Comment sécuriser son site WordPress ? La checklist complète

Pourquoi sécuriser son site WordPress est-il indispensable ?

WordPress équipe plus de 40 % des sites web dans le monde, ce qui en fait une cible de choix pour les attaques automatisées : des robots scannent en permanence le web à la recherche de versions non mises à jour, de mots de passe faibles ou de plugins abandonnés. La grande majorité des piratages WordPress ne visent pas un site en particulier — ils exploitent des failles connues, à grande échelle, sur tous les sites qui n’ont pas corrigé le problème.

Les conséquences vont bien au-delà d’un simple désagrément : perte de données, blacklistage par Google, envoi de spam depuis votre nom de domaine, ou référencement anéanti en quelques jours si le site est utilisé pour rediriger vers des pages frauduleuses. C’est un risque business, pas seulement technique — sans compter que la fuite de données de vos visiteurs engage aussi votre conformité RGPD.

Il n’existe pas de site WordPress « inviolable » à 100 % : l’objectif réaliste n’est pas l’absence totale de risque, mais la réduction de la surface d’attaque et la préparation à un incident, pour que celui-ci reste un désagrément géré en quelques minutes plutôt qu’une crise de plusieurs jours.

Comment renforcer l’accès à l’administration ?

L’écran de connexion est la porte d’entrée la plus attaquée : c’est aussi le point le plus simple à renforcer, sans compétence technique particulière.

1. 1. Supprimer l’identifiant « admin »Créer un nouvel utilisateur administrateur avec un identifiant personnalisé, puis supprimer ou rétrograder le compte « admin » par défaut, ciblé en priorité par les robots.
2. 2. Utiliser un mot de passe unique et longAu moins 16 caractères générés aléatoirement par un gestionnaire de mots de passe, jamais réutilisé sur un autre service.
3. 3. Activer la double authentification (2FA)Même un mot de passe volé devient inutile sans le second facteur, généralement un code depuis une application mobile.
4. 4. Limiter les tentatives de connexionBloquer temporairement une adresse IP après plusieurs échecs de connexion pour neutraliser les attaques par force brute.
5. 5. Utiliser un Application Password pour les scriptsPour toute connexion automatisée à l’API REST, générer un Application Password dédié plutôt que de partager le mot de passe principal.

Comment sécuriser l’hébergement et les échanges ?

La sécurité ne se joue pas seulement dans WordPress : la qualité de l’hébergeur et la configuration du serveur comptent tout autant.

Quels types de plugins de sécurité installer ?

Chaque extension installée est un code supplémentaire exécuté sur votre site : mieux vaut couvrir les bons besoins avec peu de plugins fiables plutôt qu’en empiler beaucoup.

Comment gérer les mises à jour sans casser le site ?

La majorité des failles exploitées concernent des versions obsolètes du cœur WordPress, d’un thème ou d’une extension pour lesquelles un correctif existe déjà — la mise à jour est donc l’action de sécurité la plus rentable, mais elle peut casser un site mal préparé.

1. 1. Toujours tester en environnement de stagingReproduire le site sur un environnement de staging avant d’appliquer une mise à jour majeure en production.
2. 2. Sauvegarder juste avant chaque mise à jourMême avec un staging, une sauvegarde fraîche permet un retour arrière immédiat en cas de problème.
3. 3. Mettre à jour le cœur en premierWordPress lui-même, puis les thèmes, puis les extensions — dans cet ordre, une par une si le site est sensible.
4. 4. Désinstaller les plugins inactifsUn plugin désactivé mais toujours présent reste une faille potentielle tant qu’il n’est pas supprimé.

Que faire si son site WordPress a déjà été piraté ?

Malgré toutes les précautions, un incident reste possible : la façon d’y réagir compte autant que la prévention en amont.

1. 1. Isoler le siteMettre le site en mode maintenance ou le rendre temporairement inaccessible pour empêcher la propagation ou l’indexation de pages frauduleuses par Google.
2. 2. Changer tous les mots de passeComptes WordPress, base de données, FTP et hébergement — un accès compromis peut concerner plusieurs points d’entrée à la fois.
3. 3. Restaurer une sauvegarde saineLa méthode la plus fiable reste de revenir à une sauvegarde antérieure à l’incident, plutôt que de tenter de nettoyer un site déjà compromis fichier par fichier.
4. 4. Identifier la faille avant de remettre en ligneComprendre comment l’intrusion a eu lieu (plugin obsolète, mot de passe faible) pour éviter qu’elle ne se reproduise immédiatement.

Ce que nous observons chez les projets que nous accompagnons

Voici un exemple représentatif de notre pratique, sans donnée client ni chiffre inventé.

La checklist complète en 10 points

1. 1. Identifiant admin personnaliséAucun compte nommé « admin » sur le site.
2. 2. Mot de passe unique et long16 caractères minimum, généré et stocké dans un gestionnaire dédié.
3. 3. Double authentification activéeSur tous les comptes administrateurs sans exception.
4. 4. Limitation des tentatives de connexionBlocage automatique après plusieurs échecs.
5. 5. Certificat SSL actifLe site s’affiche uniquement en HTTPS.
6. 6. Cœur, thèmes et plugins à jourVérification au moins chaque semaine.
7. 7. Plugins inactifs supprimésAucune extension désactivée qui traîne.
8. 8. Pare-feu applicatif actifAu niveau de l’hébergeur, du CDN ou d’un plugin dédié.
9. 9. Sauvegardes automatiques et testéesUne restauration déjà vérifiée au moins une fois.
10. 10. Environnement de staging disponiblePour tester chaque changement avant la mise en production.

Quels contenus lire ensuite ?

Ces ressources complètent ce guide sans cibler la même requête :

Questions fréquentes sur la sécurité WordPress