WordPress fait tourner 43 % de tous les sites web dans le monde (source : Dimension Internet, 2024). C’est aussi pourquoi il attire autant les pirates. En 2024, Wordfence a recensé 8 223 nouvelles vulnérabilités dans l’écosystème WordPress, soit environ 22 failles découvertes chaque jour (source : rapport Wordfence 2024). Vous pensez que votre petit site vitrine ne risque rien ? C’est exactement ce que pensent la plupart des propriétaires juste avant de se faire pirater. Ce guide vous donne les étapes concrètes pour ne pas en faire partie.
Les 5 mesures essentielles pour sécuriser WordPress immédiatement
Cinq actions concrètes à mettre en place dès aujourd’hui pour protéger votre site WordPress contre les attaques les plus fréquentes.
Mettre à jour WordPress, thèmes et plugins sans délai
C’est la mesure numéro un, et pourtant la plus négligée. Selon le rapport Wordfence 2024, environ 96 % des vulnérabilités connues dans WordPress proviennent de plugins tiers, et 35 % de ces failles n’étaient toujours pas corrigées début 2025. Les propriétaires de sites tardent à appliquer les mises à jour, et les pirates l’ont bien compris.
Le schéma est toujours le même : une faille est découverte, un correctif sort en 48 heures, et les bots ciblent tous les sites qui n’ont pas encore mis à jour. En 2025, lors d’une campagne visant les plugins GutenKit et Hunk Companion, Wordfence a bloqué plus de 8,7 millions de tentatives d’exploitation en seulement deux jours (source : Dimension Internet, 2025). Activez les mises à jour automatiques pour le cœur de WordPress, vérifiez vos plugins chaque semaine, et supprimez ceux que vous n’utilisez plus. Un plugin inactif et non mis à jour reste une porte d’entrée pour les attaquants.
Renforcer les mots de passe et activer l’authentification à deux facteurs (2FA)
Les attaques par force brute représentent environ 16 % des sites WordPress piratés, selon une enquête Wordfence. Des mots de passe faibles constituent une invitation directe pour les cybercriminels. Utilisez un mot de passe d’au moins 16 caractères, généré aléatoirement, différent pour chaque compte. Un gestionnaire comme Bitwarden ou 1Password rend cela parfaitement gérable au quotidien.
Le 2FA ajoute une couche décisive à votre sécurité. Même si un pirate obtient votre mot de passe, il se heurte à un code temporaire valable 30 secondes. Activez-le pour tous les comptes administrateurs sans exception, car cinq minutes de configuration suffisent à sécuriser durablement votre accès.
Supprimer le compte « admin » par défaut et changer l’URL de connexion
Le compte « admin » est la première cible de tout bot qui scanne un site WordPress. Si votre identifiant de connexion est encore « admin », vous facilitez la moitié du travail aux pirates. Créez un nouvel utilisateur administrateur avec un identifiant unique, puis supprimez complètement le compte « admin » originel.
Changer l’URL de connexion constitue une friction supplémentaire très efficace. Par défaut, votre page de connexion se trouve à /wp-admin ou /wp-login.php, et ces adresses sont connues de tous les bots. En les remplaçant par quelque chose d’imprévisible comme /connexion-equipe, vous réduisez mécaniquement le volume de tentatives automatisées sur votre site.
Activer le certificat SSL (HTTPS) et choisir un hébergeur sécurisé
Le HTTPS chiffre les échanges entre votre site et vos visiteurs. Sans lui, identifiants et données de formulaires circulent en clair sur le réseau. Tous les hébergeurs sérieux proposent aujourd’hui un certificat SSL gratuit via Let’s Encrypt, souvent activable en un clic depuis le panneau de contrôle.
Votre hébergeur joue un rôle que beaucoup sous-estiment. Un hébergement partagé mal isolé signifie que le piratage d’un site voisin peut rejaillir sur le vôtre. Privilégiez un hébergeur qui propose une isolation des comptes, un pare-feu serveur actif et une surveillance des fichiers malveillants.
