Pour sécuriser un site WordPress, il faut verrouiller les accès (mots de passe solides, double authentification, comptes nominatifs), ne garder que des extensions fiables et à jour, sauvegarder régulièrement, choisir un hébergement qui filtre les attaques et surveiller ce qui se passe sur le site. Aucune de ces mesures ne suffit seule : c’est leur addition qui protège. Les attaques sont automatisées et visent tous les sites, y compris celui d’un artisan ou d’un cabinet de cinq personnes. Pour une TPE ou une PME, un site piraté, c’est une vitrine défigurée, des clients exposés et des semaines de remise en état. Ce guide donne la checklist de sécurité WordPress à appliquer, et distingue ce que vous pouvez faire vous-même de ce qui demande un professionnel.
En bref
- Environ la moitié des failles WordPress à fort impact sont exploitées en moins de 24 heures.
- Les accès sont la première porte : mots de passe uniques, double authentification, pas de compte « admin ».
- Une extension inutile ou abandonnée est un risque : on la supprime.
- Sauvegardes testées, hébergement filtrant et surveillance complètent les mises à jour.
Pourquoi la sécurité WordPress concerne aussi les petits sites ?
Parce que les pirates ne choisissent pas leurs cibles une à une : des robots testent les mêmes failles sur des milliers de sites à la fois. Un site WordPress de cinq pages est attaqué comme une grande boutique en ligne, dès qu’une faille connue s’y trouve.
24 h
Délai en moins duquel environ la moitié des failles à fort impact sont exploitées.
Source : Patchstack, 2026
1 966
Failles de gravité élevée recensées dans l’écosystème WordPress en 2025, soit 17 % du total.
Source : Patchstack, 2026
26 %
Part des attaques bloquées par les protections d’hébergeurs courants lors d’un test à grande échelle.
Source : Patchstack, 2026
Même une attaque qui échoue a un coût : la documentation officielle de WordPress rappelle que les tentatives de connexion en masse peuvent saturer un serveur (attaques par force brute). Et une seule protection ne suffit pas : lors du test de Patchstack, 2026, les défenses classiques des hébergeurs n’ont arrêté qu’une minorité des attaques visant WordPress.
La sécurité repose donc sur plusieurs couches, chacune couvrant ce que l’autre laisse passer. C’est ce que Cybermalveillance.gouv.fr appelle la « défense en profondeur ». Les risques d’un site laissé sans suivi sont détaillés dans notre article pourquoi un site WordPress sans maintenance finit par lâcher.
Comment protéger les accès à l’administration ?
En traitant chaque compte comme une clé du site : mot de passe long et unique, double authentification, un compte par personne et le moins de droits possible. Un compte administrateur volé donne tout pouvoir sur le site.
| À éviter | À faire |
|---|---|
| Identifiant « admin » ou « webmaster » | Un identifiant propre à chaque personne |
| Mot de passe court ou réutilisé ailleurs | Une phrase de passe longue, unique, gardée dans un gestionnaire de mots de passe |
| Mot de passe seul | Double authentification : un code sur téléphone en plus du mot de passe |
| Un compte partagé par toute l’équipe | Un compte nominatif par personne, supprimé à son départ |
| Tout le monde administrateur | Le rôle minimum : « Éditeur » ou « Auteur » pour publier |
La documentation officielle de WordPress conseille d’éviter les identifiants faciles à deviner comme « admin » et d’activer l’authentification en deux étapes, en complément d’un mot de passe solide. Cybermalveillance.gouv.fr insiste sur le principe de « moindre privilège » : chaque utilisateur ne dispose que des droits nécessaires à ses tâches, et les comptes individuels sont préférés aux comptes génériques.
Sur les sites que nous reprenons, les mêmes défauts reviennent : un compte administrateur facile à pirater (identifiant et mot de passe faibles), un ancien prestataire toujours administrateur, un identifiant d’administrateur visible en clair sur le site et un gestionnaire de fichiers accessible aux pirates.
Quelles extensions et quels thèmes garder ?
Seulement ceux dont vous avez besoin, issus d’une source officielle et encore maintenus. Chaque extension ajoute du code, donc des failles possibles.
- Source officielle uniquement. Le répertoire officiel de WordPress ou le site du développeur.
- Notoriété et suivi. Vérifiez la date de la dernière mise à jour : si elle remonte à plusieurs années, l’extension n’est plus maintenue.
