.
2. Sauvegarder : capturez l'etat actuel (fichiers + base de donnees) pour analyse forensic. Ne supprimez rien avant cette etape.
3. Analyser : identifiez le vecteur d'attaque. Examinez les fichiers modifies recemment, les backdoors dans /wp-content/uploads/, les injections dans la base de donnees et les journaux d'activite du serveur.
4. Nettoyer : supprimez le code malveillant et les portes derobees. Pour le cas specifique du piratage par mots-cles japonais, une procedure de nettoyage dediee est necessaire. Consultez notre guide complet de nettoyage.
5. Renforcer : corrigez la vulnerabilite exploitee, appliquez toutes les mises a jour, regenerez les cles de securite (wp config shuffle-salts), changez tous les mots de passe et verifiez les permissions de fichiers.
6. Notifier : si des donnees personnelles ont ete compromises, informez les utilisateurs concernes et la CNIL dans les 72 heures (obligation RGPD).

Pour approfondir, consultez nos guides sur les malwares WordPress courants, les redirections malveillantes et les fichiers WordPress infectes.

Votre Feuille de Route pour une Maintenance de Securite Continue

La securite n'est pas un etat, c'est un processus. Voici le calendrier de maintenance WordPress oriente securite :

Hebdomadaire :

• Verifier et appliquer les mises a jour (core, plugins, themes).
• Examiner les rapports du plugin securite WordPress (scans, blocages, alertes).
• Controler les comptes utilisateur et supprimer les comptes inactifs.

Mensuel :

• Lancer un scan complet de malware avec votre plugin de securite.
• Analyser les journaux d'activite pour reperer les anomalies.
• Tester la restauration d'une sauvegarde recente.

Trimestriel :

• Realiser un audit de securite site web complet (les 10 points de controle).
• Regenerer les cles de securite WordPress.
• Revoir les permissions des fichiers et repertoires.
• Mettre a jour la version PHP.

La Securite WordPress Impacte-t-elle la Vitesse de Mon Site ?

C'est une preoccupation legitime. Certaines mesures de securite ont un impact sur les performances, d'autres les ameliorent. Voici le bilan :

Impact negatif potentiel :

• Un WAF endpoint (Wordfence) ajoute un traitement PHP a chaque requete, ce qui peut ralentir les sites a fort trafic.
• Les scans de malware en temps reel consomment des ressources serveur.
• Un plugin de securite mal configure avec de nombreuses regles actives alourdit le temps de chargement.

Impact positif :

• Un WAF cloud (Cloudflare, Sucuri) inclut un CDN qui accelere la livraison des contenus statiques.
• Le blocage des bots malveillants libere des ressources serveur pour vos visiteurs legitimes.
• Les headers de securite (HSTS, preload) eliminent les redirections HTTP inutiles.

La cle est de choisir les bons outils : un WAF cloud combine securite et performance, tandis qu'un WAF endpoint necessite un serveur suffisamment puissant. Dans tous les cas, la securite ne doit jamais etre sacrifiee au nom de la vitesse.

Externaliser Votre Securite : Quand Faire Appel a un Expert ?

Gerez-vous un site e-commerce, un site traitant des donnees sensibles ou un site a fort trafic ? La gestion de la securite WordPress en interne a ses limites :

• Les failles zero-day necessitent une veille permanente et une capacite de reaction immediate. A titre d'exemple, consultez notre analyse de la vulnerabilite RCE zero-day WordPress decouverte en 2026.
• Le nettoyage d'un site compromis exige une expertise forensic specifique.
• La conformite RGPD et les obligations de notification imposent des processus rigoureux.

Pour un audit de securite professionnel adapte a votre site, ou pour une intervention urgente sur un site compromis, notre equipe intervient sous 24 heures. Nous combinons audit technique, nettoyage de malware, durcissement (hardening) et mise en place d'une surveillance continue.

FAQ

WordPress Est-il Moins Securise que les Autres CMS ?

Non. WordPress n'est pas intrinsequement moins securise. Le core est maintenu par une equipe de securite dediee et audite regulierement. Sa popularite (43 % du web) en fait simplement une cible plus frequente. 97 % des vulnerabilites proviennent des plugins et themes tiers, pas du core. Un site WordPress correctement configure, mis a jour et surveille est aussi securise que n'importe quel autre CMS.

A Quelle Frequence Dois-je Realiser un Audit de Securite ?

Trimestriellement pour un site standard, mensuellement pour un site e-commerce ou traitant des donnees sensibles. Les scans automatises de malware doivent etre quotidiens. Un audit de securite site web approfondi par un professionnel est recommande annuellement. Consultez notre service d'audit de securite pour un accompagnement personnalise.

Faut-il Desactiver XML-RPC ?

Oui, sauf si vous utilisez des services qui en dependent (Jetpack, application mobile WordPress). XML-RPC est un vecteur d'attaque connu pour le brute force amplifie (un seul appel API peut tester des centaines de mots de passe) et les attaques DDoS par amplification pingback. Si vous devez le conserver, limitez l'acces aux adresses IP des services concernes via .htaccess.

Combien Coute la Remediation d'un Site WordPress Pirate ?

Le cout moyen de nettoyage d'un site WordPress pirate se situe entre 2 000 et 15 000 EUR selon la complexite de l'infection. Ce montant inclut le nettoyage des fichiers, la desinfection de la base de donnees, le hardening post-incident et la demande de reexamen aupres de Google. Sans compter la perte de revenus et l'impact sur la reputation pendant la duree de l'incident. La prevention coute toujours moins cher que la remediation.