Limiter les tentatives de connexion pour bloquer les attaques par force brute
Par défaut, WordPress n’impose aucune limite au nombre de tentatives de connexion. Un bot peut donc essayer des milliers de combinaisons sans jamais être bloqué. Activez une restriction du nombre de tentatives autorisées : après trois ou cinq échecs consécutifs, l’adresse IP est temporairement bloquée. Cette mesure coupe court à l’immense majorité des attaques automatisées avec quelques lignes de configuration seulement.
Les meilleurs plugins de sécurité WordPress : comparatif et configuration
Un bon plugin de sécurité centralise pare-feu, scanner de malwares et alertes. Voici comment choisir et configurer le vôtre.
| Nom | Fonctions clés | Version gratuite | Idéal pour |
|---|---|---|---|
| Wordfence | Pare-feu (WAF), scanner de malwares, blocage IP en temps réel, alertes email | Oui (avec délai sur les règles de pare-feu) | Sites de taille moyenne, utilisateurs techniques |
| Sucuri Security | Audit d’activité, scanner externe, surveillance liste noire, WAF (payant) | Oui (WAF et CDN réservés à la version Pro) | Sites e-commerce, protection de réputation |
| Solid Security | Durcissement WordPress, 2FA intégré, détection de changement de fichiers | Oui (fonctions avancées en Pro) | Débutants, sites vitrines, PME |
| iThemes Security | Renommé Solid Security depuis 2022, même éditeur StellarWP, interface guidée | Oui | Utilisateurs cherchant une configuration guidée |
Wordfence, Sucuri ou Solid Security : lequel choisir ?
Wordfence est le plugin de sécurité le plus installé sur WordPress avec plus de 5 millions d’installations actives. Son pare-feu est redoutablement efficace et sa version gratuite suffit pour la majorité des sites. La version premium ajoute les règles de pare-feu en temps réel, là où la version gratuite les reçoit avec 30 jours de délai.
Sucuri se distingue par son scanner externe, qui analyse votre site depuis l’extérieur comme le ferait un visiteur ou un moteur de recherche. Son WAF cloud reste uniquement disponible en version payante. Solid Security convient davantage aux propriétaires moins techniques grâce à son assistant de configuration pas à pas. Votre choix dépendra de votre niveau de confort et du type de site que vous gérez.
Configurer votre plugin et activer le pare-feu applicatif (WAF)
Quel que soit votre choix, le WAF doit être activé en priorité car il filtre les requêtes malveillantes avant même qu’elles atteignent WordPress. Sur Wordfence, rendez-vous dans Wordfence > Pare-feu et activez le mode « Protection étendue » pour que le pare-feu se charge avant WordPress lui-même. Sur Sucuri, le WAF cloud nécessite un changement de DNS pour faire transiter le trafic par les serveurs Sucuri.
Configurez aussi les alertes email pour être notifié dès qu’un fichier sensible est modifié ou qu’une tentative de connexion suspecte est détectée. Ces alertes bien paramétrées vous évitent de découvrir un piratage des semaines après les faits.
Protéger les fichiers sensibles et la base de données WordPress
Quelques réglages techniques simples suffisent pour verrouiller les fichiers les plus exposés de votre installation.
Sécuriser wp-config.php, changer le préfixe BDD et désactiver l’éditeur de fichiers
Le fichier wp-config.php contient vos identifiants de base de données et vos clés de sécurité. Une règle dans votre fichier.htaccess suffit à refuser tout accès HTTP à ce fichier. Vous pouvez également le déplacer un niveau au-dessus du dossier public_html, ce que WordPress gère nativement.
Le préfixe de table par défaut de WordPress est « wp_ » et tous les pirates le savent. Changer ce préfixe complique significativement les attaques par injection SQL ciblant votre base de données. Pensez aussi à désactiver l’éditeur de fichiers intégré à WordPress en ajoutant la ligne define(‘DISALLOW_FILE_EDIT’, true); dans votre wp-config.php, car cet éditeur devient une porte d’entrée dangereuse si un attaquant accède à votre back-office.
Désactiver XML-RPC, masquer la version WordPress et restreindre l’API REST
XML-RPC est un protocole historique massivement utilisé pour des attaques par force brute amplifiées. Si vous n’utilisez pas d’application mobile WordPress ou de services tiers qui en dépendent, désactivez-le sans hésiter via une règle dans votre fichier.htaccess.