- Suppression des inutiles. Une extension désactivée reste sur le serveur : il faut la supprimer, comme les thèmes non utilisés.
- Payante ne veut pas dire sûre. Les extensions et thèmes payants comptent pour 29 % des failles signalées en 2025.
Selon Patchstack, 2026, les composants payants comptaient même trois fois plus de failles réellement exploitées que les gratuits : le critère n’est pas le prix, mais le sérieux de l’éditeur.
Sur les sites piratés que nous avons remis en état, l’attaque était passée environ 7 fois sur 10 par une extension et 2 fois sur 10 par le thème : c’est notre constat de terrain. Souvent, il s’agissait de versions « nulled », des copies piratées d’extensions ou de thèmes payants trouvées sur des sites douteux. N’en installez jamais.
À retenir
Moins d’extensions, c’est moins de portes à surveiller. Avant d’en installer une, demandez-vous si une fonction native ou quelques lignes de code ne suffiraient pas.
Comment faire les mises à jour sans casser le site ?
En appliquant les correctifs de sécurité dès leur sortie, toujours après une sauvegarde, puis en vérifiant le site. Cybermalveillance.gouv.fr le dit sans détour : « la grande majorité des attaques de sites Internet est rendue possible par l’exploitation de failles de sécurité ».
- Sauvegarder. Fichiers et base de données, juste avant toute mise à jour.
- Mettre à jour. WordPress, puis les extensions et le thème, en commençant par les correctifs de sécurité.
- Vérifier. Pages clés, formulaires, paiement : tout ce qui rapporte des clients doit fonctionner.
- Revenir en arrière si besoin. Restaurer la sauvegarde, puis chercher l’extension en cause.
Depuis WordPress 5.5, les mises à jour automatiques peuvent être activées extension par extension et thème par thème ; WordPress les lance deux fois par jour (documentation WordPress). Pratique pour un petit site, mais personne ne vérifie ensuite que tout fonctionne encore. Et la version de PHP du serveur, elle aussi, doit rester maintenue.
Quelles sauvegardes prévoir ?
Des sauvegardes régulières du site, de sa configuration et de sa base de données, stockées hors du serveur et dont la restauration a été testée. C’est votre seule issue si tout le reste a échoué.
| Question | Bonne réponse |
|---|---|
| Quoi ? | Les fichiers (thème, extensions, images envoyées), la configuration et la base de données |
| À quel rythme ? | Au moins aussi souvent que le contenu change : chaque jour pour une boutique, plus espacé pour un site vitrine stable |
| Où ? | Hors du serveur du site, sur un support déconnecté après usage |
| Restauration testée ? | Oui, régulièrement : une sauvegarde jamais restaurée est une promesse |
Cybermalveillance.gouv.fr recommande de déconnecter le support de sauvegarde après usage, pour qu’il ne soit pas touché par une attaque.
Que doivent assurer l’hébergement et le serveur ?
Un chiffrement HTTPS partout, un pare-feu applicatif qui filtre les requêtes avant WordPress, des logiciels serveur à jour et des droits de fichiers stricts. C’est la couche que l’on ne voit pas, mais qui arrête une partie des attaques avant qu’elles n’atteignent le site.
| Réglage | Recommandation | Pourquoi |
|---|---|---|
| HTTPS | Sur tout le site, administration comprise | Chiffre les identifiants et les données des visiteurs |
| Pare-feu applicatif (WAF) | Chez l’hébergeur ou en amont du serveur | Bloque les attaques connues avant WordPress |
| Droits des fichiers | 644 pour les fichiers, 755 pour les dossiers | Valeurs utilisées par WordPress lui-même |
| Fichier de configuration | Droits 400 ou 440 sur wp-config.php | Lisible seulement par vous et le serveur |
| Éditeur de fichiers | Désactivé | Plus de code modifiable depuis l’administration |
L’éditeur de fichiers intégré est, selon la documentation officielle de WordPress, souvent le premier outil qu’utilise un attaquant une fois connecté, car il permet d’exécuter du code : une ligne dans le fichier de configuration (DISALLOW_FILE_EDIT) suffit à le désactiver. Sur un hébergement mutualisé, elle prévient aussi qu’un site peut être compromis par un voisin, même en appliquant toutes les règles : le choix de l’hébergeur compte.
Comment surveiller son site et repérer une attaque ?