La version de WordPress s’affiche par défaut dans le code source de vos pages et dans le fichier readme.html à la racine du site. Supprimer ce fichier et masquer la version dans les balises meta empêche les robots de cibler précisément les sites vulnérables à une faille connue. L’API REST expose par défaut certaines données utilisateurs : si votre site n’en a pas besoin, restreignez-en l’accès aux visiteurs non connectés via votre fichier functions.php.
Sauvegardes automatiques : votre filet de sécurité indispensable
Même un site parfaitement sécurisé peut être compromis. Une sauvegarde récente vous évite le pire.
Planifier des sauvegardes régulières et les stocker hors serveur
Une sauvegarde stockée sur le même serveur que votre site ne vous sauvera pas si ce serveur est compromis. Stockez vos sauvegardes sur un espace externe comme Amazon S3, Google Drive ou un serveur FTP distinct. Des plugins comme UpdraftPlus ou BackWPup permettent d’automatiser cette tâche en quelques minutes de configuration.
Pour un site vitrine peu mis à jour, une sauvegarde hebdomadaire est souvent suffisante. Pour un blog actif ou un e-commerce, visez une sauvegarde quotidienne et conservez au minimum les 30 dernières versions pour disposer d’un choix de point de restauration. Testez la restauration au moins une fois par trimestre, car une sauvegarde non testée reste une fausse sécurité.
Mon site WordPress a été piraté : que faire ?
Identifier rapidement une compromission et agir dans le bon ordre limite les dégâts.
Reconnaître les signes d’un piratage et isoler le site
Plusieurs signaux doivent vous alerter immédiatement. Votre site affiche des pages que vous n’avez pas créées, Google vous signale un contenu suspect dans la Search Console, votre hébergeur envoie une alerte de comportement inhabituel, ou des visiteurs signalent des redirections vers des sites douteux. Si l’un de ces symptômes apparaît, mettez le site en maintenance ou suspendez-le pour éviter d’exposer vos visiteurs.
Changez immédiatement tous vos mots de passe : WordPress, hébergeur, FTP et base de données. Vérifiez ensuite la liste des utilisateurs administrateurs à la recherche de comptes inconnus. Lors de l’affaire WPGateway, les pirates créaient systématiquement un compte administrateur nommé « rangex » pour conserver un accès après leur intrusion initiale (source : Wordfence, 2022).
Nettoyer le site ou le restaurer depuis une sauvegarde propre
Vous disposez de deux options selon la situation. La restauration depuis une sauvegarde antérieure à l’infection est la méthode la plus sûre, à condition d’identifier précisément la date d’intrusion avant de lancer la restauration. Le nettoyage manuel ou assisté constitue la deuxième option : des services professionnels comme Sucuri proposent une intervention dédiée pour les sites infectés.
Si vous optez pour le nettoyage manuel, scannez tous les fichiers PHP à la recherche de code obfusqué et comparez les fichiers core de WordPress aux versions officielles disponibles sur wordpress.org. Une fois le nettoyage terminé, appliquez l’ensemble des mesures préventives et soumettez votre site à Google pour révision depuis la Search Console si vous aviez été inscrit sur liste noire.
Vos questions fréquentes sur la sécurité WordPress
Réponses courtes aux interrogations les plus courantes des propriétaires de sites WordPress.
Voici les trois questions qui reviennent le plus souvent, avec une réponse directe pour chacune.
- Un petit site vitrine a-t-il vraiment besoin d’être sécurisé ? Oui, absolument. Les pirates ne ciblent pas votre site parce qu’il est important, ils le ciblent parce qu’il est vulnérable. Un site non maintenu sert à héberger du spam, à miner des cryptomonnaies ou à piéger vos visiteurs, quelle que soit sa taille.
- Les plugins de sécurité ralentissent-ils mon site ? Un plugin correctement configuré a un impact marginal sur les performances. L’essentiel est de ne pas empiler plusieurs plugins qui effectuent le même travail, ce qui génère des conflits et alourdit inutilement le chargement.
- Le cadenas HTTPS suffit-il à me protéger ? Non. Le HTTPS chiffre la communication entre votre site et vos visiteurs, mais il ne protège pas votre installation contre les intrusions. Un site en HTTPS peut très bien être infecté par un malware ou utilisé pour du phishing.