En lisant régulièrement les journaux de connexion et du serveur, et en guettant les changements que personne n’a faits. Cybermalveillance.gouv.fr conseille de surveiller les connexions à l’administration, les mises à jour d’articles et les dépôts de fichiers pour détecter une activité inhabituelle.
- Un compte administrateur inconnu. Signe classique d’une intrusion réussie.
- Des pages ou liens que vous n’avez pas créés. Souvent du spam ou des redirections vers d’autres sites.
- Des fichiers modifiés sans mise à jour. Du code ajouté dans le thème ou les extensions.
- Un site soudain lent ou une alerte de Google. Le serveur sert peut-être autre chose que votre site.
Pensez aussi au nom de domaine : enregistré pour une durée limitée, il doit être renouvelé à temps, faute de quoi un tiers peut le racheter (Cybermalveillance.gouv.fr).
Que faire soi-même, que confier à un professionnel ?
Les accès, le tri des extensions et le renouvellement du domaine sont à votre portée. Le serveur, les droits de fichiers, la lecture des journaux et la remise en état après une attaque demandent un professionnel.
| Mesure | Vous-même | Un professionnel |
|---|---|---|
| Mots de passe et double authentification | Oui | Configuration initiale |
| Comptes et rôles des utilisateurs | Oui | Contrôle lors d’un audit |
| Tri et suppression des extensions | Oui, avec prudence | Remplacement par du code sur mesure |
| Mises à jour | Possible sur un petit site | Testées, avec retour arrière prêt |
| Sauvegardes hors serveur et tests de restauration | Difficile | Oui |
| Pare-feu, HTTPS, droits des fichiers | Non | Oui |
| Journaux et détection d’intrusion | Non | Oui |
| Nettoyage après piratage | Non | Oui |
Cybermalveillance.gouv.fr recommande d’ailleurs de faire auditer régulièrement la sécurité du site par des prestataires spécialisés.
Quand nous reprenons la sécurité d’un site WordPress existant, nous commençons par quatre vérifications.
- Les fichiers du site. Recherche de fichiers suspects ou modifiés, en particulier .htaccess et wp-config.php.
- Les extensions et le thème. Analyse de tout ce qui est installé.
- Les versions. WordPress et PHP doivent être à la dernière version.
- La Search Console. Aucune page suspecte ne doit être indexée par Google.
Faites sécuriser et suivre votre site
Mises à jour testées, sauvegardes, surveillance des attaques : nous gardons votre site sûr, pour que vous restiez concentré sur votre activité.
Notre maintenance de site internet couvre ces opérations, à partir de 290 € HT par mois.
Questions fréquentes
Faut-il installer une extension de sécurité sur WordPress ?
Elle peut aider (limitation des tentatives de connexion, alertes), mais elle tourne dans WordPress et consomme des ressources sous une forte attaque. La documentation officielle recommande de filtrer le trafic en amont, chez l’hébergeur ou par un pare-feu applicatif. Une extension ne remplace ni les mises à jour ni les sauvegardes.
Changer l’adresse de connexion à WordPress suffit-il ?
Non. Masquer la page de connexion ou renommer les tables réduit un peu le bruit, mais la documentation officielle de WordPress rappelle que la sécurité par l’obscurité n’est pas une stratégie de fond. Les mots de passe, la double authentification et les mises à jour restent indispensables.
WordPress est-il moins sûr qu’un autre outil de création de site ?
Le cœur de WordPress est rarement en cause : la grande majorité des failles se trouve dans les extensions et les thèmes. Un site WordPress sobre, à jour et bien hébergé est sûr ; un site chargé d’extensions abandonnées ne l’est pas, quel que soit l’outil.
Que faire si mon site WordPress a été piraté ?
Mettez le site hors ligne si des visiteurs sont exposés, changez tous les mots de passe (administration, hébergement, base de données), restaurez une sauvegarde saine puis corrigez la faille d’origine. Cybermalveillance.gouv.fr propose une assistance aux victimes. Si le site est trop atteint pour être nettoyé, mieux vaut repartir sur une base saine : voir le prix d’une refonte et comment refondre son site sans perdre son SEO.
Ce qu’il faut retenir
Sécuriser WordPress, ce n’est pas installer une extension miracle : c’est verrouiller les accès, limiter les extensions, mettre à jour, sauvegarder, bien héberger et surveiller. Les premières mesures sont à votre portée dès aujourd’hui ; le serveur et la surveillance gagnent à être confiés. Pour faire le point sur la sécurité de votre site, parlons-en.
